駭客破解Facebook密碼,自人類文明伊始，Facebook密碼就扮演著至關重要的角色。這種允許用戶通過安全檢查點的工具，其概念可追溯至羅馬帝國時代。與今日不同，當時的Facebook密碼並非個人專屬，而是通用的。它更多的是一種基於角色的訪問控制機制，而非身份的直接證明。換言之，它代表了一種聲明，表明您有權訪問特定資源，但並不驗證您的真實身份。這種方法的根本缺陷在於，其安全性完全依賴於知曉Facebook密碼的人能否嚴格保密。
Facebook密碼長期以來被視為身份安全領域的一個主要弱點。數十年來，專家們不斷預測Facebook密碼的終結以及無Facebook密碼時代的來臨。然而，企業所管理的身份數量卻在急劇增加，這主要歸因於機器身份的爆炸性增長。根據Venafi的一項研究估計，每家企業平均擁有25萬個機器身份，且數量同比增長了41%。近年來的多項研究也顯示，機器身份的數量已達到人類身份數量的數十倍之多。
儘管無Facebook密碼的驗證方法取得了顯著進展，駭客破解Facebook密碼但在現代系統中，它們仍然屬於小眾產品，難以完全適應現有的傳統技術。而且，這些方法本身往往也帶有Facebook密碼的一些固有特徵。不過，值得肯定的是，由於生物識別技術和多因素身份驗證（MFA）等技術的發展，現今的Facebook密碼越來越少被單獨用作唯一的安全驗證機制。
瞭解Facebook密碼破解的心理學
如果您正在尋找破解fb賬號的方法，請立即與我們聯繫hack2900，我們的黑客團隊為您提供facebook賬號破解服務！
有效的憑證，包括用戶名和Facebook密碼，賦予普通用戶針對特定資源進行身份驗證的能力。如果潛在的威脅者掌握了用戶名，那麼獲取帳戶的Facebook密碼就成為一種常見的攻擊手段。
攻擊者通常會優先鎖定系統管理員，因為他們的憑證往往擁有直接訪問敏感數據和系統的權限。此類特權憑證使得網絡犯罪分子能夠在系統內部進行橫向移動，而不會引起懷疑，甚至可以入侵其他帳戶以維持其持久存在。一旦攻擊者成功竊取了憑證，該帳戶所擁有的所有特權都會立即暴露在攻擊者的掌控之下。
對於某些公司而言，最敏感帳戶（例如域管理員或資料庫管理員）的憑證被盜用，可能意味著災難性的後果。這些帳戶及其相關憑證是特權提升攻擊的主要目標。
攻擊者所佔據的優勢
在與防禦者的較量中，攻擊者通常至少擁有兩個顯著的優勢：
- 充足的時間： 攻擊者通常採用分散式的攻擊策略，以逐步獲取訪問權限，而不是採取可能觸發多個安全警報的一次性攻擊。
- 自動化的Facebook密碼破解工具集： 這些工具日益依賴機器學習（M/L）和人工智能（AI）技術，能夠自主運行攻擊，從而避免被檢測到。
Facebook密碼破解者可以通過緩慢且有節制地嘗試不同的密碼組合，來規避個人帳戶鎖定的風險。如果破解者每隔10分鐘僅嘗試一個密碼，那麼破解100，000個密碼可能需要相當長的時間。更常見的做法是，網絡攻擊者會以近乎隨機的順序，對其已知的每個帳戶嘗試不同的密碼（稱為噴灑攻擊）。這種方法之所以有效，是因為很少有系統能夠跨帳戶追蹤密碼嘗試。即使部署了安全信息和事件管理（SIEM）或用戶和實體行為分析（UEBA）系統，其防禦能力也往往有限。因為您無法鎖定每個帳戶。如果攻擊尚未分散到數百甚至數千個不同的IP地址，那麼僅僅阻止源IP地址將會導致新的IP地址發起攻擊。
針對此類攻擊的最佳防禦策略是不使用列表中常見的Facebook密碼。頻繁更改Facebook密碼可能會激發我們的惰性，導致我們將 “password” 更改為 “p@ssw0rd” 或 “Password！”。但每個經驗豐富的Facebook密碼破解者都知道這些常見的不良密碼習慣。使用數字和符號替換字母也是一種可預測的做法，例如，用3代表E，用4代表A，用@代表a。密碼破解工具早已為這些常見的變更做好了準備。
