在 Internet 环境中，过于简单的口令是服务器面临的最大风险，对于任何一个承担着安全责任的管理员，及时找出这些弱口令账号是非常必要的。 17:04 src // 源码文件 [root@localhost john-1.8.0]# cd src/ [root@localhost src]# make clean linux-x86 run/john 注意： John the Ripper 不需要特别的安装操作，编译完成后的 run 子目录中包括可执行程序 John 及相关的配置文件、字典文件等，可以复制到任何位置使用 开始检测弱口令账号 ： 在安装有 John the Ripper 的服务器中，可以对 /etc/shadow 文件进行检测（本人不建议直接扫描源文件），对于其他 Linux 服务器，可以对 shadow 文件进行复制，并传递给 John the Ripper 默认提供的文件为 password.lst ，其列出了 3000 多个常见弱口令。
一些自己搜集的弱口令 在渗透企业资产时，弱口令往往可达到出奇制胜，事半功倍的效果！特别是内网，那家伙，一个admin admin或者admin123 拿下一片，懂的都懂。 当你还在苦恼如何下手时，我却悄悄进了后台，getshell了 以下是我实战中，经常遇到的一些口令，希望大家记好笔记，弱口永远的0Day，文末有常用字典，和查询网站。 ? 默认账号密码guest/guest admin/admin 再奉上常见的弱口令查询网站（怎么叫弱口令勒？ admin +-ccccc admin cyouadmin Websense邮件安全网关 administrator admin 梭子鱼邮件存储网关 admin admin 弱口令好不好用
个人网站、项目部署、开发环境、游戏服务器、图床、渲染训练等免费搭建教程，多款云服务器20元起。
弱口令能做什么？ 攻击者可以通过弱口令轻易进入后台，最终达到控制网站的目的。 通过弱口令进入后台还可以窃取企业内部资料等危险操作。 通过登录接口登录某个用户的账号，获取到用户的私密信息。 最常见的弱口令 123456、a123456、123456a、5201314、111111、woaini1314、qq123456、123123 000000、1qaz2wsx、1q2w3e4r、qwe123 MoOoO0Oo00oOo0n741（画个圈圈诅咒你） H‰U#t*№&*§÷×u（内心是崩溃的） cptbtptpbcptdtptplblp82nlf（吃葡萄不吐葡萄皮不吃葡萄倒吐葡萄皮老板来瓶82年拉菲） 口令建议 ： 不使用空口令或系统缺省的口令，这些口令众所周之，是典型的弱口令。 口令长度应不小于8个字符。 口令不应为连续的某个字符或重复某些字符的组合。 口令应该为以下四类字符的组合，大写字母（A-Z）、小写字母（a-z）、数字（0-9）和特殊字符。每类字符至少包含一个。
前言 多年实战弱口令&通用口令收集，推荐定期巡检自己服务集群弱口令，安全防患于未然。 admin root root dubbo root root grafana admin admin IPMI接口平台弱口令
”); put(402, “指纹不合法”); put(410, “非法用户，验证otp时,传入的uid有误,找不到用户”); put(411, “错误的otp”); put(412, “一个周期内动态口令只能使用一次 null || param.length() <= 0; } /** * @brief 验证otp * @param uid ITS主账号UID或已配置的从账号 * @param otp 需要验证的动态口令 otpAppID; } public static String GetOtpAppKey() { return otpAppKey; } } 4.接下来就是LoginContorller 完成口令认证 //username 用户名 //code动态口令密码 ItsClient itsClient = new ItsClient(); if(itsClient.AuthOtp(username, code
前言 作为一种开放源代码的操作系统，Linux服务器以其安全，高效和稳定的显著优势得以广泛应用 可以从账号安全控制，系统引导和登录控制的角度控制Linux系统的安全优化 1、账号安全基本措施 （1） localhost ~]$ su - root '切换为root' 密码： 上一次登录：四 11月 14 16:41:35 CST 2019pts/0 上 [root@localhost ~]# 3、Linux ,MULTICAST> mtu 1500 inet 33.33.33.33 netmask 255.0.0.0 broadcast 33.255.255.255 实验成功 5、弱口令检测 、端口扫描 （1）弱口令检测—John the Ripper，简称JR 一款密码分析工具，支持字典式的暴力破解 通过对shadow文件的口令分析，可以检测密码强度 官方万丈：http://www.openwall.com /john/ 实验： 首先需要有一个弱口令包并挂载到系统中 ?
