PHP 보안-무차별 대입 공격

폭행

무차별 공격(Brute Force Attack)은 특별한 수단을 사용하지 않고 모든 가능성을 동원하는 공격 방법이다. 보다 공식적인 이름은 철저한 공격, 즉 모든 가능성을 소진시키는 공격입니다.

액세스 제어의 경우 일반적인 무차별 대입 공격에는 공격자가 수많은 시도를 통해 시스템에 로그인을 시도하는 것이 포함됩니다. 대부분의 경우 사용자 이름은 알려져 있으며 비밀번호만 추측하면 됩니다.

무차별 공격에는 스킬이 없지만, 사전 공격에는 어느 정도 스킬이 있는 것 같다. 가장 큰 차이점은 추측하는 지능입니다. 사전 공격은 무차별 대입 공격과 같은 가능한 모든 상황을 소진하는 것이 아니라 가장 가능성이 높은 상황의 목록만 소진합니다.

인증 시도를 방지하거나 허용되는 오류 수를 제한하는 것은 상대적으로 효과적인 보안 조치이지만, 이를 수행하는 데 있어 딜레마는 합법적인 사용자에게 영향을 주지 않고 공격자를 식별하고 차단하는 방법입니다.

이 경우 일관성을 확인하면 둘을 구별하는 데 도움이 될 수 있습니다. 이 방법은 4장에서 설명한 세션 하이재킹 방지 방법과 매우 유사하지만, 합법적인 사용자가 아닌 공격자를 식별하려는 차이점이 있습니다.

다음 HTML 형식을 고려하세요.

CODE:
 
  <form action="http://example.org/login.php"
method="POST">
  <p>Username: <input type="text"
name="username" /></p>
  <p>Password: <input type="password"
name="password" /></p>
  <p><input type="submit"
/></p>
  </form>

공격자는 다음을 봅니다. 이 양식은 법률 데이터를 http://www.php.cn/에 게시하는 스크립트를 생성합니다:

CODE:
 
 <?php
 
  $username = &#39;victim&#39;;
  $password = &#39;guess&#39;;
 
  $content =
"username=$username&password=$password";
  $content_length = strlen($content);
 
  $http_request = &#39;&#39;;
  $http_response = &#39;&#39;;
 
  $http_request .= "POST /login.php
HTTP/1.1\r\n";
  $http_request .= "Host: example.org\r\n";
  $http_request .= "Content-Type:
application/x-www-form-urlencoded\r\n";
  $http_request .= "Content-Length:
$content_length\r\n";
  $http_request .= "Connection: close\r\n";
  $http_request .= "\r\n";
  $http_request .= $content;
 
  if ($handle = fsockopen(&#39;example.org&#39;, 80))
  {
    fputs($handle, $http_request);
 
    while (!feof($handle))
    {
      $http_response .= fgets($handle, 1024);
    }
 
    fclose($handle);
 
    /* Check Response */
  }
  else
  {
    /* Error */
  }
 
  ?>

이 스크립트를 사용하면 공격자는 단순히 루프를 추가하여 계속해서 다른 비밀번호를 시도하고 각 시도 후에 $http_response 변수를 확인할 수도 있습니다. $http_response 변수가 변경되면 올바른 비밀번호가 추측된 것으로 간주할 수 있습니다.

이러한 유형의 공격을 방지하기 위해 취할 수 있는 보안 조치는 다양합니다. 우리는 무차별 대입 공격에서 매우 중요한 비밀번호를 제외하고는 모든 HTTP 요청이 정확히 동일하다는 점을 발견했습니다.

특정 횟수의 시도 실패 후 일시적으로 계정을 동결하는 것이 효과적인 방어이지만 공격자가 애플리케이션에 대한 합법적인 사용자의 액세스에 영향을 줄 수 없도록 계정을 동결하는 보다 결정적인 접근 방식을 고려할 수 있습니다.

무차별 대입 공격을 더욱 어렵게 만들어 성공 가능성을 낮추는 프로세스도 있습니다. 간단한 격리 메커니즘으로 이 작업을 효과적으로 수행할 수 있습니다.

CODE:
 
 <?php
 
  /* mysql_connect() */
  /* mysql_select_db() */
 
  $clean = array();
  $mysql = array();
 
  $now = time();
  $max = $now - 15;
 
  $salt = &#39;SHIFLETT&#39;;
 
  if (ctype_alnum($_POST[&#39;username&#39;]))
  {
    $clean[&#39;username&#39;] = $_POST[&#39;username&#39;];
  }
  else
  {
    /* ... */
  }
  $clean[&#39;password&#39;] = md5($salt .
md5($_POST[&#39;password&#39;] . $salt));
  $mysql[&#39;username&#39;] =
mysql_real_escape_string($clean[&#39;username&#39;]);
 
  $sql = "SELECT last_failure, password
          FROM   users
          WHERE  username =
&#39;{$mysql[&#39;username&#39;]}&#39;";
 
  if ($result = mysql_query($sql))
  {
    if (mysql_num_rows($result))
    {
      $record = mysql_fetch_assoc($result);
 
      if ($record[&#39;last_failure&#39;]> $max)
      {
        /* Less than 15 seconds since last failure
*/
      }
      elseif ($record[&#39;password&#39;] ==
$clean[&#39;password&#39;])
      {
        /* Successful Login */
      }
      else
      {
        /* Failed Login */
 
        $sql = "UPDATE users
                SET    last_failure = &#39;$now&#39;
                WHERE  username =
&#39;{$mysql[&#39;username&#39;]}&#39;";
 
        mysql_query($sql);
      }
    }
    else
    {
      /* Invalid Username */
    }
  }
  else
  {
    /* Error */
  }
 
  ?>

위의 예는 마지막 검증 실패를 제한합니다. 시도 빈도 나중에 동일한 사용자로 다시. 시도 실패 후 15초 이내에 다시 시도하면 비밀번호가 맞는지 여부에 관계없이 인증에 실패합니다. 이것이 이번 계획의 핵심이다. 그러나 시도 실패 후 단순히 15초 동안 액세스를 차단하는 것만으로는 충분하지 않습니다. 이 시점에서는 입력이 무엇이든 출력은 동일하며 로그인에 성공한 후에만 달라집니다. 그렇지 않으면 공격자는 일관되지 않은 출력을 검사하여 로그인이 성공했는지 확인할 수 있습니다.

위 내용은 PHP 보안 - 무차별 대입공격 내용입니다. 자세한 내용은 PHP 중국어 홈페이지(www. php.cn)!