攻擊者會試圖獲取關於Facebook密碼複雜度的基本信息，例如密碼的最小和最大長度，以及對密碼複雜性的具體要求。例如，密碼是否必須包含大寫字母和小寫字母、數字、符號或其組合？攻擊者還會嘗試瞭解密碼的限制。這些參數可能包括：
- 包含大寫字母
- 不以數字或符號開頭
- 需要特定字符類型或語言的最低數量
通過限制字符的重複，這些密碼生成控制會減少攻擊者需要考慮的組合數量，從而降低密碼的有效性。密碼破解工具可以選擇定義這些限制，以加速破解過程。
對於個人用戶和個人帳戶而言，這種攻擊不太可能成功。對單個帳戶的攻擊很可能會導致帳戶被鎖定。低速暴力攻擊可能需要很長時間才能找到正確的登錄組合，即使密碼相對較短。
Facebook密碼破解工具非常適合自動猜測多個帳戶的Facebook密碼，而且也擅長搜索數據以尋找常見的主題、短語和信息。
常見的Facebook密碼攻擊方法
在本節中，我們將介紹一些常見的Facebook密碼破解技術。這些技術在工具和方法上可能存在重疊。攻擊者通常會混合使用多種互補的策略，以提高其成功率。
Facebook密碼猜測攻擊
最流行的密碼攻擊技術之一是猜測密碼。
當今大多數系統都對人類相當寬容，駭客破解Facebook密碼,因為我們需要記住大量的密碼。系統允許我們犯一些錯誤，而不會立即鎖定我們的帳戶。即使發生鎖定，持續時間通常也不超過30分鐘。
1. 隨機猜測
用戶名是憑證中不變的部分，也是高度可預測的，通常採用首字母加姓氏的形式。有時，用戶名甚至是電子郵件地址，而這是一種廣泛傳播的信息。攻擊者現在已經掌握了登錄許多系統所需的一半詳細信息。唯一缺少的就是密碼。
隨機密碼猜測很少會成功，除非密碼是常用密碼，或者基於字典中的單詞。瞭解目標身份的信息會增加威脅行為者成功猜測的可能性。這些信息可以從社交媒體、直接互動、欺騙性對話，甚至從先前的入侵事件中收集到的數據中提取。
最容易被猜測的密碼變體包括以下常見模式：
- “password” 一詞或其基本變體，例如 “p@ssw0rd”。
- 帳戶所有者用戶名的變體，包括首字母。這可能包括細微的變化，例如添加數字和特殊字符。
- 重新格式化或以明確方式顯示的用戶或其親屬的生日，最常見的是後代或其他特殊日期。
- 令人難忘的地點或事件。
- 親屬姓名及其變體與數字或特殊字符的組合。
- 寵物、顏色、食物或其他對個人而言重要的事物。
雖然自動密碼破解工具並非Facebook密碼猜測攻擊的必需品，但它們可以顯著提高成功率。
密碼猜測攻擊往往會在事件日誌中留下證據，並導致帳戶在經過 “n” 次嘗試後自動鎖定。當帳戶持有者在多個資源中重複使用同一個密碼，且密碼衛生習慣不佳時，密碼猜測和橫向移動的風險會急劇增加。
2. 字典攻擊
字典攻擊是一種自動化技術，它利用包含大量密碼的列表來攻擊有效帳戶，從而洩露密碼。列表本身就是一本單詞詞典。基礎的密碼破解者使用常見單詞的列表（例如 “棒球”）來破解密碼、入侵帳戶，並啟動威脅行為者的惡意行動。
如果威脅者知道目標帳戶的密碼長度和複雜性要求，則字典可以根據目標進行定制。高級密碼破解者經常使用字典，並混合使用數字和符號來模仿具有複雜性要求的真實密碼。
有效的字典攻擊工具
有效的字典攻擊工具可以讓威脅行為者執行以下操作：
- 設定複雜性要求，包括長度、字符要求和字符集。
- 手動添加針對特定目標量身定制的單詞和單詞/名稱組合。
- 針對常見單詞的常見拼寫錯誤，這些錯誤可能會替換或添加符號。
- 支持多種語言。
字典攻擊的一個主要弱點在於，它們依賴於使用者提供的真實單詞和由此衍生的詞語。若真實的 Facebook 密碼是虛構的、使用了多種語言，或者由多個單詞或短語組成，那麼應該可以有效地阻止字典攻擊。
