CN110581827A - 一种针对于暴力破解的检测方法及装置 - Google Patents

Abstract

本申请公开了一种针对于暴力破解的检测方法，包括：获取客户端中各个账号的登录日志；根据登录日志确定各个账号的历史尝试密码；将各个账号的历史尝试密码分别在爆破字典中进行匹配查找；爆破字典中收录有尝试登录过不同账号且均登录失败的历史尝试密码；根据匹配查找结果判断账号的历史尝试密码是否满足预设条件，预设条件包括账号的历史尝试密码在爆破字典中被匹配查找到的比例超出预设比值上限；若是，则判定账号受到了暴力破解的攻击。本申请不仅能够提供直观具体的检测结果，而且还不依赖于对登录次数或频率的判断，具有较强的检测能力。本申请还公开了一种针对于暴力破解的检测装置、设备及计算机可读存储介质，也具有上述有益效果。

Description

一种针对于暴力破解的检测方法及装置

技术领域

本申请涉及反黑客技术领域，特别涉及一种针对于暴力破解的检测方法、装置、设备及计算机可读存储介质。

背景技术

随着网络技术的快速发展，网络黑客的攻击手段越来越多，网络安全问题的重要性也日益增加。

暴力破解是黑客们用来获取用户账号密码以盗用用户账号的攻击手段。其具体的实施过程就是采用穷举法系统地组合账号名或密码的所有可能性，通过尝试所有的可能性来破解用户的账户名、密码等敏感信息。攻击者经常会使用自动化脚本组合出各个用户名和密码，所以，攻击时间越长，其组合出正确的账号名和密码的可能性就越大。

现有技术中用于检测暴力攻击的检测方法主要分为两种，其中一种是将账号登录行为的尝试次数和尝试频率作为判断依据的检测方案。该方法针对于不同数量规模和不同应用场景的用户账号，需要按情况分别设置各自合理有效的判断阈值，因此难以实现。并且，尝试频率这一判断标准对于慢速暴力破解行为是无法起到检测作用的，而只使用尝试次数这一判断标准所得到的结果的准确度较差。另一种方法是基于特征向量、采用机器学习算法的聚类分析方案，该方法的检测结果的用户可读性不强，无法向用户提供直观的、具体的攻击信息，例如被攻击的账号等。

由此可见，采用何种针对于暴力破解的检测技术，以便有效提高其通用性和检测结果的直观性，进而提高其检测能力，是本领域技术人员所亟待解决的技术问题。

发明内容

本申请的目的在于提供一种针对于暴力破解的检测方法、装置、设备及计算机可读存储介质，以便有效地提高其通用性和检测结果的直观性，进而提高其检测能力。

为解决上述技术问题，本申请提供一种针对于暴力破解的检测方法，包括：

获取客户端中各个账号的登录日志；

根据所述登录日志确定各个所述账号的历史尝试密码；

将各个所述账号的历史尝试密码分别在爆破字典中进行匹配查找；所述爆破字典中收录有尝试登录过不同所述账号且均登录失败的所述历史尝试密码；

根据匹配查找结果判断所述账号的历史尝试密码是否满足预设条件，所述预设条件包括所述账号的历史尝试密码在所述爆破字典中被匹配查找到的比例超出预设比值上限；若是，则判定所述账号受到了暴力破解的攻击。

可选地，所述预设条件还包括：

所述账号的历史尝试密码的数量超出预设数量上限。

可选地，在所述判定所述账号受到了暴力破解的攻击之后，还包括：

判断所述账号是否存在登录成功的历史尝试密码；

若所述账号不存在登录成功的历史尝试密码，则判定所述账号尚未被暴力破解成功；

若所述账号存在登录成功的历史尝试密码，则判断所述登录成功的历史尝试密码是否在所述爆破字典中匹配查找成功；

若是，则判定所述账号已经被暴力破解成功。

可选地，在所述判定所述账号受到了暴力破解的攻击之后，还包括：

生成警示信息的显示指令，以便通过所述警示信息向管理员示警。

可选地，所述警示信息包括：

文字警示信息和/或图像警示信息。

本申请还提供了一种针对于暴力破解的检测装置，应用于服务器，包括：

获取模块：用于获取客户端中各个账号的登录日志；

确定模块：用于根据所述登录日志确定各个所述账号的历史尝试密码；

查找模块：用于将各个所述账号的历史尝试密码分别在爆破字典中进行匹配查找；所述爆破字典中收录有尝试登录过不同所述账号且均登录失败的所述历史尝试密码；

判断模块：用于根据匹配查找结果判断所述账号的历史尝试密码是否满足预设条件，所述预设条件包括所述账号的历史尝试密码在所述爆破字典中被匹配查找到的比例超出预设比值上限；若是，则判定所述账号受到了暴力破解的攻击。

