1. 面試:java登錄時 如何應對暴力破解的問題
有計數器和攔截器，超過一定的錯誤次數就引入另外一個業務，例如輸入頁面驗證碼，如果再錯誤就凍結賬號，或者間隔一定時間才能再試。
同時記錄該錯誤發生的日誌信息，達到預先設定的值就進行後台告警。
你自己試試一些網站多次登錄失敗的機制就知道了啊。
2. 什麼是暴力破解如果防止暴力破解
是linux系統嗎，可以用shell腳本完成
腳本
3. 如何防止web攻擊
SQL注入攻擊(SQL Injection)
攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的字元串，欺騙伺服器執行惡意的SQL命令。在某些表單中，用戶輸入的內容直接用來構造（或者影響）動態SQL命令，或作為存儲過程的輸入參數，這類表單特別容易受到SQL注入式攻擊。
常見的SQL注入式攻擊過程類如：
1.某個Web應用有一個登錄頁面，這個登錄頁面控制著用戶是否有權訪問應用，它要求用戶輸入一個名稱和密碼；
2.登錄頁面中輸入的內容將直接用來構造動態的SQL命令，或者直接用作存儲過程的參數；
例如：
$query = 'SELECT * from Users WHERE login = ' . $username . ' AND password = ' . $password;
3.攻擊者在用戶名字和密碼輸入框中輸入'或'1'='1之類的內容；
4.用戶輸入的內容提交給伺服器之後，伺服器運行上面的代碼構造出查詢用戶的SQL命令，但由於攻擊者輸入的內容非常特殊，所以最後得到的SQL命令變成：
SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'；
5.伺服器執行查詢或存儲過程，將用戶輸入的身份信息和伺服器中保存的身份信息進行對比；
6.由於SQL命令實際上已被注入式攻擊修改，已經不能真正驗證用戶身份，所以系統會錯誤地授權給攻擊者。
如果攻擊者知道應用會將表單中輸入的內容直接用於驗證身份的查詢，他就會嘗試輸入某些特殊的SQL字元串篡改查詢改變其原來的功能，欺騙系統授予訪問許可權。
系統環境不同，攻擊者可能造成的損害也不同，這主要由應用訪問資料庫的安全許可權決定。如果用戶的帳戶具有管理員或其他比較高級的許可權，攻擊者就可能對資料庫的表執行各種他想要做的操作，包括添加、刪除或更新數據，甚至可能直接刪除表
防範方法：
1.檢查變數數據類型和格式
2.過濾特殊符號
3.綁定變數，使用預編譯語句
跨網站腳本攻擊(Cross Site scripting, XSS)
攻擊者將惡意代碼注入到網頁上，其他用戶在載入網頁時就會執行代碼，攻擊者可能得到包括但不限於更高的許可權（如執行一些操作）、私密網頁內容、會話和cookie等各種內容。這些惡意代碼通常是javascript、HTML以及其他客戶端腳本語言。
例如：
<?php
echo "歡迎您，".$_GET['name'];
常用的攻擊手段有：
盜用cookie，獲取敏感信息；
利用iframe、frame、xmlHttpRequest或上述Flash等方式，以（被攻擊）用戶的身份執行一些管理動作，或執行一些一般的如發微博、加好友、發私信等操作；
利用可被攻擊的域受到其他域信任的特點，以受信任來源的身份請求一些平時不允許的操作，如進行不當的投票活動；
在訪問量極大的一些頁面上的XSS可以攻擊一些小型網站，實現DDoS攻擊的效果。
防範方法：使用htmlspecialchars函數將特殊字元轉換成HTML編碼，過濾輸出的變數
跨網站請求偽造攻擊(Cross Site Request Forgeries, CSRF)
攻擊者偽造目標用戶的HTTP請求，然後此請求發送到有CSRF漏洞的網站，網站執行此請求後，引發跨站請求偽造攻擊。攻擊者利用隱蔽的HTTP連接，讓目標用戶在不注意的情況下單擊這個鏈接，由於是用戶自己點擊的，而他又是合法用戶擁有合法許可權，所以目標用戶能夠在網站內執行特定的HTTP鏈接，從而達到攻擊者的目的。
