CWE-1391 类漏洞列表 31

CWE：CWE-1391 使用弱凭证 (Use of Weak Credentials) 该产品使用弱凭证 (Weak Credentials)（例如默认密钥 (Default Key) 或硬编码密码 (Hard-coded Password)），攻击者可以计算、推导、重用或猜测这些凭证。 从设计角度来看，认证协议 (Authentication Protocols) 旨在确保如果攻击者不知道密钥 (Key) 或密码 (Password) 等凭证，则必须执行暴力破解攻击 (Brute Force Attacks)。然而，当这些凭证易于预测甚至是固定的（如默认或硬编码的密码和密钥）时，攻击者无需依赖暴力破解即可击败该机制。凭证可能因不同原因而变弱，例如： * 硬编码 (Hard-coded)：即静态且管理员无法更改。 * 默认 (Default)：即在不同部署/安装中相同的静态值，但管理员可以更改。 * 可预测 (Predictable)：即以在部署/安装中生成唯一凭证的方式生成，但仍能以合理的效率被猜测。 * 先前泄露 (Previously Compromised)：即作为数据泄露 (Data Breach) 的一部分发布的“泄露”凭证。 即使旨在为每次产品安装生成新的、唯一的凭证，如果生成过程是可预测的，那么这也可能简化猜测攻击 (Guessing Attacks)。