作者 黑狐 [译自vpsboard] Linux服务器一直就是以稳定、高效、安全而著称。安全是比较重要的一个环节，这关系到商业机密，更关系到企业的存亡。 归纳起来，完成以下2件事情： 生成一次性口令 只允许用户执行scp任务 实现目标1：生成一次性口令 安装otpw sudo apt-get install otpw-bin libpam-otpw 下列命令产生4个一次性口令: otpw-gen -h 5 -w 64 下列命令产生10个一次性口令: otpw-gen -h 6 -w 79 命令输出如下： Generating random seed Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent permitted by applicable law. 上的一次性口令的开源实现，类似于RSA公司Secure ID功能。
成因 弱口令没有严格和准确的定义，通常认为容易被别人（它们有可能对你很了解）猜测或被破解工具破解的口令均为弱口令。 弱口令指的是仅包含简单数字和字母的口令，例如”123”、”abc”等，因为这样的口令很容易被别人破解。通过爆破工具就可以很容易破解用户的弱口令。 分类 普通型 普通型弱口令就是常见的密码，比如，目前网络上也有人特地整理了常用的弱口令（Top 100）： 123456 a123456 123456a 5201314 111111 woaini1314 比如我们知道一个人的信息，他的信息如下： 姓名：张三 邮箱：123456789@qq.com 网名：zs 手机号：15549457373 那我们就可以在软件上输入这个人的信息，点击“混合弱口令”再点击 实战 比如说，我们使用这样一段代码来演示弱口令漏洞，它模拟了某个系统的后台 <?php function showForm() { ?> <form method="POST" action=".
口令数据分析 0x00 数据来源 0x01 分析流程 1. 口令长度规律分析 2. 口令结构分析 3. 日期口令格式分析 4. 键盘口令分析 5. 口令长度规律分析 确定用户偏好的口令长度有利于生成更常用的口令，这里对数据集 A 和 B 分别统计了使用某种长度口令的人数，并绘制了对比的折线图。 可以看出使用长度为 8 的口令的用户在两个数据集中都是最多的，且所有的口令长度几乎都集中于 6 - 12 区间。 2. 口令结构分析 口令结构即用户组合不同元素的方式。 上图是数据集A的结果，可以看出纯字母/字符/数字的口令，也就是广义上的弱口令占据了口令集的百分之五十多。 因此对口令集中存在键盘口令格式的口令进行分析，结果如下： 下图为数据集A结果，占比最多的还是数字键盘口令，12345678等。其次是1qaz2wsx等等。
Linux服务器一直就是以稳定、高效、安全而著称。安全是比较重要的一个环节，这关系到商业机密，更关系到企业的存亡。本文介绍了如何使用optw生成一次性口令及只允许执行特定命令，以下为译文： ? 归纳起来，完成以下2件事情： 生成一次性口令 只允许用户执行scp任务 实现目标1：生成一次性口令 安装otpw sudo apt-get install otpw-bin libpam-otpw 配置 Password 003: Linux debian 3.2.0-4-686-pae #1 SMP Debian 3.2.46-1 i686 The programs included with the Debian GNU/Linux system are free software;the exact distribution terms for each program are described in the individual files in /usr/share/doc/*/copyright.Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY
head -c 8` #定义变量password echo $password | passwd $username --stdin &>/dev/null #修改用户登录口令 #“echo XXXX| passwd user --stdin”批量直接修改口令的命令，仅root可用。
