定義
API重放攻擊(Replay Attacks)又稱重播攻擊、回放攻擊,這種攻擊會不斷惡意或欺詐性地重復(fù)一個有效的API請求。攻擊者利用網(wǎng)絡(luò)監(jiān)聽或者其他方式盜取API請求,進行一定的處理后,再把它重新發(fā)給認(rèn)證服務(wù)器,是黑客常用的攻擊方式之一。
工作原理
重放攻擊的示意圖如下所示:
從上面的示意圖中我們可以知道,一般的重放攻擊主要有下面幾個步驟
- 瀏覽器和服務(wù)器進行身份認(rèn)證之后使用接口請求正常通信
- 黑客通過非法手段竊聽了瀏覽器和服務(wù)器的會話,獲取了比如身份認(rèn)證信息,API接口以及對應(yīng)的參數(shù)
- 黑客獲取竊聽的數(shù)據(jù)之后進行了一定的處理再冒充瀏覽器重新發(fā)送請求給服務(wù)器
危害
- 用戶被多次消費(下單動作,支付動作)
- 用戶登錄態(tài)被盜取(登陸的請求被抓住,被攻擊者再次發(fā)送,相當(dāng)于攻擊者擁有了登錄態(tài))
- 多次抽獎/刷票/搶票
防御對策
時間戳驗證
請求即便被抓住,再次被發(fā)送的時候會有時間差。比如瀏覽器向服務(wù)器發(fā)送請求時,會在消息中添加當(dāng)前的時間戳,而服務(wù)器也只會接受時間戳在合理范圍內(nèi)的請求。
當(dāng)然對應(yīng)的缺點就是,如果重放攻擊執(zhí)行的足夠快(請求還在“合理”的時間內(nèi)),那也是可以成功的
一次性密碼(number once)
只有一次,類似token。一串唯一的只能用一次的字符串。再次用這個number的話那就無效文章來源:http://www.zghlxwxcb.cn/news/detail-636264.html
其他
- 使用HTTPS可以防止明文數(shù)據(jù)被監(jiān)聽。但是卻防止不了重放攻擊。
- 使用簽名之后可以驗證請求者的身份,但也防止不了重放攻擊,攻擊者截獲請求后,不對請求進行任何調(diào)整。直接使用截獲的內(nèi)容重新高頻率發(fā)送請求。
參考文檔
重放攻擊
阿里云-重放攻擊預(yù)防文章來源地址http://www.zghlxwxcb.cn/news/detail-636264.html
到了這里,關(guān)于網(wǎng)絡(luò)安全-重放攻擊(Replay Attack)的文章就介紹完了。如果您還想了解更多內(nèi)容,請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章,希望大家以后多多支持TOY模板網(wǎng)!