撞库拿来的是什么？
撞库使用从其他地方泄露或取得的用户名与密码配对，尝试登录目标服务。它利用的是凭据复用，并非一定重新猜测每个密码；目标站出现成功登录，也不能倒推出目标站自己的密码数据库已经泄露。[1]
014 / 身份与访问 / Credential Stuffing
别处泄露的密码，为什么能开这扇门？
撞库 · Credential Stuffing
论坛的账号密码对泄露了，电商站却没有发生同样的数据泄露。攻击者把现成的配对搬过来，部分密码竟然匹配。再看第二因素和已有会话，你会发现“密码对了”与“账户已经被接管”之间还有不同状态。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
破墙旁散落着账号卡和钥匙，角色把成袋钥匙带到商店试锁。它比喻将别处泄露的配对搬来尝试；一把钥匙亮绿灯不证明所有账户都可进入，也没有展示第二因素或已建立会话的状态。
本课任务 / 撞库
沿着泄露配对、跨站复用、认证检查与会话建立，找出每项防护真正切断的环节。
- 区分撞库、密码猜测与密码喷洒
- 比较独立密码、限流与第二因素的作用
- 把密码匹配、新会话与既有会话分开处理
亲手探索 / 不同条件，不同结果
同一组泄露配对，经过三道不同的登录检查。
在三个虚构站点之间比较密码复用、第二因素和尝试限制，再推进固定配对的教学尝试。分别观察请求是否受理、密码是否匹配和是否建立会话；不输入或验证任何真实密码。
安全运营工作台 · 封闭离线模型
泄露的一把钥匙，能打开几扇门？
源站泄露了一组虚构配对。三个其他站点都使用同一符号账号，分别判断口令匹配、第二因素和会话。更改条件重新观察新登录，已建会话保留。
- 本组尝试进度
- 0 / 3
- 当前有效会话
- 0 / 3
- 珊瑚商店本组口令匹配：待尝试第二因素：待尝试本组新登录：待尝试；现有会话：无
- 海草相册本组口令匹配：待尝试第二因素：待尝试本组新登录：待尝试；现有会话：无
- 贝壳邮箱本组口令匹配：待尝试第二因素：待尝试本组新登录：待尝试；现有会话：无
尚未检查当前条件。修改选择会清除旧结论；保留的状态可在工作台查看。
这不是暴力猜测，也不是向真实站点发送请求。MFA 在本例中没有被绕过；改变密码与开启 MFA 不自动撤销既有会话。重置实验才会清空整个虚构情境。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
让泄露停止在原来的站点
用密码管理器为不同服务生成并保存独立密码，减少一处泄露向其他账户扩散。目标站已改成新密码后，原配对应失效；但在别处继续复用同一旧值，仍会保留其他入口。这与增加登录页面步骤是不同的防线。[3][1]
02 / 实用细节
限流减少尝试，不能撤回已经成功的会话
认证端限制尝试能减慢批量提交，但只按来源地址计数不足以覆盖分散流量。观察账户和整体异常，同时考虑误伤与恢复流程。实验中的预算只控制本轮受理数，不代表现实推荐阈值，也不能清除限制开启前已经建立的会话。[2][4]
03 / 实用细节
密码匹配而第二因素失败，仍值得处理
没有新会话，并不意味着泄露的密码可以继续使用。可信通知可提示账户主人检查异常，确认受影响凭据并更新；同时检查恢复路径和其他认证入口。练习只演示第二因素未满足，不把 MFA 描绘成对钓鱼、会话窃取或所有接管方式的绝对保护。[1][3]
04 / 实用细节
服务端筛查泄露值，也要保护输入
在设置或更改密码时，比对常见、预期或已泄露的候选值，有助于避免继续选择危险密码。应使用可信方案，避免把完整密码交给不明“检测站”。本页没有凭据查询功能，不要求学习者粘贴真实密码或下载泄露库。[3]
05 / 实用细节
更换密码与撤销会话是两件事
新密码可以阻止旧配对再次认证，已经发出的会话是否继续有效，还取决于服务端的撤销策略。若怀疑接管，应查看登录记录、活动会话及账户变更，按事件流程处理，而不是只看下一次旧密码登录失败就结束调查。[4]
06 / 实用细节
不要把所有失败当作攻击已被消灭
攻击者可能只成功登录少数高价值账户；失败占比很高也不代表没有损失。把尝试、密码匹配、第二因素拒绝和后续敏感操作分开看。本课刻意保留这些状态，便于解释防护效果，不从固定样本计算真实接管率。[2][1]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
某论坛泄露了账号密码对。攻击者把这些成对凭据批量提交到电商站，部分账户直接登录成功，没有逐个枚举密码。最符合哪种攻击？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- OWASP · Credential Stuffing Prevention ↗
成对凭据复用、与喷洒的区别、分层防护及异常通知
- OWASP · Authentication Cheat Sheet ↗
认证入口、限速、监测与认证防线的覆盖范围
- NIST SP 800-63B-4 · Authentication ↗
独立认证因素、密码管理器、泄露密码阻止列表与凭据失陷处理
- OWASP · Session Management Cheat Sheet ↗
会话生命周期、撤销、活动会话与凭据变更后的处理
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。