弱口令爆破：hydra 实战与防御

写在前面：合法学习边界

弱口令爆破是高风险行为。本文只讲原理和防御，所有示例命令只适合在自建靶场或明确授权的目标上使用。未经授权对他人账号进行爆破、尝试登录、撞库或字典测试，都可能触犯法律并造成事故。

很多系统即使没有代码漏洞，也可能因为弱口令被攻破。常见原因：

1
2
3
4
5
6
默认口令未修改
常见单词加简单后缀
密码复用
没有登录失败限制
没有 MFA
没有账户锁定

hydra 是一个支持多种协议的离线/在线口令爆破工具。它可以针对 SSH、HTTP、FTP、Telnet 等服务进行密码尝试。

它适合学习的是：

1
2
3
4
哪些目标最容易弱口令
如何配置速率
如何记录结果
如何从防御侧阻断爆破

1
hydra -L users.txt -P passwords.txt ssh://127.0.0.1 -t 4

-L 指定用户名文件，-P 指定密码文件，-t 指定并发线程。

1
hydra -L users.txt -P passwords.txt http-post-form "//127.0.0.1/login:username=^USER^&password=^PASS^:F=Invalid"

不同网站的登录失败特征不同，需要根据目标响应调整判断条件。

暴力测试会造成明显异常流量：

1
2
3
4
大量 401/403
大量失败登录
短时间高频请求
触发 WAF、防火墙或风控

这也意味着，只要系统有日志和告警，爆破很容易被发现。

要求足够的长度和复杂度，禁止默认密码。

失败达到阈值后锁定账号或延迟响应。

对管理员和高风险入口启用 MFA。

只允许可信来源访问登录入口。

监控异常失败登录、异地登录和短时间大量请求。

示例：

1
2
3
发现：SSH 服务存在弱口令迹象，登录失败日志中出现异常频率尝试。
风险：可能导致未授权访问和横向移动。
建议：强制强密码；启用 MFA；限制源 IP；开启账户锁定和告警。

弱口令问题的核心不是工具，而是身份验证设计。理解爆破行为后，更要理解系统如何发现、阻断和审计这些异常。