可选地，所述判断模块还用于：

在所述判定所述账号受到了暴力破解的攻击之后，判断所述账号是否存在登录成功的历史尝试密码；若所述账号不存在登录成功的历史尝试密码，则判定所述账号尚未被暴力破解成功；若所述账号存在登录成功的历史尝试密码，则判断所述登录成功的历史尝试密码是否在所述爆破字典中匹配查找成功；若是，则判定所述账号已经被暴力破解成功。

可选地，还包括：

指令模块：用于当所述判断模块判定所述账号受到了暴力破解的攻击时，生成警示信息的显示指令，以便通过所述警示信息向管理员示警。

本申请还提供了一种针对于暴力破解的检测设备，包括：

存储器：用于存储计算机程序；

处理器：用于执行所述计算机程序以实现如上所述的任一种针对于暴力破解的检测方法的步骤。

本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的任一种针对于暴力破解的检测方法的步骤。

本申请所提供的针对于暴力破解的检测方法包括：获取客户端中各个账号的登录日志；根据所述登录日志确定各个所述账号的历史尝试密码；将各个所述账号的历史尝试密码分别在爆破字典中进行匹配查找；所述爆破字典中收录有尝试登录过不同所述账号且均登录失败的所述历史尝试密码；根据匹配查找结果判断所述账号的历史尝试密码是否满足预设条件，所述预设条件包括所述账号的历史尝试密码在所述爆破字典中被匹配查找到的比例超出预设比值上限；若是，则判定所述账号受到了暴力破解的攻击。

可见，相比于现有技术，本申请所提供的针对于暴力破解的检测方法，依据的是暴力破解使用弱密码进行攻击的特点，利用建立的密码字典，对账号历史尝试密码中的弱密码进行匹配查找，进而可以根据查找结果判断弱密码的比例，进而对该账号是否被暴力破解攻击进行判断。本申请所提供的检测方法不仅能够提供直观具体的检测结果，而且还不依赖于对登录次数或频率的判断，因而具有较强的检测能力，在各种应用场景中的通用性较强。本申请所提供的针对于暴力破解的检测装置、设备及计算机可读存储介质可以实现上述针对于暴力破解的检测方法，同样具有上述有益效果。

附图说明

为了更清楚地说明现有技术和本申请实施例中的技术方案，下面将对现有技术和本申请实施例描述中需要使用的附图作简要的介绍。当然，下面有关本申请实施例的附图描述的仅仅是本申请中的一部分实施例，对于本领域普通技术人员来说，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图，所获得的其他附图也属于本申请的保护范围。

图1为本申请实施例所提供的一种针对于暴力破解的检测方法的流程图；

图2为本申请实施例所提供的一种针对于暴力破解的检测装置的结构框图。

具体实施方式

本申请的核心在于提供一种针对于暴力破解的检测方法、装置、设备及计算机可读存储介质，以便有效地提高其通用性和检测结果的直观性，进而提高其检测能力。

为了对本申请实施例中的技术方案进行更加清楚、完整地描述，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行介绍。显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

请参考图1，图1为本申请实施例所提供的一种针对于暴力破解的检测方法的流程图，主要包括以下步骤：

步骤1：获取客户端中各个账号的登录日志。

步骤2：根据登录日志确定各个账号的历史尝试密码。

步骤3：将各个账号的历史尝试密码分别在爆破字典中进行匹配查找；爆破字典中收录有尝试登录过不同账号且均登录失败的历史尝试密码。

具体地，攻击者在采用暴力破解的手段来攻击用户账号时，一般都是采用密码字典来生成各种可能的账号和密码的。密码字典里收录有大量的人们所习惯性设置的密码，即弱密码，与暴力破解软件配合使用，可以提高密码破译成功率和命中率，缩短密码破译的时间。所说的弱密码多为简单的数字组合、与账号相同的数字组合、键盘上的邻近建或者常见姓名等，例如“123456”、“abc123”、“Michael”等等。

