什么叫做口令字典?
来源：学生作业帮助网 编辑：六六作业网 时间：2024/11/21 19:20:27
什么叫做口令字典?
什么叫做口令字典?
什么叫做口令字典?
黑客攻击技术概要--暴力破解法原理：现在彩票非常火爆,一个人花两块钱买了一张彩票,可能会中500万,但是这个几率是很低很低的；你登陆一个系统,系统问你要密码,你随便写了一个,居然蒙对了,这个概率就和买2块钱中500万的概率是一样的.但是如果这个人花2000万买了1000万张不同号码的彩票,那么他中大奖的几率是多少呢?就很高很高了,当然在买彩
票的领域没有人会这么做,但是在网络上就有可能了,我测试一个口令很难猜对,但是我连续测试1万个,10万个,甚至100万个口令,那么猜对的几率是不是就大增了呢?当然这时候需要的就不是人手工猜测了,而是程序的自动测试.这种海量连续测试口令的方法,通常就称为暴力破解法,名字也很贴切,我不聪明,但是我有暴力（就是强大的计算机资源）,所以我要破解你.
其实即便是一个暴力破解法,对一些有一定复杂度的密码也是素手无策的,尽管电脑运算速度很快,但是并不足以快到可以用有限短的时间处理巨多亿次的测试运算,为什么这么说?举个例子,假设密码只有8位,每位可能是26个字母（分大小写就是52种）,加上10个数,在加上一些特殊字符（如@#$%^等等,假设只有10个,其实不止）,也就是每位上的可能性就有52+10+10=72,8位遍历就是72的8次方,也就是大约600万亿!所有,这样去破解密码,通常是不可能的,那么这就是所谓字典档和密码规则设定来减少这种遍历.
首先解释字典档,字典档是黑客认为一些网络用户所经常使用的密码,以及以前曾经通过各种手段所获取的密码,集合在一起的的一个文本文件,破解器程序就会自动逐一顺序进行测试,也就是说,只有被破解用户的密码存在于字典档中,才会被这种方式所找到,千万不要小看这个看上去满守株待兔的方法,由于网络上经常有不同的黑客彼此交换字典档,因此一份网上流传的字典档,通常是包含了很多很多黑客经验的累积,对于安全意识不高的用户,破解率是很高的.
规则破解也是一种非常有效的方式,这里面还会具体分为两种,一种是与帐号关联的规则,另外一种是与帐号无关的规则,与帐号关联的规则,比如注册帐号test,注册密码test123这样的（是不是很多人有这个习惯?）,那简直是任何一个破解器的简单规则都可以胜任的；与帐号无关的,通常是有限度遍历模式,比如日期类型8位数字（如19730221）或6位数字（如780112）遍历或两位字母+六位数字遍历,（我知道很多朋友喜欢用生日做密码,那可真就不妙了）,或者13+8个数字遍历（用手机号码做密码的朋友小心了）,以及6位任意数字遍历,6位小写字母遍历（对付那些密码简单的朋友）,2位字母+四位任意数字密码混排遍历（如ma1234）,1位字母+4-5位数字混排遍历（如s7564）,这些都是比较容易出彩的规则,按照规则遍历,是黑客对用户心理的一种考验,一些用户图好记而采用的密码,也就是黑客最容易想到和突破的了.
以上是破解的原理,破解的途径也分为两种,一种是通过通讯程序远程试探,这种效率比较低,但是门槛也非常低,你不需要对对方服务器有太深入了解,只要知道一个用户帐号和登陆入口就可以开始了；另外一种是通过密码文件在本地破解,密码文件,可能是通过嗅探获得（比如加密传输的密码,明文传输的就无须破解了）,可能是通过某个系统漏洞获得,可能是通过CGI漏洞获取,可能是因为本人就具有主机的普通用户权限,可以阅读密码文件（对于一些未经安全配置的linux,普通用户通常可以在/etc/passwd中看到全部用户密文的密码）,有的读者就奇怪了,如果我拿到密码文件了,又知道加密算法（是呀,现在的加密算法几乎全是公开的）,直接解密不就ok了?干吗要一个一个试探?这里涉及了一个数学问题,就是密码的加密算法通常是单向散列函数,也就是不可逆的（顺便,邮件的加密算法是可逆的,否则邮件接收人就无法打开邮件了,但是可逆的前提是需要私人密钥,这里就不多做解释了）,举个例子,取模（整除后的余数）就是一个不可逆计算（18 mod 7 =4 ,不能通过x mod 7=4 推导出x=18,这就是不可逆）,当然加密算法不会只是取模的这么简单,但是限于笔者水平,也就不在这里拓展讨论,让专家取笑