它與XSS的攻擊方法不同，XSS利用漏洞影響站點內的用戶，攻擊目標是同一站點內的用戶者，而CSRF 通過偽裝成受害用戶發送惡意請求來影響Web系統中受害用戶的利益。
例如:
某個購物網站購買商品時，採用shop.com/buy.php?item=watch&num=100
item參數確定要購買什麼物品，num參數確定要購買數量，如果攻擊者以隱藏的方式發送給目標用戶鏈接那麼如果目標用戶不小心訪問以後，購買的數量就成了100個
防範方法：
1、檢查網頁的來源
2、檢查內置的隱藏變數
3、使用POST，不要使用GET，處理變數也不要直接使用$_REQUEST
Session固定攻擊(Session Fixation)
這種攻擊方式的核心要點就是讓合法用戶使用攻擊者預先設定的session id來訪問被攻擊的應用程序，一旦用戶的會話ID被成功固定，攻擊者就可以通過此session id來冒充用戶訪問應用程序。
例如:
1.攻擊者訪問網站bank.com，獲取他自己的session id，如：SID=123；
2.攻擊者給目標用戶發送鏈接，並帶上自己的session id，如：bank.com/?SID=123；
3.目標用戶點擊了bank.com/?SID=123，像往常一樣，輸入自己的用戶名、密碼登錄到網站；
4.由於伺服器的session id不改變，現在攻擊者點擊bank.com/?SID=123，他就擁有了目標用戶的身份，可以為所欲為了。
防範方法：
1.定期更改session id
session_regenerate_id(TRUE);//刪除舊的session文件，每次都會產生一個新的session id。默認false，保留舊的session
2.更改session的名稱
session的默認名稱是PHPSESSID，此變數會保存在cookie中，如果攻擊者不抓包分析，就不能猜到這個名稱，阻擋部分攻擊[code]session_name("mysessionid");
復制代碼
3.關閉透明化session id
透明化session id指當瀏覽器中的http請求沒有使用cookie來制定session id時，sessioin id使用鏈接來傳遞
int_set("session.use_trans_sid", 0);
復制代碼
4.只從cookie檢查session id
int_set("session.use_cookies", 1);//表示使用cookies存放session id
int_set("session.use_only_cookies", 1);//表示只使用cookies存放session id
復制代碼
5.使用URL傳遞隱藏參數
$sid = md5(uniqid(rand()), TRUE));
$_SESSION["sid"] = $sid;//攻擊者雖然能獲取session數據，但是無法得知$sid的值，只要檢查sid的值，就可以確認當前頁面是否是web程序自己調用的
Session劫持攻擊(Session Hijacking)
會話劫持是指攻擊者利用各種手段來獲取目標用戶的session id。一旦獲取到session id，那麼攻擊者可以利用目標用戶的身份來登錄網站，獲取目標用戶的操作許可權。
攻擊者獲取目標用戶session id的方法:
1.暴力破解:嘗試各種session id，直到破解為止;
2.計算:如果session id使用非隨機的方式產生，那麼就有可能計算出來;
3.竊取:使用網路截獲，xss攻擊等方法獲得
防範方法：
1.定期更改session id
2.更改session的名稱
3.關閉透明化session id
4.設置HttpOnly。通過設置Cookie的HttpOnly為true，可以防止客戶端腳本訪問這個Cookie，從而有效的防止XSS攻擊。