減輕字典攻擊威脅最常用的方法是嘗試鎖定帳戶。在經歷「n」次錯誤嘗試後，用戶的帳戶會自動鎖定一段時間。多次鎖定後，則需要人工幹預。帳戶必須由授權機構（如服務臺）或透過自動化的 Facebook 密碼重置解決方案手動解鎖。然而，鎖定設置有時會被停用，這意味著如果事件日誌中沒有監控到登錄失敗，字典攻擊對威脅行為者來說，仍然是一種有效的攻擊媒介。
暴力破解
暴力 Facebook 密碼攻擊利用編程方法，嘗試所有可能的 Facebook 密碼組合。這種方法對於字串長度較短且複雜度較高的 Facebook 密碼非常有效。然而，對於 8 個或更多字符的 Facebook 密碼，即使是最快的現代系統，這種方法也難以奏效。
如果 Facebook 密碼僅包含字母字符（包括大寫字母或小寫字母），則可能需要嘗試 8,031,810,176 次才能成功破解。這假設威脅攻擊者已知 Facebook 密碼的長度和複雜性要求。其他需要考慮的因素包括數字、大小寫區分以及本地語言中的特殊字符。
只要輸入正確的參數，暴力攻擊最終總是能找到 Facebook 密碼。然而，所需的計算能力和時間通常使得暴力破解在完成時變得毫無意義。執行攻擊所需的時間取決於生成所有可能的 Facebook 密碼排列組合所需的時間，以及根據串行或多線程請求來考慮目標系統的回應時間。
通常來說，暴力 Facebook 密碼攻擊是破解 Facebook 密碼效率最低的方法。因此，威脅者通常會將其作為最後的手段。
憑證填充
憑證填充是一種自動化的黑客技術，它利用被盜的憑證，這些憑證通常由用戶名、電子郵件地址和密碼列表組成。攻擊者經常在暗網上購買提供這些預先打包的電子郵件/密碼組合的「組合列表」。這種技術通常利用自動化工具向應用程式提交登錄請求，並捕獲成功的登錄嘗試，以供將來利用。
憑證填充攻擊不會嘗試暴力破解或猜測任何 Facebook 密碼。相反，威脅行為者會使用自定義工具，根據先前洩露的憑證自動進行身份驗證。這些憑證通常是從暗網上，從之前的第三方入侵事件中獲取的 Facebook 密碼。這種方法可能需要發起數百萬次嘗試，以確定用戶可能在另一個網站或應用程式上重複使用其憑證的位點。
憑證填充攻擊利用 Facebook 密碼的重複使用。這些攻擊之所以能夠成功，是因為許多用戶在多個網站上重複使用相同的憑證組合，而沒有任何形式的 MFA（多因素驗證）。
Facebook 密碼噴灑
Facebook 密碼噴灑是一種基於憑證的攻擊，它試圖使用一些常用的破解密碼，來訪問許多帳戶。從概念上講，這與暴力破解 Facebook 密碼攻擊相反。暴力破解是通過反覆噴灑大量的密碼組合，來嘗試獲得對單個帳戶的授權訪問權限。
在過去一年中，Facebook 密碼噴灑再次受到關注。Midnight Blizzard 通過一種不太複雜的密碼噴灑攻擊，侵入了傳統的非生產測試環境，從而攻破了微軟。思科和 Okta 也警告稱，大規模的密碼噴灑攻擊會利用一系列的住宅代理，來逃避檢測。
在 Facebook 密碼噴灑攻擊期間，威脅行為者會針對許多帳戶，嘗試使用一個常用的 Facebook 密碼（例如「12345678」或「Passw0rd」），然後再嘗試第二個密碼，從而避免帳戶被鎖定。
威脅者會先用相同的 Facebook 密碼，嘗試列表中的每個用戶帳戶，然後再重置列表，並嘗試下一個 Facebook 密碼。由於嘗試間隔時間較長，這種技術可以最大限度地降低威脅者被發現並鎖定單個帳戶的風險。
如果任何一個用戶或任何一個帳戶的密碼衛生狀況不佳，威脅行為者就有可能成功入侵資源。這種技術最近在 Microsoft Midnight Blizzard 攻擊中被使用。
檢測密碼噴灑、易受 Kerberoasting 攻擊的帳戶以及其他基於身份的威脅，需要深入理解具體方法。
社會工程學與人為攻擊
社會工程攻擊包括網絡釣魚電子郵件、語音釣魚（語音電話）、密碼重置攻擊，甚至深度偽造威脅等。這些攻擊需要儘可能多地瞭解目標，以便網路犯罪分子可以對目標的 Facebook 密碼做出有根據的猜測。
