文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

Web安全:明文密码漏洞

2024-12-03 16:18

关注

微信公众号:计算机与网络安全

ID:Computer-network

明文是未加密的信息,明文密码自然就是未加密的密码信息,而明文密码传输、明文密码存储、密码弱加密及密码存储在攻击者能访问的文件等都可以看作明文密码漏洞。

明文密码传输指当我们在网站上输入账号与密码并单击登录时,用Burp Suite截取登录数据包。有时候会发现输入的登录密码在传输的时候采用的是明文密码传输,并未进行任何加密或者采用的是类似Base64等弱编码方式(轻轻松松即可破解,相当于未加密)。若使用HTTPS加密传输,则可以解决这个问题。

明文密码存储指网站的数据库里面存储的用户的密码一般是采用MD5或者其他更复杂的加密方式加密之后的密文,但有一些网站的数据库里面存储的却是明文。若攻击者攻陷了该类数据库,就可以轻轻松松获取账号与密码,对后续的洗库及撞库等提供准确率很高的数据基础。

密码弱加密方式例如上述的Base64弱编码或者维吉尼亚密码等。

密码存储一般由运维人员或者服务器管理人员负责,他们管理的账号与密码的数量是非常庞大的,而这些账号、密码都经常会被使用到。因此,他们一般就将这些账号、密码保存在一个文本文件中,一目了然。若这个文本文件未进行强加密处理而又放在了能被攻击者访问的地方,例如存在漏洞的服务器、随身携带的U盘及私人笔记本等,那么一旦攻击者通过技术进入上述账号、密码的存储文件中,用户的账号、密码就泄露了。账号、密码泄露的后果会怎样?企业及个人的机密将暴露无遗,最终损害企业及个人的利益。

例1:某站后台管理处存在明文密码传输。在系统登录界面输入账号admin与密码123456,单击登录,如图1所示。 

 

图1 系统登录界面

攻击者使用Burp Suite截取登录请求数据包,如图2所示。

 

图2 截取登录请求数据包

由图2可见,账号与密码未加密传输,此处存在明文密码传输。

例2:某站后台数据库中存在明文密码存储,攻击者使用SQL语句select * from forum_user,查询数据库中forum_user表的全部记录,可以看到,forum_user表中的密码字段password的记录并未进行MD5加密或者其他强加密,如图3所示。 

 

图3 明文密码存储 

 

来源:计算机与网络安全内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