T1110.001: 密码猜测

摘要

对系统或环境内的合法凭证没有预先了解的攻击者可能猜测密码，以尝试访问账户。在不了解账户密码的情况下，攻击者可能选择使用重复或迭代机制系统地猜测密码。攻击者可能在一次操作中，通过使用常见密码列表，在事先不知晓系统或环境密码的情况下猜测登录凭证。密码猜测可能会考虑也可能不考虑目标关于密码复杂度的策略，或可能使用在若干次失败尝试后锁定账户的策略。 猜测密码可能是一个有风险的选择，因为根据组织的登录失败策略，它可能导致大量认证失败和账户锁定。(Citation: Cylance Cleaver) 猜测密码时，通常使用常用端口上的管理服务。常见目标服务包括以下： * SSH (22/TCP) * Telnet (23/TCP) * FTP (21/TCP) * NetBIOS / SMB / Samba (139/TCP & 445/TCP) * LDAP (389/TCP) * Kerberos (88/TCP) * RDP / Terminal Services (3389/TCP) * HTTP/HTTP 管理服务 (80/TCP & 443/TCP) * MSSQL (1433/TCP) * Oracle (1521/TCP) * MySQL (3306/TCP) * VNC (5900/TCP) * SNMP (161/UDP 和 162/TCP/UDP) 除了管理服务之外，攻击者可能"针对使用联合认证协议的单点登录(SSO)和基于云的应用程序"，以及面向外部的电子邮件应用程序(如 Office 365)。(Citation: US-CERT TA18-068A 2018)此外，攻击者可能滥用网络设备接口(如 `wlanAPI`)通过无线认证协议暴力破解可访问的 wifi 路由器。(Citation: Trend Micro Emotet 2020) 在默认环境中，LDAP 和 Kerberos 连接尝试比 SMB 更不容易触发事件，而 SMB 会创建 Windows "登录失败"事件 ID 4625。