寵物、孩子、配偶的名字、地址、生日、愛好、朋友，都是威脅者最有價值的信息。考慮到最喜歡的電影、電視節目、作家、樂隊、演員等，大多數社交媒體帳戶都成為了信息金礦。
網路釣魚和語音釣魚
網路釣魚和語音釣魚（語音電話）通常用於收集其他攻擊的信息，以及在終端上植入惡意軟體（通過附件或連結）。這種惡意軟體可用於竊取 Facebook 密碼。
網絡釣魚電子郵件或語音網絡釣魚也可能是欺騙性的密碼重置攻擊的一部分。駭客破解Facebook密碼,一種常見的策略是，網絡釣魚電子郵件提供一個連結，點擊該連結即可重置帳戶密碼。攻擊者可能聲稱這是由於舊密碼可能被洩露。電子郵件中可能帶有商家（如銀行、零售商或服務提供商）的徽標和肖像。然而，電子郵件中的連結會將受害者引導至欺詐性的密碼重置界面。攻擊者隨後收集合法的密碼，以破解受害者的合法帳戶。對於員工來說，如果欺詐性的密碼重置電子郵件製作精良，甚至可能看起來像是來自公司服務臺本身（這種類型的網絡釣魚攻擊在 NIST 網絡釣魚等級上具有很高的難度等級）。
這些攻擊不斷提醒我們，為什麼終端用戶培訓如此重要。用戶應始終保持警惕，確保對電子郵件地址或電話號碼的請求確實合法。
強制自動更改和重置 Facebook 密碼
即使是自動密碼重置，也存在被威脅者利用的風險。重置 Facebook 密碼是指由其他人（例如服務臺或應用程式所有者）強制更改密碼的行為。這種更改不是由最終用戶發起的。
自動 Facebook 密碼重置的風險
自動執行 Facebook 密碼重置存在一定的風險，這些風險涉及透過電子郵件或簡訊重置密碼並由最終使用者保管，以及每次請求重置時由服務臺重置並重複使用的 Facebook 密碼。此外，還包括由於帳戶鎖定而盲目重置 Facebook 密碼，口頭傳達 Facebook 密碼而可能被他人聽見，最終使用者寫下的複雜密碼重置，以及使用者重置時可預測的基於模式密碼。
- 通過電子郵件或簡訊重置 Facebook 密碼，並由最終用戶保管： 這方法假設最終使用者仍然能夠訪問其電子郵件或簡訊以接收新的 Facebook 密碼，然而，如果電子郵件 Facebook 密碼本身需要重置，則必須建立另一種傳輸方法，這通常需要人工幹預。
- 每次請求重置 Facebook 密碼時，服務臺重置的密碼都會重複使用： 如果每次使用者請求重置 Facebook 密碼時，服務臺都使用相同的密碼，這將大大增加安全風險。一旦該密碼被洩露，攻擊者便可以使用它來訪問使用者的帳戶。
- 由於帳戶鎖定而盲目重置 Facebook 密碼： 盲目重置密碼而不檢查鎖定的原因可能會導致安全漏洞，這不僅無法解決問題，還可能讓未經授權的存取變得更容易。
- 口頭傳達的 Facebook 密碼可能被大聲聽到： 在辦公室等公共場合大聲宣讀密碼，可能使未經授權的人員有機會竊取這些資訊，增加密碼洩露的風險。
- 最終用戶寫下的複雜 Facebook 密碼重置： 最終使用者寫下複雜的密碼可能導緻密碼儲存在不安全的地方，容易被他人發現和利用。
- 使用者重置時可預測使用的基於模式密碼： 使用者在重置密碼時若使用可預測的模式，例如生日、電話號碼等，這會讓攻擊者更容易猜測並破解密碼。
每次重置 Facebook 密碼時，都隱含著舊密碼存在被破解的風險，因此需要進行更改。造成密碼重置的原因可能是忘記密碼、密碼過期，或是因為多次嘗試失敗而導致帳戶鎖定。在最終使用者更改 Facebook 密碼之前，重置後的新密碼的傳輸和儲存都存在風險。有時，最終使用者可能會忽略更改 Facebook 密碼的步驟。
一旦身份遭到洩露，威脅行為者可以請求重置 Facebook 密碼，並為該帳戶創建自己的密碼，從而完全控制該帳戶。
Facebook 密碼重置的最佳實踐
