密码安全：Web应用身份防线的核心攻防指南

密码作为Web应用最基础的身份验证凭证，是抵御未授权访问的第一道防线，同时也是渗透测试中最常被突破的薄弱点之一。从OWASP Top10的「Broken Authentication（身份认证失效）」漏洞分类来看，超过30%的Web安全事件都与密码相关的风险直接挂钩。本文将从密码安全基线、常见漏洞场景、渗透测试方法及企业防护策略四个维度，系统解析密码安全的攻防逻辑。

一、密码安全的核心基线标准

密码的安全性本质上取决于复杂度、唯一性、存储方式三个核心维度，行业通用的安全基线包括：

1. 长度与复杂度：推荐密码长度≥12位，组合小写字母、大写字母、数字、特殊字符（如@#$%^&*），避免使用字典词（如admin@123、Password123）、个人关联信息（生日、手机号、公司名称）。
2. 唯一性原则：禁止在多个平台复用相同密码，避免某平台密码泄露后引发跨平台撞库攻击。
3. 存储规范：必须使用强哈希算法加盐存储，禁止明文或弱加密（如MD5、SHA-1无盐存储），且盐值需为每个用户独立生成的随机字符串，而非全局统一盐。
4. 轮换机制：定期轮换密码（如90天），但禁止机械性修改（如Password1→Password2），避免被攻击者预判规律。

二、常见的密码相关漏洞与风险场景

1. 弱密码与凭证填充

弱密码是最普遍的密码风险，例如企业内部员工使用123456、姓名+生日作为系统密码，攻击者可通过字典枚举快速破解。而凭证填充攻击则是利用第三方平台泄露的密码库（如某电商、社交平台的泄露数据），针对目标系统的用户名列表批量尝试登录，成功率可达10%-20%。

2. 不安全的密码存储

部分系统仍使用MD5、SHA-1等已被淘汰的哈希算法存储密码，且未加盐或使用全局盐，攻击者拿到数据库后可通过彩虹表、在线哈希破解平台（如Hashcat、CrackStation）在几分钟内完成破解。更极端的场景是，部分小型系统直接明文存储密码，数据库一旦泄露，所有用户凭证将直接暴露。

3. 密码重置流程漏洞

密码重置环节的设计缺陷常被忽略：

• 验证码可爆破：4位/6位验证码未设置尝试次数限制，攻击者通过Burp Suite等工具暴力枚举；
• 重置链接可预测：链接仅包含用户ID等固定参数，无HMAC签名，攻击者可通过修改ID越权重置他人密码；
• 身份验证逻辑缺失：仅通过手机号验证，而手机号可通过社工或SIM卡劫持获取，导致密码被恶意重置。

4. 会话复用与凭证泄露

攻击者通过会话固定、XSS漏洞窃取用户的登录会话凭证，或通过钓鱼网站诱导用户输入密码，无需破解即可获取有效权限。此外，企业内部员工的密码若被社工获取，可能导致内部系统、数据库等核心资产被入侵。

三、渗透测试中针对密码的核心检测方法

1. 弱密码枚举与暴力破解

针对登录接口，使用Burp Suite Intruder、Hydra、Medusa等工具，结合定制化字典（包含目标企业相关信息、行业通用弱密码）进行暴力破解，重点测试：

• 验证码机制是否可绕过：如验证码在请求中返回明文、验证码有效期过长、无尝试次数限制；
• 账户锁定逻辑：如登录失败N次后是否锁定账户，锁定时间是否足够长，是否存在IP白名单绕过锁定的情况；
• 速率限制：是否有请求频率限制，是否可通过代理池、随机User-Agent绕过限制。

2. 密码存储安全审计

当获取到目标系统数据库后，重点审计：

• 加密算法：是否使用bcrypt、Argon2、PBKDF2等强哈希算法；
• 盐值策略：是否为每个用户分配独立随机盐，还是使用全局盐；
• 哈希强度：如PBKDF2的迭代次数是否≥10000次，bcrypt的工作因子是否≥12（因子越高破解难度越大）。

3. 密码重置流程全链路测试

• 验证码爆破测试：模拟攻击者用工具枚举4位/6位验证码，观察是否有次数、时间限制；
• 越权重置测试：尝试修改重置请求中的用户ID、邮箱参数，查看是否能重置他人密码；
• 重置链接安全性：检查链接是否包含时间戳、HMAC签名，是否存在链接复用、预测的可能性。

4. 撞库攻击模拟

收集目标系统的公开用户名列表（如招聘网站、企业官网的员工名单），结合公开泄露的密码库（如Have I Been Pwned数据库），批量尝试登录，验证系统是否存在撞库风险。

四、企业端的密码安全防护策略

1. 技术层面强化

• 强制安全策略：通过系统配置强制密码长度≥12位、复杂度要求，维护禁用密码字典（包含已知弱密码、企业关联词汇），禁止用户使用高危密码；
• 安全存储：采用Argon2或bcrypt算法存储密码，每个用户分配独立随机盐，确保哈希破解成本呈指数级上升；
• 多因素认证（MFA）：为核心系统启用MFA（如Google Authenticator、YubiKey硬件密钥、企业微信验证码），即使密码泄露，攻击者也无法绕过二次验证；
• 登录防护：设置登录失败锁定机制（5次错误锁定15分钟）、行为验证码（区分人机）、异常登录告警（异地登录、非常规时间登录触发邮件/短信告警）。

2. 流程与管理优化

• 定期密码审计：每月扫描系统内的弱密码、可破解的哈希值，强制用户修改高危密码；
• 重置流程规范：验证码有效时间≤5分钟，设置尝试次数限制；重置链接必须包含HMAC签名，且有效期≤1小时，使用后立即失效；
• 员工安全培训：教育员工使用密码管理器（如1Password、Bitwarden）管理密码，警惕钓鱼网站，禁止在非官方渠道输入密码。

密码安全绝非单一的技术问题，而是技术、管理与用户意识的结合体。企业需建立“防御-检测-响应”的全流程体系，而渗透测试则是提前发现密码漏洞、加固身份认证防线的核心手段。只有从源头规范密码使用，从技术层面强化防护，才能真正筑牢Web应用的身份安全屏障。