shield

前端防暴力破解的一个设计

Demo 地址

https://github.com/GitHub-Laziji/shield

描述

传统的防范暴力破解的方法是在前端登录页面增加验证码, 虽然能有一定程度效果, 但是用户也跟着遭罪, 验证码越复杂, 用户登录的失败率越高

于是最近我想了一个新的设计, 前端在登录时采用解密的方式获取密钥, 把密钥与表单以前发往后端, 用密钥来代替验证码

具体细节如下

设计

用户在登录页面输完用户名密码, 点击登录
js 向后端请求密文
后端生成一个随机字符串和一个指定范围内的随机数
正向拼接随机字符串和随机字符串随机数的加密得到密文rstr+MD5(rstr+rint)
反向拼接得到密钥 MD5(rint+rstr)

    randomString = Utils.getUUID();
    randomNumber = Utils.randomInt(range);
    privateText =  randomString + Utils.md5(randomString+randomNumber);
    privateKey = Utils.md5(randomNumber+randomString);

将密文传给前端
前端通过循环破解随机数

    let randomString = result.substring(0, 32)
    let valueString = result.substring(32)
    let answerString
    for (let i = 0; i < range; i++) {
        let s = crypto.createHash("md5").update(randomString + i).digest('hex')
        if (s == valueString) {
            answerString = crypto.createHash("md5").update(i + randomString).digest('hex')
            break
        }
    }

把得到的密钥和表单一起传个后端
后端验证密钥的真假

测试

经过测试 10000 次内 md5 加密前端用时不超过 300ms, 用户察觉不到, 但是暴力破解的难道确增加了几千倍, 这意味这本来一个小时能破解的网站, 现在可能要一年才能破解

优势

整个流程对后端带来的压力几乎为 0
用户无需输入验证码
前端延时极小(对人来说)
对暴力破解影响极大
只需添加部分代码, 无需更改现有的代码
条件可控, 随机数的范围完全由后端决定

cnyang

2018-07-17 15:18:07 +08:00

@laziji 对，我觉得破解时间就是无差别的☺
正常情况下，服务器并发处理一次密码的时间绝对大于客户端
10000 次 MD5 耗时 300ms 的机器，我不知是什么机器，如果服务器也是这配置，不加密正常的情况下破解成功估计也得百年以上
仅仅是密钥做万次 md5 的话，我相信这个时间还是低于服务器查询数据库并发送给客户端的时间，所以攻击端有一台不低于服务器配置的机器就行了（实际情况攻击端配置不说百倍，两三倍总有吧）

DeutschXP

2018-07-17 16:39:20 +08:00

@FanWall 我说的方案不比楼主的更消耗服务器资源，却比楼主方案更节约了客户端资源。
楼主的方案说白了就是：服务器给道题，客户端算出来答案，传给服务器端验证答案。这个过程唯一的意义就是拖延时间，没有其他任何实际价值，比如验证真人。
而我的方案是：服务器给令牌，带时间戳，客户端传回时间戳，服务器比对，时间戳如果间隔小于设定值，直接忽略。
把我的方案再简化一下，就是现在好多网站已经在做的了，登录表单带 token 和时间戳。用户提交时直接比对，时间间隔太小可以视为是机器攻击，结束。
同样是客户端等待，又不是服务器 sleep 再输出，从何而来增加服务器消耗？

普通网站防暴力破解登录密码的新设计

shield

前端防暴力破解的一个设计

Demo 地址

描述

设计

测试

优势