文件上傳漏洞攻擊(File Upload Attack)
文件上傳漏洞指攻擊者利用程序缺陷繞過系統對文件的驗證與處理策略將惡意代碼上傳到伺服器並獲得執行伺服器端命令的能力。
常用的攻擊手段有：
上傳Web腳本代碼，Web容器解釋執行上傳的惡意腳本；
上傳Flash跨域策略文件crossdomain.xml，修改訪問許可權(其他策略文件利用方式類似)；
上傳病毒、木馬文件，誘騙用戶和管理員下載執行；
上傳包含腳本的圖片，某些瀏覽器的低級版本會執行該腳本，用於釣魚和欺詐。
總的來說，利用的上傳文件要麼具備可執行能力(惡意代碼)，要麼具備影響伺服器行為的能力(配置文件)。
防範方法：
1.文件上傳的目錄設置為不可執行；
2.判斷文件類型，設置白名單。對於圖片的處理，可以使用壓縮函數或者resize函數，在處理圖片的同時破壞圖片中可能包含的HTML代碼；
3.使用隨機數改寫文件名和文件路徑：一個是上傳後無法訪問；再來就是像shell.php.rar.rar和crossdomain.xml這種文件，都將因為重命名而無法攻擊；
4.單獨設置文件伺服器的域名：由於瀏覽器同源策略的關系，一系列客戶端攻擊將失效，比如上傳crossdomain.xml、上傳包含javascript的XSS利用等問題將得到解決。
4. web認證登入系統怎麼破解
web認證登入系統的破解方法
1.直接法（對症下葯）
當彈出「該站點安全證書的吊銷信息不可用.是否繼續? 」的對話框時，點擊「查看證書」，切換到「詳細信息」TAB頁，找到其「CRL分發點」的URL，復制下來，用迅雷等下載工具或找一台可以正常訪問該URL的機器將該文件下載後並復制過來。
點擊滑鼠右鍵，選擇「安裝」，按照向導完成安裝。
此時再重瀏覽該站點就不會再收到「不能檢查伺服器證書的吊銷信息」了。
當然，當超過了「下一次的更新」日期，運氣不佳的你可能又需要重做一次。
2.間接法（視乎可以一勞永逸，卻留有隱患）
打開Internet Explorer瀏覽器——工具——Internet 選項——高級，依次做如下操作：
取消勾選證書吊銷的2個選項
確認勾選使用SSL2.0與3.0選項
取消勾選安全模式和非安全模式切換警告
5. 我這里有一個web登錄的腳本，有誰能想到暴力破解的辦法
暴力破解就是一個接一個的試，直到試驗出正確的密碼
沒什麼方法可言 完全靠運氣
6. web網頁認證的Wifi如何破解
凡是網頁認證的WiFi都很難破解的，而且過程復雜，既然不能破解，那麼就別用了，影響學習。記得好像看過一篇破解WiFi的文章，你可以網路一下怎麼破解要登錄的WiFi。
7. web暴力破解登錄,屬於攻擊鏈模型的哪個階段
第6個階段，執行活動。
暴力破解登錄即在沒有得到允許的情況下，破解了信息並進行篡改，而執行活動階段即執行所有的活動行為，如偷取信息、篡改信息，所以屬於第六個階段。
攻擊鏈模型分為七個階段，一是偵查目標、二是製作工具、三是傳送工具、四是觸發工具、五是控制目標、六是執行活動、七是保留據點，屬於多目標、多階段、更低調的攻擊方式，web暴力破擊登錄只是其中的一種。
8. 帶驗證碼的網頁登陸，如何暴力破解
驗證碼的目的就是進行人機區分，防止頻繁提交來暴力破解賬號等，要達到暴力破解的前提就是得用自動化程序來通過人機驗證。驗證碼的種類很多，每種的破解方式的不同，相對來說字元類驗證碼比較容易破解，因為字元庫永遠是有限的。現在比較流行的行為驗證還分析了用戶的行為特徵，要破解就更難了。比如VAPTCHA這種隨機軌跡的手勢驗證碼，具有無限種驗證軌跡，用傳統的破解方式是無法破解的。
9. 怎樣簡單快速破解WEB密碼
