微步荐读：收藏！撞库攻击最新梳理与预防方式都在这了

撞库攻击是一种通过使用被盗的用户名和密码组自动注入网站登录表，以实现未授权登录用户账户的攻击方式。其防御与检测需结合多因子身份认证、智能反机器人解决方案、流量监控等多种措施。

撞库攻击（Credential Stuffing）是将被盗的用户名和密码组自动注入网站登录表，从而未授权直接登录用户账户。由于不少用户在不同平台重复使用相同账号密码，攻击者在获取大量被盗或泄露的登录凭证后，会在其他站点进行登录尝试，进而实施撞库攻击。攻击者接管用户账户后，会进行其他攻击或欺诈性活动，如银行提款、大额消费，甚至尝试提升用户权限，在企业内网建立据点，实施更严重的攻击。攻击者利用现成工具，能一次性向一个或多个网站登录页面输入大量被盗账号密码凭证。

撞库攻击与暴力猜解存在重要区别：

• 破解方式：暴力猜解是在没有线索的情况下，使用随机字符串、常用密码模式或常用密码字典进行猜测破解。若用户密码简单，暴力猜解可能成功，但通过验证码和限制尝试登陆次数可阻止该攻击。而撞库攻击因攻击者已知密码，阻止难度较大。
• 登录成功率：暴力猜解缺乏上下文及已知泄露的数据，登录成功率较低。在用户使用强密码且跨服务共享密码导致凭证泄露时，暴力猜解可能失败，但撞库成功率会更大。

• 获取凭证：如今攻击者获取凭证更为容易，可通过暗网或其他渠道免费获取被盗凭证。
  

• 获取IP代理服务，辅助攻击：为成功取得未授权账户访问权限，撞库攻击流量需与目标网站常规流量一致。攻击者会寻找IP代理服务商，利用机器在数千个IP地址中分布式发出登陆请求，隐藏可疑行为。
• 准备及设置攻击参数：出于效率考虑，攻击者会选择自动化方式，使用Sentry MBA、SNIPR和OpenBullet等“账号密码查看器”工具，对目标站点输入大量被盗用户和密码组进行破解。不同工具功能不同，有的可轻松接入知名服务商的IP代理列表，有的提供配置文件，攻击者可基于目标登录页设置攻击参数。
• 发动攻击：参数设置完成后，攻击者开始发动攻击，目标是找到所有成功的登录请求。一旦通过攻击工具提供的凭证成功访问，攻击者会收到凭证有效的通知。但获取有效凭证列表并非攻击者终极目标，他们还会进一步行动。
• 货币化：拿到目标站点验证的凭证列表后，攻击者会进行货币化。具体方式基于目标及被攻击站点类型。对个人用户，攻击者会通过诈骗性银行交易、电商网站巨额消费、信用卡提现等方式榨干账户；更凶险的攻击者会登录账户访问企业网络，提升权限，关闭基础设施或窃取企业商业机密等。
  

撞库攻击利用的是人这个环节的弱点，比较普遍。企业可采取以下措施保护自身网络安全：

• 采用多因子身份认证（MFA）：面向公众或处理敏感信息的平台，建议实施多因素身份认证，增加防御保护层。用户登录时除账号密码外，还需提供手机号或访问令牌等。若要求所有用户进行多因子身份认证不可行，可与设备指纹识别等其他技术相结合。
• 部署智能反机器人解决方案：该方案收集用户与设备的各种数据点，利用机器学习识别和阻止机器行为。若不能部署复杂方案，也可通过以下方式增强防护：

  验证码：在网站上使用验证码虽不能保证区分人和机器，但部分账号密码检查器工具未内置解决验证码机制，所以验证码方式仍有效，且可与其他技术结合利用。

  设备及浏览器指纹：指纹是操作系统、语言、浏览器、时区及用户代理等参数的组合。若同一参数组合依次登录多次，可能是暴力猜解或撞库攻击。企业可使用Java脚本收集用户设备信息，为每个传入会话创建“指纹”。使用多个参数的严格指纹，可实施禁止IP等严厉措施；组合使用2 - 3个常用参数，可强制执行临时禁止等宽松措施，常见指纹识别为操作系统 + 地理位置 + 语言。

  IP速率限制：阻止高于预设阈值速率登录的IP，如每秒3个以上，此类登录明显超出人类手动输入范围，基本可判断为自动凭证填充。

  拒绝已知恶意IP地址：攻击者IP地址池有限，一般会小范围使用IP地址进行凭证填充。若发现很多失败的登录尝试，或尝试登录多个地址的IP来自同一批地址，可阻止或用沙箱查杀。

• 记录与监控网站流量：根据已知被盗凭证列表检查攻击者的登录尝试，阻止任何匹配的请求，作为日志审查标准的一部分。监控流量时需注意：

  流量大但登录成功率低的情况：网站通常登录成功率在60%到85%之间，10%到15%的低登录成功率可能是撞库攻击。

  持续全天候登录，不符合常规工作时间：自动化工具一般不分早晚，持续全天候登录可能是撞库攻击。

  极端流量峰值：极端流量峰值也可能是正在发生撞库攻击。

• 撞库及数据泄露风险检测与感知：借助工具发现企业内部撞库及外部数据泄露情况，减少撞库发生。例如，通过微步在线威胁感知平台TDP监测撞库行为并实时告警；通过微步在线X企业版全网发现数据泄露情况，及时采取措施避免撞库发生。
• 执行强密码策略：企业可为员工提供企业级密码管理器，组织日常安全培训，指导员工设置强密码，并在全企业杜绝使用弱密码或常见密码，增加防护。