以下是一些關於 Facebook 密碼重置的最佳實踐，旨在提高安全性並減少潛在風險：
- Facebook 密碼應是隨機的，並且符合業務政策的複雜性要求： 強而隨機的密碼能有效抵抗破解攻擊，並確保密碼不易被猜測或通過暴力破解獲得。
- 最終用戶應在首次登錄後更改 Facebook 密碼，並且需要雙因素或多因素身份驗證來驗證每個後續請求： 強制使用者在首次登錄後更改預設密碼，可以防止他人使用預設密碼存取帳戶。同時，實施雙因素或多因素身份驗證能夠在密碼洩露的情況下提供額外的安全保護。
- Facebook 密碼重置請求應始終來自安全的位置，並且應監控自動化程度： 確保重置請求來自安全且經過驗證的位置，能夠減少潛在的惡意重置請求。同時，監控自動化重置請求，可以幫助識別並阻止未經授權的活動。
- 企業（非個人）的公共網站應該對任何「忘記 Facebook 密碼」連結要求進行額外驗證： 對於企業或組織使用的公共網站，增加額外的驗證步驟可以防止攻擊者利用「忘記密碼」連結進行惡意活動。
- 通過電子郵件重置 Facebook 密碼： 必須假設最終用戶仍然可以訪問電子郵件來獲取新 Facebook 密碼。如果電子郵件 Facebook 密碼本身需要重置，則必須建立另一種傳輸方法，通常需要人工幹預。
- 避免使用簡訊： 因為簡訊發送 Facebook 密碼重置訊息的安全性不足。簡訊容易被攔截，因此不應用於傳輸敏感資訊，像是密碼重置連結或驗證碼。
- Facebook 密碼重置應該是短暫的： Facebook 密碼重置應該只在預定義的時間內有效。如果最終用戶在預定義的時間內沒有再次訪問該帳戶，則會發生帳戶鎖定。這能降低重置連結被濫用的風險，確保密碼在一定時間後失效。
- 對於特權帳戶來說： 頻繁更改 Facebook 密碼是最佳安全做法，相對於個人或消費者帳戶而言。然而，重置密碼並通過不安全的媒介傳輸密碼並非明智之舉。對於個人而言，簡單的密碼重置可能會導致威脅者擁有您的帳戶和合法的密碼請求之間的區別。
竊聽
Facebook 密碼竊聽指的是威脅者口頭竊聽 Facebook 密碼。Facebook 黑客密碼破解竊聽可能是無意的，也可能是故意的，既包括語音竊聽，也包括數字竊聽，以捕捉可聽見的洩露。竊聽是指威脅者透過各種手段，包括語音竊聽或數位監聽，來獲取密碼資訊的行為。
雖然理想情況下，公司內部不會有人在辦公室大聲喊出密碼，但某些組織仍然依賴語音呼叫服務臺來重置密碼。在這些通話中，使用者可能會被告知更新後的密碼。在使用服務臺提供的臨時密碼後，首次登錄時提示使用者重置密碼至關重要。這個步驟有助於降低風險，因為竊聽者若要使用新密碼，就必須暴露其行蹤。
當然，語音並非洩露密碼的唯一途徑。許多人使用藍牙鍵盤，透過無線方式傳輸按鍵資訊。儘管我們可能認為傳輸過程是安全的，但某些藍牙通訊方式可能存在漏洞。
在早期，使用者需要實體連接到要訪問的機器，驗證的系統也在本地端運行。現在，我們經常需要在遠端的系統上進行驗證，甚至這些系統不屬於我們。我們的密碼透過多個系統以電子方式傳輸到目的地，如果沒有適當的加密和其他安全措施，就有可能被竊聽或透過無線數據包捕獲而被竊取。
肩窺
肩窺是一種威脅行為者透過直接觀察來獲取憑證資訊的方法，這包括觀察他人輸入的密碼、PIN 碼和滑動模式，甚至是寫在便條紙上的密碼。
肩窺的概念非常簡單，威脅者通過直接觀察或使用相機等電子設備來收集密碼，並將其用於攻擊。這就是為什麼在使用自動櫃員機（ATM）時，建議遮蔽鍵盤上的 PIN 碼輸入，以防止附近的威脅者偷看您的 PIN 碼。因此，在使用任何需要輸入密碼的設備時，都應保持警惕，避免他人輕易看到您輸入的內容。
購買 Facebook 密碼
