1.忘记密码漏洞案例分析
使用短信验证码,在忘记密码短信找回中有一个短信验证码
破解思路(暴力破解):假设验证码为4位数字
使用java程序 HttpClient技术开启多线程技术调用找回密码接口 暴力破解生成
对应的4位数字以内验证码进行验证,如果一旦验证成成,破解ok
如何防止暴力破解找回密码?
- 找回验证码最好不要单纯全部是数字(数字+字母组合)
- 如果找回密码接口重试五次以上还是错误(出现图形验证码)
- 配置防止DDOS,限流,限制IP访问,黑名单和白名单
2.上传文件漏洞防御手段
- 如何防御上传文件漏洞(在上传图片的时候,一定要使用判断文件流方式确定它一定是一张图片,不要判断后缀)
- 静态资源与动态资源分开服务器执行(Nginx+Tomcat实现动静分离)
- 前端应该做后缀限制
3.Web常见攻击手段总结
- 你们项目安全架构是怎样的
Web常见攻击手段与防御
XSS、CSRF、上传漏洞、SQL注入、忘记密码漏洞、其他漏洞 - 如何保证接口幂等性
使用令牌方式+图形验证码+限流 - 如何防止模拟请求|如果抓包分析到token
图形验证码+如果在调用核心业务(支付转账、下单),最好使用短信验证码或者是人脸识别技术
4. 互联网API接口幂等设计
@Aspect
@Component
public class ExtApiAopIdempotent {
@Autowired
private RedisTokenUtils redisTokenUtils;
@Pointcut("execution(public * com.itmayiedu.controller.*.*(..))")
public void rlAop() {
}
@Around("rlAop()")
public Object doBefore(ProceedingJoinPoint proceedingJoinPoint) throws Throwable {
MethodSignature signature = (MethodSignature) proceedingJoinPoint.getSignature();
ExtApiIdempotent extApiIdempotent = signature.getMethod().getDeclaredAnnotation(ExtApiIdempotent.class);
if (extApiIdempotent == null) {
// 直接执行程序
Object proceed = proceedingJoinPoint.proceed();
return proceed;
}
// 代码步骤:
// 1.获取令牌 存放在请求头中
HttpServletRequest request = getRequest();
String token = request.getHeader("token");
if (StringUtils.isEmpty(token)) {
response("参数错误!");
return null;
}
// 2.判断令牌是否在缓存中有对应的令牌
// 3.如何缓存没有该令牌的话,直接报错(请勿重复提交)
// 4.如何缓存有该令牌的话,直接执行该业务逻辑
// 5.执行完业务逻辑之后,直接删除该令牌。
if (!redisTokenUtils.findToken(token)) {
response("请勿重复提交!");
return null;
}
Object proceed = proceedingJoinPoint.proceed();
return proceed;
}
public HttpServletRequest getRequest() {
ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
HttpServletRequest request = attributes.getRequest();
return request;
}
public void response(String msg) throws IOException {
ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
HttpServletResponse response = attributes.getResponse();
response.setHeader("Content-type", "text/html;charset=UTF-8");
PrintWriter writer = response.getWriter();
try {
writer.println(msg);
} catch (Exception e) {
} finally {
writer.close();
}
}
}