程序员征服安全：分享与学习系列 - 身份验证

在本篇博客中，我们将探讨各类组织面临的最常见问题之一，无论是运营网站的组织，还是允许员工远程访问计算机资源的组织——这几乎涵盖了所有组织。没错，你可能已经猜到了，我们要讨论的就是身份验证。

如果黑客只需使用有效的用户名和密码就能以管理员身份登录系统，那么他们根本无需动用高级技术来对抗网络防御。系统会直接敞开大门，让攻击者长驱直入。更糟糕的是，如果攻击者没有做出太出格的举动，他们的存在几乎无法被察觉，因为大多数防御机制只会将他们视为正在执行正常工作的合法用户或管理员。

身份验证漏洞的类别非常广泛，但我们将重点介绍那些容易在用户登录流程中被无意引入的最常见问题。通过修补这些漏洞，你可以消除组织中绝大多数的身份验证隐患。

在本期节目中，我们将学习：

• 常见身份验证漏洞的利用方式
• 为何它们如此危险
• 可用于消除身份验证漏洞的策略与技术。

攻击者如何利用身份验证漏洞？

身份验证系统中可能会潜入多种漏洞，因此黑客利用每种漏洞的方式也各不相同。首先，让我们梳理一下最常见的漏洞，然后通过示例演示其中几种漏洞可能被利用的方式。

最常见的身份验证漏洞包括：

• 密码策略薄弱或不完善，
• 允许无限制的登录尝试，
• 在登录失败时向攻击者泄露信息，
• 通过不安全的渠道传输凭据，
• 密码哈希处理强度不足，
• 以及密码恢复流程不安全。

密码策略薄弱可能是最常见的漏洞。如果允许用户创建没有任何限制的密码，那么会有太多人使用容易被猜到的密码。每年都有各种计算机新闻机构发布最常用密码列表，“123456”和“password”总是位列前五。还有其他一些，比如管理员就很喜欢用“God”。诚然，这些密码要么很有趣，要么容易记忆，但同时也极易被猜到。黑客非常清楚哪些是常用密码，在尝试入侵系统时，他们会优先尝试这些密码。如果你的组织允许使用这类密码，那么最终被入侵只是时间问题。

一个不太明显但同样危险的漏洞是，在登录失败时向用户返回具体信息。这样做非常糟糕，因为如果你在用户名不存在时返回一条消息，而在用户名存在但密码错误时返回另一条消息，攻击者就能借此映射出系统中的合法用户，并集中精力针对这些用户名进行密码猜测。如果再结合允许无限制尝试密码的漏洞，攻击者就能对他们发现的任何合法用户进行字典攻击，如果密码设置得过于简单，他们很快就能进入系统。

为什么身份验证漏洞如此危险？

美国西部拓荒时期流传着这样一个经典故事：一位多疑的农场主给前门装了三把锁，封死了窗户，还把枪放在触手可及的地方。结果第二天早上，人们发现他死了。攻击者之所以能得手，是因为他忘了锁后门。身份验证漏洞与之非常相似。如果攻击者能使用合法的用户名和密码进入你的网络，那么你部署了什么样的监控工具、采取了什么样的主动防御措施，或者雇佣了多少专家分析师，其实都无济于事。

一旦进入系统，攻击者的行为几乎不受任何限制。只要他们的操作在用户权限范围内（如果他们攻破的是管理员账户，权限可能非常大），就很难及时发现并阻止严重问题的发生。这使得身份验证类漏洞成为任何系统中最危险的漏洞之一。

消除身份验证漏洞

消除网络身份验证漏洞的最佳方法之一，是制定良好且全局强制执行的密码策略。不仅应限制用户（包括管理员）使用“password”之类的密码，还应强制要求增加密码复杂度，使攻击者无法通过字典攻击或常用短语攻击得逞。你可以根据所保护系统的重要性，制定自己的密码创建规则。这样做将大大增加攻击者猜测或暴力破解密码的难度。

你还应该限制登录失败的次数，例如，如果密码输入错误超过三次，就锁定该用户。锁定可以是暂时的，因为即使是几分钟的延迟也能阻止自动化的字典攻击继续进行。或者也可以是永久性的，除非由管理员解锁。无论哪种情况，每当发生此类锁定时，都应向安全人员发出警报，以便他们监控情况。

防止攻击者收集信息的另一种好方法是，在输入错误的用户名或密码时，统一返回一条通用的提示信息。无论哪种情况，提示内容都应保持一致，这样黑客就无法判断是因为用户名不存在还是密码错误而被拒绝登录。

身份验证漏洞是大多数系统中最为常见且危险的漏洞之一，但它们也相当容易被发现和消除。

关于身份验证漏洞的更多信息

如需深入了解，您可以查看 OWASP 身份验证备忘单。您还可以通过 免费演示 来测试您新掌握的防御知识，该演示来自 Secure Code Warrior 平台，旨在将网络安全团队培养成顶尖的网络战士。若要了解更多关于攻克此类漏洞及其他各类威胁的信息，请访问 Secure Code Warrior 博客。

在 Secure Code Warrior 平台上直面身份验证漏洞的挑战： [立即开始]