儘管 Facebook 密碼列表、雜湊表和彩虹表可以在暗網上找到，但有時用戶會選擇出售自己公司的憑證，以此作為內部攻擊的一部分。事實上，惡意內部人員可能會出售憑證，並聲稱這些憑證遭到竊取，從而為自己提供合理的理由。這種內部威脅對於擁有特權的使用者來說尤其令人擔憂，因為他們的憑證可以存取企業最敏感的資產。
解決特權憑證洩露風險最有效的方法是移除直接存取，並實施特權存取管理（PAM）來保護最敏感的帳戶。所有與高特權帳戶相關的會話都應透過一個易於存取但不洩露實際憑證的系統進行路由。
基於雜湊的攻擊
當攻擊者成功入侵系統或網站時，他們通常會嘗試竊取包含所有用戶名和密碼的資料庫，以取得對該應用程式的存取權限。即使憑證並非以人類可讀的形式儲存，它們也會以雜湊值的形式存在。竊取密碼資料庫至少為攻擊者帶來了以下三大優勢：
- 發現可用於與系統互動或與其他資源進行機器對機器通訊的高權限使用者憑證。
- 豐富的憑證寶庫，可能用於跨多個系統的身份驗證和授權。
- 資料庫可能受到離線攻擊，而無需擔心對登錄嘗試次數或頻率的任何限制。
如今，很少有系統不對使用者密碼進行編碼。因此，駭客破解Facebook密碼,攻擊者將遇到一個雜湊值列表，而不是純文字密碼。當資料被編碼而不是加密時，無法將編碼形式轉換為原始值。攻擊者唯一的機會是破解密碼，並嘗試創建密碼的編碼版本，然後將其與竊取的列表進行比較。此編碼過程稱為「雜湊」（hashing），產生的編碼密碼稱為「雜湊值」（hash）。
讓我們仔細看看一些常見的基於雜湊的攻擊類型：
傳遞雜湊攻擊
傳遞雜湊（Pass-the-Hash，PtH）是一種技術，允許攻擊者使用使用者密碼的底層 NT LAN Manager (NTLM) 雜湊來驗證資源，而不是使用帳戶的實際可讀密碼。一旦取得有效的用戶名和雜湊值，攻擊者就可以使用 LM 或 NTLM 身份驗證來驗證遠端伺服器或服務。
PtH 攻擊利用了身份驗證協定中的實作弱點。密碼雜湊在每個會話中保持不變，直到密碼本身發生變化。PtH 幾乎可以針對任何接受 LM 或 NTLM 身份驗證的伺服器或服務執行，包括 Windows、Unix、Linux 或其他作業系統。
惡意軟體可能會從記憶體中抓取密碼雜湊值，從而使任何正在執行的使用者、應用程式、服務或進程成為潛在目標。一旦取得密碼雜湊值，惡意軟體就會使用命令和控制或其他自動化手段進行進一步的橫向移動或資料外洩。
雖然 PtH 攻擊在 Windows 系統上更為常見，但它們也可以利用 Unix 和 Linux 端點。現代系統可以透過多種方式防禦 PtH 攻擊。但是，經常更改密碼或使用一次性密碼 (OTP) 是一種很好的防禦方法，可以讓會話之間的雜湊值保持不同。可以經常更換密碼或自訂安全令牌的密碼管理解決方案是防禦這種技術的有效方法。
傳遞票證攻擊
在傳遞票證（Pass-the-Ticket，PtT）攻擊中，威脅行為者會竊取 Kerberos 票證授予票證 (TGT)，以冒充網路上的使用者。成功後，這種攻擊方法可以繞過身份驗證機制，使攻擊者獲得對資源的未經授權存取權。
Facebook 密碼竊取途徑：多種攻擊手段詳解
竊取 Facebook 密碼的途徑繁多，瞭解這些途徑有助於制定更完善的安全策略。以下將詳細介紹幾種常見的攻擊方式。
1. 傳遞票證攻擊
Mimikatz 等工具讓攻擊者能夠發動橫向移動的傳遞票證攻擊。他們通過從受感染的終端使用者機器或委託的授權伺服器上複製票證，在網路中傳播。
網路犯罪分子通常採用以下兩種方式發動傳遞票證攻擊：
- 竊取票證授予票證（Ticket Granting Ticket，TGT）或服務票證，然後使用竊取的票證冒充使用者。
- 入侵代表使用者執行授權的伺服器，從而竊取 TGT 或服務票證。
黃金票證攻擊 中，攻擊者會試圖竊取域控制器上的 KRBTGT 帳戶的哈希值。這個帳戶是 Kerberos 用於加密票證授予票證的。一旦黃金票證攻擊成功，威脅攻擊者便能生成無限票證，授予任何級別的訪問權限，並且擁有幾乎無限的生命週期。
