protected boolean disablePlainTextPasswords = true;
    /** OEM encoding for non-Unicode operations */
    protected String oemEncoding = SmbConstants.DEFAULT_OEM_ENCODING;
    /** SMB flags2 field value */
    protected int flags2 = 0;
    /** SMB client capabilities */
    protected int capabilities = 0;
    /** Maximum number of concurrent SMB sessions */
    protected int sessionLimit = SmbConstants.DEFAULT_SSN_LIMIT;

            if (byteCount > server.encryptionKeyLength) {
                int len = 0;
                // Use appropriate string decoding based on Unicode flag
                try {
                    if ((flags2 & FLAGS2_UNICODE) == FLAGS2_UNICODE) {
                        while (buffer[bufferIndex + len] != (byte) 0x00 || buffer[bufferIndex + len + 1] != (byte) 0x00) {
                            len += 2;

                 *   \server\share\path\to\file
                 * as opposed to normally
                 *   \path\to\file
                 */
                request.flags2 = SmbConstants.FLAGS2_RESOLVE_PATHS_IN_DFS;
                request.path = '\\' + session.transport().tconHostName + '\\' + share + request.path;
            }
            try {

        assertEquals((byte) 0x34, dst[1]);
        assertEquals((byte) (0x80 | (NameServicePacket.QUERY << 3) | 0x04 | 0x02 | 0x01), dst[2]); // flags1
        assertEquals((byte) (0x80 | 0x10 | NameServicePacket.FMT_ERR), dst[3]); // flags2
        assertEquals((byte) 0x00, dst[4]); // questionCount
        assertEquals((byte) 0x01, dst[5]);
        assertEquals((byte) 0x00, dst[6]); // answerCount
        assertEquals((byte) 0x02, dst[7]);

        // Setup server data for this scenario
        serverData.capabilities = 0; // No extended security
        serverData.encryptionKeyLength = 8;
        response.flags2 = ServerMessageBlock.FLAGS2_UNICODE;
        byte[] domainNameBytes = "DOMAIN_U".getBytes("UTF-16LE");
        response.byteCount = 8 + domainNameBytes.length + 2; // key + domain + null terminator

#### Die Zeit zum Antworten hilft den Angreifern { #the-time-to-answer-helps-the-attackers }

Wenn die Angreifer zu diesem Zeitpunkt feststellen, dass der Server einige Mikrosekunden länger braucht, um die Response „Incorrect username or password“ zu senden, wissen sie, dass sie _etwas_ richtig gemacht haben, einige der Anfangsbuchstaben waren richtig.

Oder Sie haben andere Möglichkeiten, mit dem WebSocket-Endpunkt zu kommunizieren.

---

Für dieses Beispiel verwenden wir jedoch ein sehr einfaches HTML-Dokument mit etwas JavaScript, alles in einem langen String.

Das ist natürlich nicht optimal und man würde das nicht in der Produktion machen.

In der Produktion hätten Sie eine der oben genannten Optionen.

import java.io.File;
import java.util.ArrayList;
import java.util.List;

import org.apache.commons.lang3.RandomStringUtils;
import org.apache.commons.lang3.SystemUtils;
import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;
import org.codelibs.core.lang.StringUtil;
import org.codelibs.core.timer.TimeoutTask;
import org.codelibs.fess.Constants;

import java.io.File;
import java.util.ArrayList;
import java.util.List;

import org.apache.commons.lang3.RandomStringUtils;
import org.apache.commons.lang3.SystemUtils;
import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;
import org.codelibs.core.lang.StringUtil;
import org.codelibs.core.timer.TimeoutTask;
import org.codelibs.fess.Constants;

import java.util.function.Supplier;

import org.apache.commons.lang3.ArrayUtils;
import org.apache.commons.lang3.StringUtils;
import org.apache.commons.text.StringEscapeUtils;
import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;
import org.codelibs.core.CoreLibConstants;
import org.codelibs.core.exception.IORuntimeException;
import org.codelibs.core.lang.StringUtil;
import org.codelibs.fess.Constants;