Cracking Credit Card Hashes with PowerShell

NetSPI 讲解 PCI DSS 要求 3.1 的数据保留实践：持卡人数据存储须最小化，超过业务需要（通常约 90 天，覆盖退单争议期）即应清除或脱敏；保留前六后四的 PAN 不再视为持卡人数据，财务审计所需单据也无须保留完整卡号。

NetSPI 总结 2010 PCI 北美社区大会：DSS 2.0 以澄清与细化为主，明确 PAN 是判定适用性的核心要素，强化抽样方法论证，细化发卡机构存储敏感认证数据（SAD）的指引，并对哈希+截断并用等场景提出新的 PAN 保护要求。

NetSPI 分析 TOTP 动态口令为何已难以抵御坚定攻击者：通过暴力破解场景演示 30 秒有效期口令被攻破的过程，并建议改用更强的双因素认证方案替代传统 TOTP。

演示可重复重放的 CAPTCHA 如何形同虚设——用 Burp Intruder 重放请求第 86 次即爆出密码。文章给出一次性使用、与会话绑定、服务端校验等实现要点，避免反自动化控制被绕过。

拿到域凭据后，攻击者可在 RSA 自助控制台以「令牌暂不可用」为由申领有效期约一周的 Emergency Access Tokencode，再用 Burp Intruder 爆破无锁定保护的纯数字 PIN，绕过 SecurID 双因素认证。

Microsoft 域的云认证分托管与联合两种：前者直连 Azure AD 验证，后者经 ADFS 回源内网域控。配套工具 Invoke-ExternalDomainBruteforce 可自动识别域类型并对 O365/ADFS 发起密码爆破。