要防範傳遞票證的威脅，需要採取多重控制措施。強大的 特權帳戶和會話管理（Privileged Access and Session Management，PASM） 機制可以強制定期變更 Facebook 密碼，並消除共享 Facebook 黑客密碼破解行為。在 端點特權管理（Endpoint Privilege Management，EPM） 層面，則可強制實施最小權限原則，進一步減少允許的特權登錄次數，並限制橫向移動。身份威脅檢測和響應（Identity Threat Detection and Response，ITDR） 功能可以迅速查明異常活動，並協調響應以防止或限制損害。
2. Kerberoasting 攻擊
與傳遞票證攻擊相似，Kerberoasting 攻擊也利用了 Kerberos 身份驗證協定。在 Kerberoasting 攻擊中，威脅行為者瞄準與服務主體名稱（Service Principal Name，SPN）相關聯的服務帳戶。SPN 用於唯一識別系統上運行的每個服務實例。
為了發動攻擊，攻擊者會從金鑰分發中心（Key Distribution Center，KDC）請求目標服務帳戶的 Kerberos 票證授予服務（Ticket Granting Service，TGS）票證。為了避免被發現，攻擊者會離線作業，嘗試暴力破解儲存在 TGS 票證中的雜湊 Facebook 密碼。一旦 Facebook 密碼被破解，攻擊者可能會通過被攻陷的服務來破壞整個網路。
組織可以透過多種不同的安全控制措施來有效防止 Kerberoasting 攻擊，特別是在特權訪問管理（Privileged Access Management，PAM）和 ITDR 領域。例如，強制使用強 Facebook 密碼、加入管理服務帳戶（定期輪換憑證等），以及監控，都可以提高對 Kerberoasting 的抵抗力。ITDR 能夠主動識別可能由於使用弱 Facebook 密碼而容易受到 Kerberoasting 攻擊的帳戶，並建議採取緩解措施來加強安全態勢。
3. 彩虹表攻擊
雜湊 Facebook 密碼雖然複雜，但實際上可能的 Facebook 密碼數量有限。因此，攻擊者可以使用另一種工具，即雜湊表。雜湊表是預先計算的雜湊 Facebook 密碼列表，用於與被盜資料進行簡單比較。
雜湊表會儲存特定 Facebook 密碼的 Facebook 黑客密碼破解和雜湊值，而彩虹表則會儲存多種 Facebook 密碼的 Facebook 密碼和雜湊值。彩虹表將資料縮小到更易於管理的級別，但檔案體積仍然相對較大。
抵禦雜湊表和彩虹表攻擊的常用方法是 「加鹽」雜湊。這會為每個 Facebook 密碼應用額外的唯一編碼。即使 Facebook 密碼相同，加鹽處理後產生的雜湊值也會不同。加鹽雜湊會使雜湊表變得多餘。使用長而複雜、唯一的 Facebook 密碼和多因素身份驗證，也能夠有效防止彩虹表和雜湊表攻擊。
4. 常見的 Facebook 密碼破解軟體
現今最著名和最流行的 Facebook 密碼破解工具包括：
- 該隱與亞伯（Cain and Abel）
- 開膛手約翰（John the Ripper）
- 九頭蛇（Hydra）
- 哈希貓（Hashcat）
- Ophcrack
有些專門的工具，例如 Wifi Facebook 密碼破解器、Windows Facebook 密碼破解器等，專門用於破解特定類型的 Facebook 密碼。
公司經常聘請道德黑客和滲透測試人員來提高其安全網路的彈性。因此，破解軟體的可用性和開發量不斷增加。現代電腦取證和訴訟支持軟體也包含 Facebook 密碼破解功能，以獲取證據。最複雜的破解軟體會結合多種破解策略，以最大限度地提高生產力和效率。
