WebCrack：基于爆破响应事件判别的 Web 弱口令检测动态字典调整
密码学与安全
2022-10-27 v1 数据结构与算法
摘要
不同 Web 系统在页面元素、提交内容和返回信息上的特征多样性使得自动检测弱口令变得困难。为了解决这个问题，提出了集成在 DBKER 算法中的多因子关联检测方法，以实现 Web 弱口令和通用口令的自动检测。它基于 PCFG 算法生成口令字典，提出利用传统静态关键字特征和动态页面特征信息通过 4 个步骤判断爆破结果。然后判别爆破失败事件，并根据响应时间对用户名进行爆破。此后，根据响应失败页面提供的提示动态调整弱口令字典。基于该算法，本文实现了一个名为 WebCrack 的检测系统。在 DedeCMS 和 Discuz! 系统上进行的两次爆破测试以及随机后端测试的实验结果表明，所提出的方法能够检测各种 Web 系统的弱口令和通用口令，平均准确率约为 93.75%，为用户口令设置提供了安全建议，具有很强的实用性。
引用
@article{arxiv.2210.14582,
title = {WebCrack: Dynamic Dictionary Adjustment for Web Weak Password Detection based on Blasting Response Event Discrimination},
author = {Xiang Long and Yan Huang and Zhendong Liu and Lansheng Han and Haili Sun and Jingyuan He},
journal= {arXiv preprint arXiv:2210.14582},
year = {2022}
}
备注
22 pages, 6 figures, 4 tables