Hi,大家好。我们在开展接口测试时也需要关注安全测试,例如敏感信息是否加密、必要参数是否进行校验。今天就给大家介绍接口安全性测试应该如何开展,文末可领资料。
走过路过不要错过。
请点击输入图片描述(最多18字)
一
接口防刷案例分析
1
案例
-
黄牛在12306网上抢票再倒卖并牟利。
-
恶意攻击竞争对手,如短信接口被请求一次,会触发几分钱的运营商费用。
-
进行压测时,用Apache Bench做压力测试。
2
什么行为判定为刷接口?
-
接口请求次数多;
-
接口请求概率频繁,可能1秒上千次;
-
用户身份难以识别,可能会在刷的过程中随时换浏览器或者ip;
3
如何判断用户粒度?
根据当前网页
-
缺点:没有任何意义,刷新页面后用户的身份就变了;
根据session
-
缺点:当用户手动清除 cookie 的时候即失效;
根据ip
-
优点:伪造成本高;
-
缺点:要考虑一个公司、一个小区的人一般会共享一个 ip,所以适当的要放宽对单一 ip 的请求限制;
二
如何处理恶意请求?