CWE-836 在认证机制中使用口令哈希代替口令 类漏洞列表 12

CWE：CWE-836 使用密码哈希（Password Hash）而非密码（Password）进行认证 英文：产品将密码哈希（Password Hash）记录在数据存储（Data Store）中，从客户端接收密码哈希（Password Hash），并将提供的哈希（Hash）与从数据存储（Data Store）中获取的哈希（Hash）进行比较。 某些认证机制依赖于客户端生成密码的哈希（Hash），可能是为了减轻服务器负载或避免在网络上传输密码（Password）。然而，当使用客户端生成哈希（Hash）时，攻击者可以通过获取哈希（Hash）的副本（例如，通过使用 SQL 注入（SQL Injection）破坏认证凭据（Authentication Credentials）数据库，或利用信息暴露（Information Exposure）漏洞）来绕过认证（Authentication）。攻击者随后可以使用修改后的客户端重放（Replay）窃取的哈希（Hash），而无需知晓原始密码（Password）。因此，与客户端哈希（Hash）进行的服务器端比较并未提供比直接使用未哈希（Hash）密码（Password）更多的安全性。