《Web安全程序设计与实践》课件项目12.pptxVIP

项目12验证码

【项目描述】本项目对Web登录密码在线暴力攻击和验证码防护功能进行实训。本项目包含两个任务，首先使用Hydra对Web登录密码进行在线暴力攻击测试，然后实现基于验证码方式的用户登录验证功能，以防止在线破解工具对Web系统用户账号的自动化破解。通过本项目，可以解释和分析密码在线暴力攻击的原理和危害，能够应用验证码进行用户登录验证。

【知识储备】Web登录账号和密码暴力破解原理暴力破解的原理就是使用用户定义的用户账号字典和密码字典，一个一个去枚举，尝试是否能够登录。从理论上来说，只要字典足够庞大、时间也足够，枚举就能够成功。Web登录在线破解工具的原理就是使用软件模拟HTTP登录访问的过程，从字典文件中获取账号和密码进行逐个枚举，并检查Web服务器的返回信息。如果匹配错误的返回信息，说明本次枚举使用的账号密码不成功，否则，说明账号密码则是正确的。如果在已知账号的情况下，破解速度会大大增加。比如，很多网站的默认管理员账号都是admin或者administrater，在这种情况下，只需要指定账号，挂密码字典破解即可，因此在同样的时间内破解成功率会大大增加。

验证码的作用由于计算机的自动化特征，利用计算机程序可以高效率的进行在线密码破解、批量注册、刷票等活动。验证码（CAPTCHA）是“CompletelyAutomatedPublicTuringtesttot