47-互联网安全架构-Web常用攻击手段之上传文件漏洞&忘记密码漏洞&其他漏洞

1.忘记密码漏洞案例分析

使用短信验证码，在忘记密码短信找回中有一个短信验证码
破解思路（暴力破解）：假设验证码为4位数字
使用java程序 HttpClient技术开启多线程技术调用找回密码接口 暴力破解生成
对应的4位数字以内验证码进行验证，如果一旦验证成成，破解ok
如何防止暴力破解找回密码？

1. 找回验证码最好不要单纯全部是数字（数字+字母组合）
2. 如果找回密码接口重试五次以上还是错误（出现图形验证码）
3. 配置防止DDOS，限流，限制IP访问，黑名单和白名单

2.上传文件漏洞防御手段

1. 如何防御上传文件漏洞（在上传图片的时候，一定要使用判断文件流方式确定它一定是一张图片，不要判断后缀）
2. 静态资源与动态资源分开服务器执行（Nginx+Tomcat实现动静分离）
3. 前端应该做后缀限制

3.Web常见攻击手段总结

1. 你们项目安全架构是怎样的
   Web常见攻击手段与防御
   XSS、CSRF、上传漏洞、SQL注入、忘记密码漏洞、其他漏洞
2. 如何保证接口幂等性
   使用令牌方式+图形验证码+限流
3. 如何防止模拟请求|如果抓包分析到token
   图形验证码+如果在调用核心业务（支付转账、下单），最好使用短信验证码或者是人脸识别技术

4. 互联网API接口幂等设计

@Aspect
@Component
public class ExtApiAopIdempotent {
	@Autowired
	private RedisTokenUtils redisTokenUtils;

	@Pointcut("execution(public * com.itmayiedu.controller.*.*(..))")
	public void rlAop() {
	}

	@Around("rlAop()")
	public Object doBefore(ProceedingJoinPoint proceedingJoinPoint) throws Throwable {
		MethodSignature signature = (MethodSignature) proceedingJoinPoint.getSignature();
		ExtApiIdempotent extApiIdempotent = signature.getMethod().getDeclaredAnnotation(ExtApiIdempotent.class);
		if (extApiIdempotent == null) {
			// 直接执行程序
			Object proceed = proceedingJoinPoint.proceed();
			return proceed;
		}
		// 代码步骤：
		// 1.获取令牌 存放在请求头中
		HttpServletRequest request = getRequest();
		String token = request.getHeader("token");
		if (StringUtils.isEmpty(token)) {
			response("参数错误!");
			return null;
		}
		// 2.判断令牌是否在缓存中有对应的令牌
		// 3.如何缓存没有该令牌的话，直接报错（请勿重复提交）
		// 4.如何缓存有该令牌的话，直接执行该业务逻辑
		// 5.执行完业务逻辑之后，直接删除该令牌。
		if (!redisTokenUtils.findToken(token)) {
			response("请勿重复提交!");
			return null;
		}
		Object proceed = proceedingJoinPoint.proceed();
		return proceed;
	}

	public HttpServletRequest getRequest() {
		ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
		HttpServletRequest request = attributes.getRequest();
		return request;
	}

	public void response(String msg) throws IOException {
		ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
		HttpServletResponse response = attributes.getResponse();
		response.setHeader("Content-type", "text/html;charset=UTF-8");
		PrintWriter writer = response.getWriter();
		try {
			writer.println(msg);
		} catch (Exception e) {

		} finally {
			writer.close();
		}

	}

}