在网络安全领域，凭证盗用攻击（Credential Theft Attack）和撞库攻击（Credential Stuffing Attack）是两种危害用户账户安全的常见攻击方式。
凭证盗用攻击表现为主动窃取用户凭证，如通过钓鱼攻击、中间人攻击等非法获取账户的用户名和密码；而撞库攻击则利用已泄露的凭证，通过自动化工具尝试登录多个系统，借助用户密码复用的习惯来非法访问其他账户。这两种攻击方式有本质区别，但往往能相互融合，使攻击效果最大化。
凭证盗用攻击（Credential Theft Attack）
定义（Definition）
凭证盗用攻击是指攻击者通过主动手段（如钓鱼、恶意软件、中间人攻击等）窃取目标用户的认证凭证，比如用户名、密码或其他敏感信息。这种攻击的目标是直接获取用户当前有效的登录凭证。
主要实施方式（Key Methods）
钓鱼攻击（Phishing Attack）：
攻击者伪装成可信的实体（如银行、电子邮件服务商等），通过伪造的电子邮件、短信或网站引导用户提供自己的凭证。键盘记录器（Keylogger）：
使用恶意软件记录用户的键盘输入。无论是在电脑或手机上，只要用户输入用户名和密码，攻击者都能实时窃取这些信息。中间人攻击（Man-in-the-Middle Attack, MitM）：
攻击者拦截用户与服务器之间的通信，窃取登录凭证或其他敏感信息，特别是在使用不安全网络（如公共Wi-Fi）时高发。数据库泄露（Database Breach）：
攻击者直接攻破数据库，获取其中存储的用户信息（如哈希密码或甚至明文密码）。这些信息极易在黑市或暗网上流传。
防御建议（Defense Recommendations）
用户教育（User Education）：
提高用户对钓鱼攻击和伪造网站的警惕性，不点击陌生链接，并核实可疑的邮件或短信来源。启用 HTTPS 加密（Use HTTPS Encryption）：
确保所有通信通过安全加密协议（HTTPS）进行，以防止中间人攻击。实施安全软件（Implement Security Software）：
安装杀毒软件和防火墙，检测并清除可能的恶意软件（如键盘记录器）。安全存储密码（Securely Store Passwords）：
企业应使用强大的加密算法（如 PBKDF2、bcrypt）以安全方式存储用户密码，防止数据库泄露后直接暴露密码明文。
撞库攻击（Credential Stuffing Attack）
定义（Definition）
撞库攻击是攻击者使用先前在其他数据泄露事件中获取的用户编配凭证（用户名-密码对），通过自动化工具尝试在其他网站、平台或服务上批量登录。这种攻击利用了用户在多个平台中复用相同密码的习惯。
主要实施方式（Key Methods）
密码复用（Password Reuse）：
用户在多个不同平台上使用相同的账号和密码，为撞库攻击提供了可利用的条件。泄露凭证（Leaked Credentials）：
攻击者从已知或未知的数据泄露中获取凭证，这些信息可能来自暗网交易市场或免费的公开数据。自动化工具（Automation Tools）：
撞库攻击使用专门的自动化脚本或机器人程序，在短时间内尝试登录大量目标账号。批量登录攻击（Mass Login Attempts）：
攻击者通常针对常见的在线服务（如购物、社交媒体和在线银行）批量测试账号，试图找到密码复用的有效入口点。
防御建议（Defense Recommendations）
不复用密码（Avoid Reusing Passwords）：
为每个账号创建唯一的密码，使用密码管理器（如 LastPass、1Password）来生成和管理复杂密码。启用双因子认证（Enable Two-Factor Authentication, 2FA）：
即使密码被窃取或泄露，由于需要额外的身份验证（如短信验证码或生物识别），攻击者也无法直接访问账号。速率限制与机器人验证（Rate Limiting and CAPTCHA）：
网站应在登录尝试上设置速率限制，并且在检测到异常时，要求输入 CAPTCHA 验证码以阻止机器人登录。监控和警报（Monitoring and Alerts）：
实时监控用户尝试登录的数据，并检测异常活动（如多地登录或短时间内大量失败登录）。
凭证盗用攻击 vs. 撞库攻击：对比表
| 方面 (Aspect) | 凭证盗用攻击 (Credential Theft Attack) | 撞库攻击 (Credential Stuffing Attack) |
|---|---|---|
| 目标 (Target) | 主动窃取用户凭证，并利用这些凭证访问受害者账户。 | 使用已泄露的凭证尝试批量登录其他平台。 |
| 实现方式 (Method) | 钓鱼攻击、恶意程序（如键盘记录器）、中间人攻击等。 | 使用自动化工具批量尝试登录（针对泄露的用户名-密码组合）。 |
| 基础条件 (Condition) | 依赖于诱骗成功或系统漏洞，获取实时凭证。 | 依赖于已有的数据泄露，并基于用户的密码复用行为。 |
| 成功原因 (Reason) | 用户中招或安全协议漏洞。 | 密码复用和缺乏额外安全措施（例如双因子认证）。 |
| 防御措施 (Defense) | 用户教育、数据加密、杀毒软件、实施 HTTPS。 | 使用强密码、不复用密码、启用双因子认证，网站端启用速率限制和 CAPTCHA 验证。 |
总结（Conclusion）
凭证盗用攻击和撞库攻击虽然目标都是非法访问用户账户，但方式与防御重点却各有不同。
- 凭证盗用攻击依赖于主动的攻击手段，需要直接获取用户的实时凭证，防御需要更多的安全意识和系统加密保护。
- 撞库攻击则利用现有数据泄露，其成功的关键在于密码复用，因此更依赖用户的密码管理习惯和平台机制的速率限制及检测措施。
完善的密码策略和积极的安全措施，是对抗这两类攻击的关键。
