接口安全问题

小灰灰 2022-10-10 04:45 56阅读 0赞

# 跨站请求伪造问题 #

目前：我们使用请求头的token(口令)去代表一个用户，每次请求服务器都会携带token去标识用户

接口路径+请求头的token+请求体 ，这三个要素构成了一个基本的请求报文

场景：

1、A用抓包工具，通过分析请求和响应，大致猜到我们的接口格式。

2、A在门店附近代理了一个wifi热点，扩大抓包范围，获取到了许多用户的合法token

3、A从步骤2中，获取到了合法token后，开始伪装成正常用户并用自己的服务器进行下单请求，导致门店无法正常服务

解决办法：

顺丰方案：

[https://open.7debao.com/7?page\_id=100][https_open.7debao.com_7_page_id_100]

微信方案：

[https://pay.weixin.qq.com/wiki/doc/api/wxa/wxa\_api.php?chapter=4\_3][https_pay.weixin.qq.com_wiki_doc_api_wxa_wxa_api.php_chapter_4_3]

1、服务器用用私钥将秘钥加密发给前端一段字符串

2、前端使用公钥将字符串解密成秘钥

3、对接口路径URL，请求头token，请求体（JSON字符串格式） ,随机值 ，再加上秘钥进行MD5计算得到签名

4、服务器接收请求时，也对接口路径URL，请求头token，请求体（JSON字符串格式） ,随机值 ，再加上秘钥进行MD5计算，看看服务端计算的签名是否和前端给的签名匹配，不匹配就拒绝请求

关键在于：前端的秘钥和签名计算方法不能让A知道

# 重放攻击问题 #

场景

1、A发现自己计算不出签名，但他能抓包到别人合法的请求

2、A拿别人合法的请求，原封不动的请求服务器

解决办法：

1、接口增加流水号，一个流水号代表一个请求

2、发现该流水号短时间频繁请求时，将其加入黑名单

[https_open.7debao.com_7_page_id_100]: https://open.7debao.com/7?page_id=100
[https_pay.weixin.qq.com_wiki_doc_api_wxa_wxa_api.php_chapter_4_3]: https://pay.weixin.qq.com/wiki/doc/api/wxa/wxa_api.php?chapter=4_3

发表评论取消回复

表情：

评论列表（有 0 条评论，56人围观）

还没有评论，来说两句吧...

相关阅读

相关 API接口安全

目前项目都是前后端分离或者有对外提供接口的需求，在这些情况下，就要考虑接口安全。如果不重视接口安全，可能导致严重的危害，例如数据盗取，服务宕机等。可能的安全问题: 1

ゝ一世哀愁。/ 2024年03月26日 14:44/ 0 赞/ 157 阅读

相关 PHP应用接口安全问题及解决方案

随着互联网的快速发展，PHP成为了广泛应用于Web开发的一种脚本语言。然而，由于其开放性和易用性，PHP应用接口往往容易受到各种安全威胁的攻击。本文将详细介绍PHP应用接口的安

约定不等于承诺〃/ 2024年02月28日 00:59/ 0 赞/ 74 阅读

相关接口安全防护方案

文章目录 1.认证与授权机制 2.参数校验 3.接口加密 4.防止暴力破解 5.安全头设置

青旅半醒/ 2023年10月14日 16:48/ 0 赞/ 59 阅读

相关接口安全问题及解决方案

1. 数据在网络中传输，中间会经历无数路由器，而每个路由器都可以抓包。 2. 为防止被窃取需要加密，有对称加密和非对称加密。对称加密：两个密钥一样。（安全隐患，

╰半夏微凉°/ 2023年03月12日 07:18/ 0 赞/ 49 阅读

相关接口安全问题

跨站请求伪造问题目前：我们使用请求头的token(口令)去代表一个用户，每次请求服务器都会携带token去标识用户接口路径+请求头的token+请求体

小灰灰/ 2022年10月10日 04:45/ 0 赞/ 57 阅读

相关 APP接口设计安全问题

我的问题是，如果不做安全相关处理的话，一些可能改变数据库的操作可能会遭遇垃圾数据提交什么的，毕竟要找到这些信息只要找个http包就可以了系统无用户登录新手问题（从来没做

野性酷女/ 2022年07月21日 02:47/ 0 赞/ 210 阅读

相关接口安全处理

<?php /\\ \ SignCheck : session key 对称式加密校验. \ 注：公私钥模式可以避免私钥被窃取. \/ // Client

分手后的思念是犯贱/ 2022年06月12日 09:54/ 0 赞/ 213 阅读

相关 Http接口安全整理

1.Http接口安全概述： 1.1、Http接口是互联网各系统之间对接的重要方式之一，使用http接口，开发和调用都很方便，也是被大量采用的方式，它可以让不同系

Dear 丶/ 2022年05月31日 05:14/ 0 赞/ 313 阅读

相关接口安全之签名

1. 接口请求采用https的post方式，返回信息全部采用json格式报文。 2. 请求和返回报文双方约定采用UTF-8编码，并对请求参数做URLEncoder。

淡淡的烟草味﹌/ 2022年03月15日 09:40/ 0 赞/ 344 阅读

相关接口安全解决方案

简介服务端对外开放API接口，尤其对移动应用开放接口的时候，更需要关注接口安全性的问题，要确保应用 APP 与 API 之间的安全通信，防止数据被恶意篡改等攻击。下面就

曾经终败给现在/ 2022年03月02日 19:36/ 0 赞/ 313 阅读