从数据库泄露看密码存储，红队实战与代码审计实践

在进行 .NET 应用程序的安全审计时，密码存储逻辑 是一个至关重要的环节。密码作为用户认证的核心凭证，一旦被不当存储，将可能导致整个系统的安全性失效。在过去的安全事件中，我们反复看到某些系统因为以 纯文本形式存储密码，被攻击者入侵数据库后直接窃取了所有用户凭证。这种情况下，攻击者无需任何技术手段即可直接使用数据库中导出的明文密码，导致大规模的用户账号被盗。

在过去的几年里，团队参与过不少 .NET 系统的安全审计，其中一个让成员们印象深刻的案例，是在一次大型企业内部的身份认证平台中，发现了一个极为严重的设计缺陷：所有用户的密码都以明文形式存储在数据库里。

当第一次在数据库表 Users 里执行 SELECT * FROM Users 时，眼前的场景几乎让人不敢相信：每个用户的真实密码，就那样赤裸裸地展现在眼前，没有任何加密或混淆。

换句话说，只要攻击者能够获取数据库的一点点访问权限，就可以瞬间掌握成千上万用户的账户密码。更可怕的是，很多用户会在多个系统中使用相同的密码，这意味着一次泄露就可能引发连锁反应，从邮箱到支付系统，全面失守。

1.1 明文密码存储

这种问题在代码审计时往往很容易被识别。通常只需要检查用户注册或修改密码的逻辑，就能看出开发人员是如何处理用户密码的。例如，在那次审计中发现的代码如下：

publicvoidRegisterUser(string username, string password){// 将密码直接插入数据库string sql = "INSERT INTO Users (Username, Password) VALUES (@username, @password)";using (var cmd = new SqlCommand(sql, connection))    {        cmd.Parameters.AddWithValue("@username", username);        cmd.Parameters.AddWithValue("@password", password); // 明文存储！        cmd.ExecuteNonQuery();    }}

1.2 可逆密码存储

一些开发者意识到明文存储不安全，于是使用了对称加密，比如AES、DES 等来存储密码，具体代码如下所示。

publicstringEncryptPassword(string password){using (Aes aes = Aes.Create())    {        aes.Key = Encoding.UTF8.GetBytes("HardCodedSecretKey!"); // 硬编码密钥        aes.IV = newbyte[16]; // 固定 IV        ICryptoTransform encryptor = aes.CreateEncryptor(aes.Key, aes.IV);using (var ms = new MemoryStream())using (var cs = new CryptoStream(ms, encryptor, CryptoStreamMode.Write))using (var sw = new StreamWriter(cs))        {            sw.Write(password);return Convert.ToBase64String(ms.ToArray());        }    }}

只要攻击者获得密钥，就能还原所有用户的密码；如果密钥硬编码在源代码中，代码泄露或逆向后即可恢复明文密码；可逆加密方式并不能防止密码被二次利用。

为了避免这种灾难性的设计错误，必须引入密码哈希的机制。密码哈希算法是一类单向函数，接收一个密码输入，并生成一个不可逆的固定长度字符串。所谓不可逆，是指即便攻击者拿到了哈希值，也几乎不可能推导出原始密码。

这与对称加密有着根本的区别：加密是可逆的，只要掌握密钥，就能还原明文；而哈希的目标恰恰相反，它是只能验证、不能还原。

在审计时，我会特别关注开发者是否使用了哈希。如果看到代码里直接调用 MD5.ComputeHash 或 SHA1.Create()，虽然比明文好一点，但依然会被我标记为不安全。因为这类通用哈希函数的计算速度太快，攻击者可以轻易用彩虹表或 GPU 暴力破解工具，在极短时间内恢复出弱密码。

因此，在应用系统中，更推荐使用专门为密码存储设计的算法，例如 PBKDF2 或 bcrypt。它们的设计核心就是“延缓破解速度”，通过引入随机盐值和大量迭代，显著增加攻击者的计算成本。

安全的密码存储方式需要满足几个条件，使用 单向函数（不可逆哈希算法）；引入 随机盐值（Salt），避免彩虹表攻击；使用 多次迭代，增加破解成本；存储结果时，保存 盐值与哈希值，不保存明文。在 .NET 中，最常用的方案是使用 PBKDF2 算法，在 System.Security.Cryptography 命名空间中由 Rfc2898DeriveBytes 类实现。

