在线攻击与离线攻击

密码攻击分为两个世界。离线攻击在本地处理获取到的哈希：速度快、没有网络痕迹，限制因素只有硬件。在线攻击则通过网络针对正在运行的服务进行密码猜测：速度慢、容易留下痕迹，并且受到速率限制。

离线破解（Hashcat、John）要求您先获取哈希—可以来自数据库转储、/etc/shadow 或捕获到的握手信息。获得哈希后，您可以在没有任何网络流量的情况下，每秒进行数十亿次猜测。

在线攻击会直接向服务发送登录尝试：SSH、RDP、FTP、网页表单等。速度受到网络延迟和服务器速率限制的影响，每次尝试都可能被记录，或触发账户锁定。

THC-Hydra 是标准的在线暴力破解工具。它支持多种协议，并可以并行执行登录尝试。您需要提供用户名或用户名列表、密码列表、目标以及服务模块。

主要选项：

• -l 单个用户 / -L 用户列表
• -p 单个密码 / -P 密码列表
• -t 并行任务数
• -f 首次成功后停止

对于 HTTP POST 登录表单，Hydra 需要路径、包含 ^USER^/^PASS^ 占位符的 POST 请求正文，以及用于判断哪些响应代表错误的失败字符串。

喷洒与暴力破解的方式相反：将一个常见密码（例如 Spring2024!）尝试用于多个账户。这可以避开针对单个账户的锁定阈值，对于密码策略薄弱的组织非常有效。

凭据填充会重放从其他数据泄露事件中获得的用户名和密码组合，利用用户重复使用凭据这一点进行尝试。它完全不需要破解—只需要来自先前转储的有效凭据组合。

防御人员可以通过账户锁定、速率限制、CAPTCHA、MFA以及监控大量失败尝试来削弱在线攻击。这些措施对离线破解作用不大，因此必须使用强哈希算法（bcrypt/Argon2）并配合盐值，以提高离线抵抗能力。

如果您能够窃取哈希数据库，请选择离线方式—速度更快，也更隐蔽。如果您只有登录端点，则只能在线操作—此时应缓慢地喷洒少量高质量密码，而不是持续轰击一个账户。

在线攻击可能会锁定真实用户并触发警报—请与客户协调，并遵守账户锁定策略。任何攻击都只能在获得授权且范围明确的测试活动中进行。

区分不同的攻击类型。

您比较了不同的攻击策略：

• 离线 = 在本地破解捕获的哈希；速度快且安静
• 在线 = 针对正在运行的服务进行猜测；速度慢、容易留下痕迹，并受到速率限制
• Hydra 可对协议和网页表单进行暴力破解
• 喷洒和凭据填充可以规避账户锁定，并利用泄露的凭据

密码破解课程到此结束。