基于此，本申请实施例所提供的针对于暴力破解的检测方法，按照攻击者的攻击思路，也同样利用了密码字典，通过检测出现在密码字典中的密码比例来对攻击者的暴力破解行为进行检测。

其中，本申请中所使用的密码字典是基于各个账号的历史尝试密码所生成的。顾名思义，历史尝试密码就是曾经尝试登录账号的密码。登录日志中记录有账号每次登录过程的详细信息，例如所尝试使用的登录密码(即历史尝试密码)、登录时间和登录结果等。由于攻击者在进行暴力破解时常常攻击多个账号，因此，在不同账号登录失败的历史尝试密码中重复出现的密码很可能就是弱密码。所以，本申请可以利用尝试登录过不同账号且均登录失败的历史尝试密码来建立密码字典。

例如，某个公司的6个账号的登录情况如表1所示。则从各个账号的登录失败记录中，可以确定出重复出现过的历史尝试密码有：“11”、“22”、“33”、“44”、“55”、“66”、“77”和“88”，因此，即可将这8个历史尝试密码收录到所说的密码字典中。

表1

当然，这里所说的密码字典可以单独地定时更新，也可以在每次检测过程中获取到各账号历史尝试密码之后进行更新，本申请实施例对此并不进行限定。

由此，当从各个账号的登录日志中确定了各个账号的历史尝试密码之后，便可以将各个账号的历史尝试密码分别在爆破字典中进行匹配查找。由于密码字典中收录有尝试登录过不同账号且均登录失败的历史尝试密码，即弱密码，因此对于各个账号而言，被字典密码查找到的历史尝试密码的比例就是其历史尝试密码中弱密码的比例。根据该比例就可以对该账号是否受到暴力破解攻击而进行判断。

步骤4：根据匹配查找结果判断账号的历史尝试密码是否满足预设条件，预设条件包括账号的历史尝试密码在爆破字典中被匹配查找到的比例超出预设比值上限；若是，则进入步骤5。

具体地，由于暴力破解主要是运用一些弱密码，因此，当账号的历史尝试密码中弱密码所占的比例超出了预设比值上限时，就说明该账号受到了暴力破解的攻击。因此，可将账号的历史尝试密码在爆破字典中被匹配查找到的比例超出预设比值上限作为预设条件，当该预设条件满足时，即可判定对应的账号暴力破解攻击。当然，预设条件还可以包括其他一些条件，以及所说的预设比值上限的具体取值，都可由本领域技术人员根据实际使用情况而自行选择并设置实现，本申请实施例对此并不进行限定。

步骤5：判定账号受到了暴力破解的攻击。

可见，本申请实施例所提供的针对于暴力破解的检测方法，依据的是暴力破解使用弱密码进行攻击的特点，利用建立的密码字典，对账号历史尝试密码中的弱密码进行匹配查找，进而可以根据查找结果判断弱密码的比例，进而对该账号是否被暴力破解攻击进行判断。本申请所提供的检测方法不仅能够提供直观具体的检测结果，而且还不依赖于对登录次数或频率的判断，因而具有较强的检测能力，在各种应用场景中的通用性较强。

本申请所提供的针对于暴力破解的检测方法，在上述实施例的基础上：

作为一种优选实施例，预设条件还包括：

账号的历史尝试密码的数量超出预设数量上限。

具体地，如前所述，预设条件还可以包括一些其他条件。其中，账号的历史尝试密码的数量反映的是该账号被尝试登录的次数特征，而如果用户账号被暴力破解攻击，其历史尝试密码的数量很可能会很大。因此，可将账号的历史尝试密码的数量超出预设数量上限也作为所说的预设条件，当两个预设条件均满足时则判定账号被暴力破解攻击。使用多个预设条件进行判断，可以进一步加强检测能力，提高检测结果的准确率。事实上，当一些公司公用账号的常用密码均为弱密码但数量较少(一般不会超过10个)时，单独使用弱密码所占比例来进行判断的话，就会被误判为账号被暴力破解，而使用这两个预设条件来进行判断就可以避免误报。至于所说的预设数量上限的具体取值，同样可由本领域技术人员根据实际使用情况而自行选择并设置实现，本申请实施例对此并不进行限定。

