口令是人们使用非常频繁的认证方式,然而近几年口令数据泄露事件频频在国内外发生,引发了各界对口令安全的担忧。当前学术界在口令安全研究方面主要关注口令猜测攻击算法,这些算法通常基于已公开的泄露口令数据集进行研究,并未考虑到用户可能根据自身所处的网络环境进行口令设置的情况。本文站在攻击者角度,基于主动收集信息的思想,提出定向口令猜测攻击方法和口令强度评价体系,设计并实现通用框架下可自主配置的口令强度评价系统。首先本文研究用户登录行为,基于主动收集信息的思想,提出一种定向口令猜测攻击算法。收集并分析工业信息系统登录流量数据,提出基于机器学习的登录成功流量识别方法。从登录行为出发,通过网络爬虫主动收集和用户某次登录活动相关的信息,并提出定向口令猜测攻击算法。实验结果表明,相较于未考虑相关信息的PCFG方法,我们的方法对口令集的猜测能力有了明显提升。其次本文基于不同类型的口令强度评价方法,提出一种口令强度评价体系。分析不同口令强度评价标准和方法的特点,对部分方法进行优化和调整,并结合三种口令强度评价方法提出可适配不同网站的通用口令强度评价体系。实验表明,该评价体系兼顾通用性和适配性,能帮助不同网站管理者实现有针对性的关键信息收集和口令强度判断。最后本文基于上述研究内容,设计并实现了通用框架下可自主配置的口令强度评价系统。通过实际运行效果可知,该系统能够在通用框架下实现适配目标网站的口令评价过程,不需修改已有系统,帮助不同网站的管理者实现有效的口令安全维护工作。