操作系統：Microsoft Windows XP 用到工具：1. webshell密碼破解器 看到這個 UserPass="" mName="[H.K.C]黑客小組" '你的後門名字 UserPass 用戶密碼，不會那麼長吧！~呵呵，加了密的，下面就用工具解密了 把""中間的數據復制下來，點解密就OK了 shangwangle.com 這個就是密碼了，復制進去，OK，下面教大家，簡單的提權 查看3389登錄信息 -- 當前終端服務埠: 5566 系統自動登錄功能未開啟 125.46.10.61:5566 我們用 Servu提權 cmd /c net user 12345 123 /add & net localgroup administrators 12345 /add 這個是加用戶的命令 提權完畢,已執行了命令： cmd /c net user 12345 123 /add & net localgroup administrators 12345 /add 下面用3389連接器連一下 這個伺服器是網通，我這是電信的所以慢，請快進吧 不好意思，還在下東西！~呵呵 好了，這個應該很簡單吧！~ 原理是利用Serv-u安裝時候的默認密碼提權 #l@$ak#.lk;0@P 這個就是默認密碼了 不管他了！~~ 教程就到這里吧！~~~
10. 使用WordPress系統網站被暴力破解了，應該怎麼解決以及預防
WordPress優化一直以來是各位wordpress站長所關心的問題，wordpress本身已經有強大的安全防護措施，但是無聊人士之多，今天就跟大家談談如何保護你的wordpress網站。 什麼是暴力破解? 不是每一個WordPress站長或者Web開發人員都不錯。總有一些邪惡的人。 暴力破解是當一個人或一些機器上嘗試通過反復發送的登錄嘗試破解您的用戶名密碼組合。 他們會使用一些常見的和隨機的用戶名和密碼組合進行連續登錄嘗試到你的WordPress。 如何保護你的wordpress防止被暴力破解? 當然這是我們今天討論的主題，暴力破解是邪惡的，但是你可以很容易地通過採取下面這些簡單的預防措施保護您的WordPress的強力攻擊： 強大的用戶名： 您還是使用的是admin為你的WordPress的用戶名? 這是默認的用戶名也很容易被黑客猜出此用戶名。 請務必使用您的姓名或不同的東西作為你的WordPress的管理員用戶名。 強密碼： 就像強大的用戶名，你需要一個強大的密碼! 暴力破解者試圖猜測一些隨機密碼組合，字典中的單詞，並使用所有常用的密碼破解您的密碼。 使用password作為您的密碼是不是一個明智的舉動，因為暴力破解將馬上破解這個密碼。 強大的wordpress密碼應該使用隨機字母，數字和特殊字元。 不要使用類似123456或QWERTY字元串。 您也可以通過訪問howsecureismypassword.net 來檢查您的密碼強度。 限制登錄嘗試： 您也應該在你的WordPress網站限制登錄嘗試。 限制登錄嘗試的插件(Limit Login Attempts)會阻止管理員指定的限制登陸次數後的操作。 它不會讓暴力破解嘗試破解你的密碼。 通過IP限制進入wp-admin和wp-login： 如果你是一個人在管理你的WordPress，那麼只需要你自己能進入wordpress後台即可，你可以設定一個固定的IP地址段，通過.htaccess文件來限制進入wp-login和wp-admin。 你可以這樣寫： Order deny,allow Deny from all Allow from xx.xx.xx.0/24 #Another IP Allow from xx.xx.xx.xx 替換xx.xx.xx.xx 成你的IP地址. 要知道你的IP地址，你可以在網路中輸入IP即可查詢，也可以訪問ip138。 WordPress插件： 其實這方面的插件很多，今天主要是介紹這款插件Wordfence Security，後台搜索即可安裝，此款插件可以保護你的wordpress的安全，防止被暴力破解等攻擊。 所有這些步驟一定會保護你的WordPress網站從所有這些無用和邪惡的暴力破解攻擊，你認為這些方法怎麼樣?轉賬請註明：/save-wordpress-brute-force-attacks/ 謝謝合作