作为一种优选实施例，在判定账号受到了暴力破解的攻击之后，还包括：

判断账号是否存在登录成功的历史尝试密码；

若账号不存在登录成功的历史尝试密码，则判定账号尚未被暴力破解成功；

若账号存在登录成功的历史尝试密码，则判断登录成功的历史尝试密码是否在爆破字典中匹配查找成功；

若是，则判定账号已经被暴力破解成功。

具体地，本申请还可以进一步对账号的受攻击情况进行判断。一般来说，根据账号的历史登录结果可将其分为两类，即有登录成功记录的账号和没有登录成功记录的账号。对于没有登录成功记录的账号，如果其历史尝试密码满足了预设条件，则说明该账号正在遭受暴力破解的攻击，但是尚未被破解成功。而对于已经存在登录成功记录的账号，需要再结合其成功登录的历史尝试密码进行判断：如果该成功登录的历史尝试密码也是弱密码而被密码字典查找到的话，可判定该账号已经被暴力破解成功。

作为一种优选实施例，在判定账号受到了暴力破解的攻击之后，还包括：

生成警示信息的显示指令，以便通过警示信息向管理员示警。

具体地，当检测出该账号受到了暴力破解的攻击之后，可以进一步通过显示指令来向管理员显示警示信息，以便管理员及时对受到攻击的账号等进行处理。

作为一种优选实施例，警示信息包括：

文字警示信息和/或图像警示信息。

具体地，所说的警示信息可以为文字警示信息和/或者图像警示信息等，本领域技术人员可以根据实际应用情况自行选择并设置。

下面对本申请实施例所提供的针对于暴力破解的检测装置进行介绍。

请参阅图2，图2为本申请所提供的一种针对于暴力破解的检测装置的结构框图；应用于服务器，包括获取模块1,确定模块2,查找模块3和判断模块4：

获取模块1用于获取客户端中各个账号的登录日志；

确定模块2用于根据登录日志确定各个账号的历史尝试密码；

查找模块3用于将各个账号的历史尝试密码分别在爆破字典中进行匹配查找；爆破字典中收录有尝试登录过不同账号且均登录失败的历史尝试密码；

判断模块4用于根据匹配查找结果判断账号的历史尝试密码是否满足预设条件，预设条件包括账号的历史尝试密码在爆破字典中被匹配查找到的比例超出预设比值上限；若是，则判定账号受到了暴力破解的攻击。

可见，本申请所提供的针对于暴力破解的检测装置，依据的是暴力破解使用弱密码进行攻击的特点，利用建立的密码字典，对账号历史尝试密码中的弱密码进行匹配查找，进而可以根据查找结果判断弱密码的比例，进而对该账号是否被暴力破解攻击进行判断。本申请所提供的检测装置不仅能够提供直观具体的检测结果，而且还不依赖于对登录次数或频率的判断，因而具有较强的检测能力，在各种应用场景中的通用性较强。

本申请所提供的针对于暴力破解的检测装置，在上述实施例的基础上：

作为一种优选实施例，判断模块4还用于：

在判定账号受到了暴力破解的攻击之后，判断账号是否存在登录成功的历史尝试密码；若账号不存在登录成功的历史尝试密码，则判定账号尚未被暴力破解成功；若账号存在登录成功的历史尝试密码，则判断登录成功的历史尝试密码是否在爆破字典中匹配查找成功；若是，则判定账号已经被暴力破解成功。

作为一种优选实施例，还包括：

指令模块：用于当判断模块4判定账号受到了暴力破解的攻击时，生成警示信息的显示指令，以便通过警示信息向管理员示警。

本申请还提供了一种针对于暴力破解的检测设备，包括：

存储器：用于存储计算机程序；

处理器：用于执行所述计算机程序以实现如上任一实施例所介绍的针对于暴力破解的检测方法的步骤。

本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现如上任一实施例所介绍的针对于暴力破解的检测方法的步骤。

