随着互联网的普及，网络上的各种活动越来越活跃，然网络的安全越来越来越受到关注，然安全的第一道防线就是登录，也是黑客攻击的第一步。第一道防线失守，你的站也就不是你的了。那会员登录要怎么防守才安全?现有两种安全机制：HTTPS(Hypertext Transfer Protocol Secure) 与图片验证机制(CAPTCHA)。
其实这二个机制都有破解的方式，先就HTTPS来看，它可以被SSLStrip的攻击手法攻陷，举例来说，当使用者点击有HTTPS的登录页面时，SSLStrip会修改网站未加密的回应，使“HTTPS变成HTTP”，甚至可以在浏览器位址栏中显示https的安全锁logo。其过程如下：
1.设定iptables转向HTTP传输SSLstrip。(iptables -t nat -A PREROUTING -p tcp destination-port 80 -j REDIRECT to-port
2.开启SSLstrip。(sslstrip.py -l <listenPort>)
3.使用ARP Spoofing攻击。(arpspoof -i
流程如下图：
由此来看，有了https传输当然不可能完全阻挡黑客攻击，但企业亦无须太过担心，这种攻击方式有限制，必须要在同一个区网环境并且使用ARP Spoofing攻击才会成功，因此，环境上只需要锁好IP与MAC之对应，就可以挡住这种中间人攻击手法，也不必担心由ARP Spoofing攻击延伸做到DNS Spoofing的风险。
至于图片验证机制(CAPTCHA)，一般来说可以用来阻挡以下几种情况：
评论