一.1.1 暴力破解
问题描述：经测试发现，网站前台登陆处未对登陆失败次数进行限制，导致可进行暴力破解进行账号及口令猜测。
受影响的URL：/industry
验证过程：
1 未限制登录次数导致可暴力破解
风险程度：【轻度】
风险分析：攻击者一般会使用自动化脚本组合出常见的用户名和密码，即字典，再结合软件burpsuite的intruder功能进行暴力破解。
解决办法：
1)在用户登录中使用验证码可以防御暴力破解攻击，验证码应从以下方面保证其安全性：长度不低于4位、避免使用容易被程序自动识别的验证码，验证码不应返回到客户端；
2)及时修改用户的默认或缺省口令；
3)限制同一用户的登录错误次数，防止暴力破解；
4)使用加密方式传输用户名和密码；对于行内系统建议使用行内统一用户认证组件UASS。
