[发明专利]基于哈希匹配的离线弱密码核查方法及装置

说明书

本申请实施例提供一种基于哈希匹配的离线弱密码核查方法及装置，方法包括：通过人工上传和/或在线采集的方式获取哈希文件；根据预设哈希生成算法将密码字典生成的哈希文件与所述获取到的哈希文件进行匹配，若匹配成功，则所述获取到的哈希文件为弱密码；本申请能够通过自动采集或者人工的方式，获取目标系统的密码的哈希，避免账号被锁定，大大加快破解的时间。

技术领域

本申请涉及信息安全领域，具体涉及一种基于哈希匹配的离线弱密码核查方法及装置。

背景技术

弱密码(Weak passwords)即容易破译的密码，多为简单的数字组合、常用的英文单词、键盘上的临近键、自己或家人的生日等，例如“123456”、“888888”“abc123”、“password”、“login”“qwerty”、“1qaz2wsx”、“800808”等。以及终端设备(包括网络设备、安全设备、视频监控设备等)出厂配置的通用密码等都属于弱密码范畴。

弱口令作为一个“老大难”问题，一直困扰着IT系统的运维人员，因为弱口令是最容易出现的也是最容易被利用的漏洞之一。轻者会导致非法登录，严重者可以提权至管理员权限，甚至直接渗透内网，登录内网服务器。

传统的弱密码扫描方法为暴力猜解，即穷举法，穷举法的基本思想是根据题目的部分条件确定答案的大致范围，并在此范围内对所有可能的情况逐一验证，直到全部情况验证完毕。但是这种方法存在一些问题，例如可能导致账号被锁定，从而导致弱密码无法被发现，严重的可能影响业务的正常运行。此外因为暴力破解一般是基于远程扫描的方法去实现，成功的关键在于是否有强大的字典，造成了消耗时间很长。

发明内容

针对现有技术中的问题，本申请提供一种基于哈希匹配的离线弱密码核查方法及装置，能够通过自动采集或者人工的方式，获取目标系统的密码的哈希，避免账号被锁定，大大加快破解的时间。

为了解决上述问题中的至少一个，本申请提供以下技术方案：

第一方面，本申请提供一种基于哈希匹配的离线弱密码核查方法，包括：

通过人工上传和/或在线采集的方式获取哈希文件；

根据预设哈希生成算法将密码字典生成的哈希文件与所述获取到的哈希文件进行匹配，若匹配成功，则所述获取到的哈希文件为弱密码。

进一步地，所述通过人工上传的方式获取哈希文件，包括：

用户手动将被测目标系统的密码哈希文件采集并上传到弱密码核查系统。

进一步地，所述通过在线采集的方式获取哈希文件，包括：

用户输入被测目标系统的管理员用户名和密码，弱密码核查系统通过模拟登录的方式，登录到目标系统上获取哈希文件。

进一步地，所述根据预设哈希生成算法将密码字典生成的哈希文件与所述获取到的哈希文件进行匹配，若匹配成功，则所述获取到的哈希文件为弱密码，包括：

通过识别被测目标系统的哈希生成算法，弱密码核查系统将密码字典根据哈希生成算法生成新的哈希文件，若所述新的哈希与用户人工上传和/或在线采集到的哈希文件相同，则判定所述获取到的哈希文件为弱密码。

第二方面，本申请提供一种基于哈希匹配的离线弱密码核查装置，包括：

哈希获取模块，用于通过人工上传和/或在线采集的方式获取哈希文件；

哈希匹配模块，用于根据预设哈希生成算法将密码字典生成的哈希文件与所述获取到的哈希文件进行匹配，若匹配成功，则所述获取到的哈希文件为弱密码。

进一步地，所述哈希获取模块包括：

人工上传单元，用于用户手动将被测目标系统的密码哈希文件采集并上传到弱密码核查系统。