2.1 PBKDF2

在 .NET 中，可以通过 Rfc2898DeriveBytes 类来实现 PBKDF2。下面是我在对一个金融系统进行整改时，建议开发团队采用的安全代码示例：

using System;using System.Security.Cryptography;publicclassPasswordSecurity{// 生成随机盐值publicstaticbyte[] GenerateSalt()    {byte[] salt = newbyte[16];using (var rng = RandomNumberGenerator.Create())        {            rng.GetBytes(salt);        }return salt;    }// 使用 PBKDF2 生成密码哈希publicstaticstringHashPassword(string password, byte[] salt)    {using (var pbkdf2 = new Rfc2898DeriveBytes(password, salt, 10000, HashAlgorithmName.SHA256))        {byte[] hash = pbkdf2.GetBytes(32); // 256 位哈希return Convert.ToBase64String(hash);        }    }// 验证密码publicstaticboolVerifyPassword(string password, string storedHash, byte[] storedSalt)    {string computedHash = HashPassword(password, storedSalt);return storedHash == computedHash;    }}

这种算法 每次生成 128 位随机盐值；HashPassword 使用 PBKDF2 + SHA256，迭代 10000 次；存储时保存 Salt + Hash；验证时重新计算哈希并比较。在这段代码中，首先通过 GenerateSalt() 函数生成一个随机盐值。盐值的作用，是防止攻击者使用预计算的彩虹表来逆向哈希。换句话说，即便两个用户使用了同一个密码，他们的哈希结果也会因为盐值不同而完全不同。

随后，HashPassword 方法使用 PBKDF2 算法，将密码和盐值结合，并执行 10,000 次迭代计算。这种做法极大增加了暴力破解的难度。攻击者即便利用 GPU 进行运算，也会因为迭代次数的限制，而不得不付出高昂的计算成本。

2.2 评估审计

如果我们将前后的代码做一个对比，就能清楚看到安全性的差距：

cmd.Parameters.AddWithValue("@password", password); // 明文

改进后的安全代码：

byte[] salt = GenerateSalt();string hashedPassword = HashPassword(password, salt);cmd.Parameters.AddWithValue("@password", hashedPassword);cmd.Parameters.AddWithValue("@salt", Convert.ToBase64String(salt)); // 单独存储盐

因此，一个完整的安全设计，应该包括：强制用户使用强密码、定期过期、更换密码，并尽可能引入多因素认证机制。这些安全措施相辅相成，共同构建一个健壮的防御体系。

综上，我们通过真实的审计案例，分析了“明文密码存储”这一高危漏洞的成因与风险。我们展示了如何通过 PBKDF2 算法和随机盐值的引入，显著提升密码存储的安全性。

课程不仅注重技能传授，更强调思维培养和独立分析能力的塑造。通过课程学习，学员能够掌握以下几方面的核心能力：

系统化的 .NET 框架安全知识

从基础语言特性、类库使用、面向对象编程、文件操作、序列化机制、应用配置及框架特性，全面覆盖 .NET 代码审计所需的知识体系。

精通各类高危漏洞审计方法

包括但不限于反序列化漏洞、企业级框架漏洞，比如 .NET WebForm、MVC框架等，通过逐步剖析真实案例，提升学员对漏洞原理和利用链的理解。

工具链的深度应用能力

掌握 CheckMarx、Fortify 等主流代码审计和漏洞分析工具的实际操作方法，实现半自动化和规模化代码审计，并能够结合手工分析优化审计效率。

实战经验积累与变通能力

通过企业级项目案例演练，学员能够独立完成漏洞发现、分析、利用和修复方案制定，将理论知识真正转化为可落地的实战能力。

职业发展与学习收益转化

掌握 .NET 代码审计技能，不仅能够胜任安全团队中的核心岗位，还能通过漏洞赏金计划、红队演练、SRC 漏洞提交等方式，实现技能变现，为职业发展与个人收益提供强大支撑。

为了让每位学员能够循序渐进地掌握 .NET 代码审计的核心技能，我们精心设计了课程体系，分为四大版块：

3.1 .NET 代码审计社区

完成基础知识学习后，课程将进入代码审计方法阶段。这一阶段的重点是让学员掌握如何系统化地审计 .NET 代码。我们将通过代码审计星球让学员理解漏洞形成的全流程，从漏洞出现的原因、触发条件，到利用方法、风险评估和修复方案，形成完整的审计逻辑链条。

课程内容涵盖 ASP.NET MVC、WCF、WinForms、WPF 等主流框架，讲解常见漏洞类型，包括反序列化漏洞、权限提升漏洞、远程命令执行、文件上传与路径遍历、SQL 注入、XSS 等，并结合工具操作，让学员在实际项目中能够快速定位问题。

3.2 .NET 安全基础入门

在这个板块，课程从最基础的 .NET 框架概念入手，帮助零基础学员建立坚实的知识根基。我们为学员准备了一个 [.NET 安全基础入门] 的学习星球，加入代码审计班的学员可以永久免费学习该星球内容。