本申请所提供的针对于暴力破解的检测装置,设备及计算机可读存储介质的具体实施方式与上文所描述的针对于暴力破解的检测方法可相互对应参照，这里就不再赘述。

本申请中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

还需说明的是，在本申请文件中，诸如“第一”和“第二”之类的关系术语，仅仅用来将一个实体或者操作与另一个实体或者操作区分开来，而不一定要求或者暗示这些实体或者操作之间存在任何这种实际的关系或者顺序。此外，术语“包括”,“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程,方法,物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程,方法,物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程,方法,物品或者设备中还存在另外的相同要素。

以上对本申请所提供的技术方案进行了详细介绍。本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

Claims (10)

1.一种针对于暴力破解的检测方法，应用于服务器，其特征在于，包括：

获取客户端中各个账号的登录日志；

根据所述登录日志确定各个所述账号的历史尝试密码；

将各个所述账号的历史尝试密码分别在爆破字典中进行匹配查找；所述爆破字典中收录有尝试登录过不同所述账号且均登录失败的所述历史尝试密码；

根据匹配查找结果判断所述账号的历史尝试密码是否满足预设条件，所述预设条件包括所述账号的历史尝试密码在所述爆破字典中被匹配查找到的比例超出预设比值上限；若是，则判定所述账号受到了暴力破解的攻击。

2.根据权利要求1所述的针对于暴力破解的检测方法，其特征在于，所述预设条件还包括：

所述账号的历史尝试密码的数量超出预设数量上限。

3.根据权利要求1所述的针对于暴力破解的检测方法，其特征在于，在所述判定所述账号受到了暴力破解的攻击之后，还包括：

判断所述账号是否存在登录成功的历史尝试密码；

若所述账号不存在登录成功的历史尝试密码，则判定所述账号尚未被暴力破解成功；

若所述账号存在登录成功的历史尝试密码，则判断所述登录成功的历史尝试密码是否在所述爆破字典中匹配查找成功；

若是，则判定所述账号已经被暴力破解成功。

4.根据权利要求1至3任一项所述的针对于暴力破解的检测方法，其特征在于，在所述判定所述账号受到了暴力破解的攻击之后，还包括：

生成警示信息的显示指令，以便通过所述警示信息向管理员示警。

5.根据权利要求4所述的针对于暴力破解的检测方法，其特征在于，所述警示信息包括：

文字警示信息和/或图像警示信息。

6.一种针对于暴力破解的检测装置，应用于服务器，其特征在于，包括：

获取模块：用于获取客户端中各个账号的登录日志；

确定模块：用于根据所述登录日志确定各个所述账号的历史尝试密码；

查找模块：用于将各个所述账号的历史尝试密码分别在爆破字典中进行匹配查找；所述爆破字典中收录有尝试登录过不同所述账号且均登录失败的所述历史尝试密码；

判断模块：用于根据匹配查找结果判断所述账号的历史尝试密码是否满足预设条件，所述预设条件包括所述账号的历史尝试密码在所述爆破字典中被匹配查找到的比例超出预设比值上限；若是，则判定所述账号受到了暴力破解的攻击。

7.根据权利要求6所述的针对于暴力破解的检测装置，其特征在于，所述判断模块还用于：

在所述判定所述账号受到了暴力破解的攻击之后，判断所述账号是否存在登录成功的历史尝试密码；若所述账号不存在登录成功的历史尝试密码，则判定所述账号尚未被暴力破解成功；若所述账号存在登录成功的历史尝试密码，则判断所述登录成功的历史尝试密码是否在所述爆破字典中匹配查找成功；若是，则判定所述账号已经被暴力破解成功。

8.根据权利要求6或者7所述的针对于暴力破解的检测装置，其特征在于，还包括：

指令模块：用于当所述判断模块判定所述账号受到了暴力破解的攻击时，生成警示信息的显示指令，以便通过所述警示信息向管理员示警。

9.一种针对于暴力破解的检测设备，其特征在于，包括：

存储器：用于存储计算机程序；

处理器：用于执行所述计算机程序以实现如权利要求1至5任一项所述的针对于暴力破解的检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述的针对于暴力破解的检测方法的步骤。