|
|
|
口令机制是资源访问控制的第一道屏障。网络攻击者常常以破解用户的弱口令为突破口，获取系统的访问权限。随着计算机硬件和软件技术的发展，口令破解更为有效。攻击者可将千倍于10年前的计算能力用于口令攻击。在一台工作站上，对包含250 000个词条的字典搜索一遍的时间可降至5分钟。据调查研究，普通用户在口令字符的选择上，仅含小写字母的占28.9%，部分含有大写字母的占40.9%，含有控制字符的仅占1.4%，含有标点字号的仅占12.4%，含有非字母数字的仅占1.7%。直接选用注册时的用户信息（如用户名、电话及用户ID）做密码的占3.9%。总地来说，20%到30%的口令可通过对字典或常用字符表进行搜索或经过简单的置换发现。目前，有专用的口令攻击软件，这些软件能够针对不同的系统进行攻击。此外，一些远程网络服务的口令破解软件也开始出现，攻击者利用这些软件工具，进行远程猜测网络服务口令，其主要工作流程如下：
|
|
|
|
|
|
|
|
第三步，在用户列表文件及字典文件中，选取一组用户和口令，按网络服务协议规定，将用户名及口令发送给目标网络服务端口；
|
|
|
|
第四步，检测远程服务返回信息，确定口令尝试是否成功；
|
|
|
|
第五步，再取另一组用户和口令，重复循环试验，直至口令用户列表文件及字典文件选取完毕。
|
|
|