企業應集中精力解決 Facebook 密碼和身份狀態漏洞，並深入瞭解密碼噴灑、Kerberoasting 等攻擊手法。
危險的 Facebook 黑客密碼破解做法
一些 Facebook 密碼破解技術依賴於系統漏洞，或是獲得特權帳戶的訪問權限來實現橫向移動並收集其他 Facebook 密碼。然而，大多數破解行為都依賴於不充分的 Facebook 密碼安全措施、低劣的身份安全，以及缺乏適當的憑證管理和身份工具。
以下列出一些使破解 Facebook 密碼變得容易的危險行為。
1. 常用 Facebook 密碼和重複使用 Facebook 密碼
人類是習慣的動物。這意味著某些詞語比其他詞語更常被用作 Facebook 密碼。
例如，在《權力的遊戲》首播時，「龍」迅速成為最常用的 Facebook 密碼之一。人們也經常使用寵物、孩子、配偶和街道名稱以及生日作為 Facebook 密碼。
社交媒體網站經常鼓勵人們分享他們最喜歡的寵物的名字或童年細節。這些資訊也可能被用於攻擊，形成可預測的 Facebook 密碼列表。
每年，都會公佈最常用的 Facebook 密碼列表，其中某些密碼幾乎每年都會重新出現。以下是截至 2023 年 11 月的前十大常用 Facebook 密碼（由 CyberNews 調查團隊提供）：
- 123456
- 123456789
- 鍵盤（keyboard）
- Facebook 密碼（password）
- 12345
- qwerty123
- 1q2w3e
- 12345678
- 111111
- 1234567890
英國國家網路安全中心公佈了 10 萬個最常用 Facebook 密碼的列表。這些資料是從 Troy Hunt 的 “Have I Been Pwned?” 網站上的資料收集而來。Troy 將成功攻擊中洩露的憑證匯總到一個可搜索的資料庫中。這個資料庫現在包含超過 110 億個帳戶的資訊。這意味著地球上每個人擁有的帳戶都不止一個！這兩種資源都值得您不時檢查您的憑證。
最常見的 Facebook 密碼幾乎沒有什麼想像力，它們往往成為攻擊者針對您的帳戶嘗試的首批 Facebook 密碼。
2. 嵌入式憑證
嵌入式憑證（也稱為「硬編碼憑證」）是指直接嵌入到程式碼中的未加密、基於文字的憑證。嵌入式憑證可能：
- 作為出廠預設設定，例如物聯網 (IoT) 裝置或應用程式的首次使用憑證。
- 由開發人員嵌入到程式碼中，例如在使用 DevOps 工具或資料儲存庫時。
- 嵌入應用程式中，用於應用程式對應用程式的傳輸。
嵌入憑證的存在帶來了多種風險。有時，憑證在開發過程中為了方便訪問而被嵌入，之後卻被遺忘並發布到生產環境中。程式碼片段可能會在 GitHub 或其他平臺上共享以進行協作，但其中嵌入了敏感的 Facebook 密碼。如果攻擊者獲得對端點或系統的訪問權限，他們可能能夠掃描到純文字 Facebook 密碼，進而利用這些憑證訪問敏感資產。
許多設備、應用程式和系統都使用預設的硬編碼 Facebook 黑客密碼破解，這有助於簡化大規模設置，但也帶來大規模洩露的風險。
許多類型的嵌入式憑證（例如物聯網中的憑證）很難或不可能手動刪除或替換，通常需要供應商安全更新來修復或使用專門的 PAM 工具。
3. 預設憑證
預設憑證指的是出廠時預設的帳戶和密碼。這些憑證經常被嵌入到設備和應用程式中。通常，這些預設值在類似的設備之間共享。威脅行為者可能熟知這些預設值。使用預設憑證的設備、系統和帳戶容易受到字典攻擊、暴力破解和許多其他類型的攻擊。如果一個組織擁有多個端點都共享相同且未更改的預設值，那麼所有這些端點都很容易被集體攻擊。
近年來，已通過立法要求加強物聯網設備的安全防護，包括確保重置或初始配置過程需要強制使用者更改預設憑證，藉此提升整體安全性。
