登录接口防攻击 02

可以参考前一篇博客:http://hw1287789687.iteye.com/blog/2215776

 

我们先考虑一种机器自动攻击的情形:

比如攻击者通过程序,每10秒钟访问登录接口,并且用户名和密码都一样,当然密码是错误的.

如何防止这种攻击呢?

方案一:

(1)登录失败,则开始计数;

(2)判断失败次数是否超过10(次数可以定制),若超过,则直接返回response code为401(无权访问)

,若没有超过,继续访问数据库进行登录验证,登录失败则失败次数加1

(3)登录失败,判断与之前登录失败的密码是否一致,若一致,则失败次数加1;若不一致,则执行(1);

 

 

那么有个问题:

判断失败次数是否超过10,则直接返回response code为401,万一修改了密码,原错误密码是正确的怎么办呢?

判断超过10次的基础上,再判断与上次登录相距多久,如果超过1个小时,则仍然查数据库. 

 

(4)若登录成功,则失败次数减1

 

 

注意:每个错误密码都对应自身失败的次数,而不是所有错误登录一起计算的.

前10次,还是会查询数据库.后面的登录(相同的错误密码)就不会查询数据库了,什么也不做直接设置response 的status为401.

 

为什么要处理?有人说就让它登录呗,反正密码是错误的,又登录不进去!

但是这些无效的请求依然会访问数据库,无谓地增加系统负担,所以必须要考虑应对方案.

 

方案二:

相同的错误密码,连续登录3次之后,后面的登录,直接匹配用户名和密码是否一致,若一致,则直接返回登录失败信息,不一致才真正访问数据库.

(a)登录失败,判断是否有该错误密码的记录,若有,则失败次数+1;若没有则增加记录,错误次数设置为1;

(b)判断失败次数是否超过3,超过则直接返回登录失败,不查询数据库;否则,查询数据库;

(c)若修改密码,则清除该用户所有的错误密码记录.

可以参考前一篇博客:http://hw1287789687.iteye.com/blog/2215776