在网络攻击和目标企业内部网络资源中间存有的1个十分直接的要素便是帐户，当不必要的业

务全部下线关机后，1个能进入在线业务系统的账户就变得十分宝贵，例如域名帐户、WiFi帐户

、邮箱帐户、雇员OA帐户、后台管理帐户等。除对攻击队的信息收集能力开展测试外，各种字

典的合理程度和命中率也会在攻击队中间拉上一道鸿沟，常见的字典如：用户名字典，目标密

码字典，网站目录字典，参数字典等等。一本好词典的作用可能超出人们的预期，即使是对边

界网络设备的微弱授权，也能打开通往内部网络的通道。

 

帐户爆破时如果能对用户名、登陆密码分别爆破是最好的，在通过各种方式得到 一大批客户后

，能够以登陆密码为层面开展登陆密码喷涌爆破。对网络系统而言，验证码可能会带来更多的

成本和难度，这里能够调用打码平台的API，而传统图片验证码的识别率已经很高了。

 

 

对防御方而言，需要建立检测广度优先的口令猜测行为和异常登陆行为的模型。此外，还可将

验证码升级为更智能的下一代智能行为验证码，增加人机设备识别、滑行验证等有效防止暴力

破解。

 

 

 

大范围的红蓝战呈现逐步军事化的趋势，从全局来看，要求攻击方开展更有组织的分工和合作

，如社工钓鱼、近源渗透、无线入侵等都需要提前安排部署。一般可将人员技能分为：资料收

集，资料分析。外部网络渗透，网络渗透，域渗透。反向分析，渔业社会工作者，近源渗透。

弱点利用，0天后挖掘。编写报告。

 

 

其它技能点还包括安全设备绕过，数据库利用，网络设备利用，木马免杀，持久性，工具和协

作平台支持等。对项目而言，报告编写往往是展示成果最直接的一个环节，报告的细节和重点

需要尽量贴近项目要求或竞赛规则，是比较繁杂和必不可少的工作。

 

对防御方而言，为了更好地解决多方位的攻击方式，除开基本的防御外，加派安保人员来预防

近源渗透也无外乎防御管理体系的一个环节。上述是笔者粗浅的观察，仅供参考。攻防游戏需

要依靠技术和经验，同时也是一项体力劳动。言简意赅，行动艰难，如何在有限的时间内达到

目的呢？在攻防过程中，要保持良好的心态和清晰的思路，镇定镇定，避免失误，合理分工，

协调配合，步调一致。道阻且长，行路必到，攻防双方都要砥砺前行。