基于口令的密码(Password Based Encryption,PBE)是一种基于口令生成密钥，并使用该密钥进行加密的方法。其中加密和解密使用的是同一个密钥。 根据用户自己的口令和salt生成口令密码，我们先看下加密的过程： ? 加密的过程可以分为这几步： 1.生成KEK密钥 使用伪随机数生成器来生成salt 将salt和用户自己的口令使用单向散列函数算法生成KEK密钥 2.生成会话密钥并加密 使用伪随机数生成器生成会话密钥CEK 1.重建KEK 使用保存的salt和用户记住的口令，根据单向散列算法重建KEK。 salt主要是为了防御字典攻击，因为用户自己的口令不具备随机性，很容易被暴力破解。加了salt之后，被暴力破解的难度大大加大。
弱口令问题一直是企业安全管理的痛点，一旦企业用户的账号密码泄露或被破解，将导致大量的内部信息泄露。 假设一个场景：一家大型企业使用AD域架构实现用户账号管理。 面对大量的域用户弱口令问题，如何通过技术手段来实现弱口令安全治理呢，这个就是我们今天探讨的话题。 安全场景分析 比较常见的用户密码登录场景如下： 业务系统：门户、邮箱、OA等核心应用 网络接入：准入、V**、虚拟桌面等 运维管理：服务器、堡垒机、网络/安全等设备 02、安全问题描述 （1）为了便于记忆设置弱口令 03、密码策略分析 域控密码策略：强制密码历史、密码最短使用期限、密码最长使用期限，密码长度最小值，密码复杂性要求 缺点：无法灵活定制域密码策略，容易存在企业特色弱口令。 Web密码策略：密码复杂度、验证码、登录失败处理策略、密码过期策略、短信验证码验证等。 缺点：每个应用系统维护一套密码策略管理，系统开发成本较高。 应对：建立统一认证平台。
本篇文章以墨者学院的Tomcat后台弱口令漏洞利用这道题为例 首先访问页面发现是Tomcat8.0.33的，因为在实际渗透测试中我对Tomcat的漏洞挖掘只停留在 7.0.0-7.0.81 的CVE-2017 本篇将对弱口令进入后台的利用做学习总结，至少以后可以多一种思路。 ? 默认后台的路径是：manager/html，也可以直接点击“Manager App”，题目已知猜测是弱口令，尝试admin/123456进入后台，实际漏洞挖掘中可能需要进行一个暴力破解尝试登陆，或者对网站类型分析后查阅相关的默认账户和密码
0x01 漏洞描述 - Weblogic Console弱口令后台getShell - Weblogic Server是Oracle公司的一款适用于云环境和传统环境的应用服务器，它提供了一个现代轻型开发平台 Weblogic Console控制台由于管理员配置疏忽没有更改默认密码，或者存在账号弱口令漏洞，攻击者可在获取到账号密码的前提下登录管理后台，通过控制台“部署”功能模块部署恶意war包，进而getShell 0x02 漏洞等级 图片 0x03 漏洞验证 访问Weblogic Console控制台地址，尝试Weblogic弱口令登录后台。 Weblogic常用弱口令： http://cirt.net/passwords?criteria=Weblogic 也可以使用web-brutator工具爆破账号密码。 0x04 漏洞修复 修改弱口令账号，建议密码长度大于8位，采用大小写字母+数字+特殊字符组合。 通过限制Weblogic Console的访问来阻断针对这些漏洞的攻击。
当然，特别重要的应用，如支付宝，就算官方各种诱导（希望大家改为6位数字口令），笔者也坚持不为所动，始终使用的是超长的复杂口令。 用户使用弱口令是出于什么考虑呢？ 对于大部分普通用户而言，弱口令好记，而复杂口令很容易遗忘； 但对很多安全从业者而言，在某个网站上使用弱口令，不是不注重安全，而是我不信任你！有的时候，真不能怪用户的安全意识不足。 我不知道你是如何处置我的口令的。 之前曾经收到过一些注册确认邮件，结果邮件中竟然包含我的明文口令，自此，凡是注册都得小心翼翼，能用弱口令的就先用弱口令。 我的口令是我的隐私，这个数据，它是我的！ 我就亲自见证了一个复杂的防撞库规则被人用这样的方式给绕过了！也许还有更多的撞库场景没有被发现。 改进建议 那么，我们的产品怎样才能让用户放心去用，放心的使用强密码？ ，让用户放心的使用高强度的口令，至少，如果你的这个应用不是Gmail、支付宝或者微信的话，我是不会放心的把自己常用的复杂口令交给你来保管的。
腾讯主机安全（CWP）利用机器学习为用户提供黑客入侵检测和漏洞风险预警等安全防护服务，主要包括密码破解阻断、异常登录审计、木马文件查杀、高危漏洞检测等安全功能，解决当前服务器面临的主要网络安全风险，帮助企业构建服务器安全防护体系。
扫码关注腾讯云开发者
领取腾讯云代金券
云服务器
即时通信 IM
网站备案
对象存储
实时音视频