课程从 .NET 框架的历史与版本差异讲起，逐步深入到开发环境搭建、编程语言基础、类库使用、面向对象编程方法、异常处理机制、文件操作技巧、配置文件管理等核心知识点。每一个环节都配备详细的视频讲解与实操案例，让学员能够真正理解每一行代码背后的逻辑与安全隐患，部分内容如下图所示。

这一阶段的课程不仅帮助学员熟悉 .NET 基础语法，更强调安全意识的培养。我们会通过大量案例展示普通开发中容易忽视的安全问题，如输入验证缺失、序列化配置错误、敏感信息泄露等，让学员在实际开发环境中也能保持安全思维。

3.3 .NET 项目漏洞实战

后续，课程还将通过完整的企业级项目演练，帮助学员将所学知识应用到真实工作场景。每个学员都将参与代码审计项目，从漏洞发现、分析、利用到报告撰写、修复建议制定，全流程实践安全技能。同时，课程还将提供职业发展指导，包括如何参与漏洞赏金计划、如何撰写高质量漏洞报告、如何在红队或安全团队中快速成长，以及如何通过技能实现收益变现。

通过这一阶段的学习，学员不仅能够独立完成 .NET 项目的代码审计，还能通过项目经验积累，提升在职业市场中的竞争力，为未来的高级安全岗位、红队或漏洞挖掘岗位打下坚实基础。

与传统培训课程不同，本课程强调 [理论+实战+工具应用+社区支持] 的全方位学习模式。每一部分内容都经过精心设计，确保学员在学习过程中能够真正理解并掌握知识点。 [ 截至目前，星球已推出100+内容 ，还在持续增加中，包括70个视频+30份PDF文档 ] 我们已将内容细致划分为16个分类，并随新漏洞类型的出现持续扩展。

课程特色具体体现在以下几个方面：

深度实战案例

每节课程都源自真实案例，覆盖企业级项目的漏洞分析，让学员在实际操作中理解漏洞形成机制及防御策略。通过反序列化漏洞、文件上传漏洞等高级案例，学员能够掌握红队攻防中最前沿的技能。

工具应用结合

课程讲解不仅停留在理论层面，还将 CheckMarx、Ysoserial、Fortify 等主流工具深度融合到实战教学中，让学员学会在实际审计中快速定位漏洞，实现半自动化和规模化分析，提升工作效率。

持续更新知识

课程承诺知识库持续更新，学员能够跟上最新漏洞趋势和攻防技术发展，不断提升实战能力。

社区答疑支持

学员可加入专属社区，与讲师和同学实时交流，解决学习和实战中的疑问。讲师提供全程一对一指导，确保每位学员遇到的难题都能得到有效解答。

零基础到高级

课程设计考虑不同基础学员需求，从零基础入门到高级漏洞分析，循序渐进。无论是刚入门的新人，还是有一定开发或渗透测试基础的学员，都能在课程中找到适合自己的成长路径。

为鼓励学员尽早加入课程，我们为报名成功的学员提供多重福利：课程早鸟价优惠，同时 [ 赠送价值140元的《.NET 安全攻防指南》签名版新书一套 ]

加入课程即可永久获取《dot.Net 安全代码审计》星球，[ 一次付费，后续更新内容免费永久学习 ] 社区内部可获得专属答疑支持、漏洞分析经验分享、企业实战案例库访问权限。

欢迎对.NET代码审计关注和关心的同学加入我们 [dot.Net安全代码审计] 星球社区，目前已有近 100+ 位朋友抢先预定。课程名额有限，报名先到先得。[ 随着课程内容和质量不断沉淀，后期门票价格将逐步提高，早加入学员享受最大优惠 ] 

《.NET 安全代码审计》是一门面向未来的信息安全实战课程，不仅教授技术技能，更注重培养学员独立分析问题、解决问题的能力。课程通过系统化的知识讲解、工具应用训练、真实案例分析和项目实战演练，让学员从零基础逐步成长为能够独立进行企业级代码审计和红队攻防的安全专家。

学员好评如潮

在这里，将掌握 .NET 框架的核心概念和高级安全技能，学会发现高危漏洞、分析攻击链条、提出修复方案，积累实战经验，实现技能变现和职业成长。[ 无论你的目标是进入企业安全团队、参与漏洞赏金计划，还是成为红队高手，亦或是为团队赢得年度国家级攻防荣誉，这门课程都将成为你不可或缺的成长助力] 期待在这里能遇到有情有义的小伙伴，大家聚在一起做一件有意义的事，[ 可扫描下方老师微信二维码加入星球，了解更多详情 ]

现在就加入我们，与来自全国各地的安全爱好者一起，开启你的 .NET 代码审计之旅，让技术成为你职业发展的利器，也让安全成为你未来成就的基石。