资源消耗漏洞+支付漏洞+抓包练习

a_xupeng888 HACK之道

本文作者：a_xupeng888，文章来源 | MS08067

资源消耗漏洞的定义

资源消耗漏洞指的是部分功能点或部分接口在实现功能时需要请求资源，若该接口并没有进行对应的限制，则攻击者可以通过频繁的调用该接口而消耗服务器内部的资源，从而导致包括但不限于：服务器宕机、拒绝服务、资源被滥用、配合钓鱼等实现进一步的攻击。

案例一：资源消耗漏洞练习

访问靶场发现有图片验证码

右键在新标签中打开图片验证码，并抓包。更改大小，长，宽。

放到重发器观看，发现明显发包变大了。

修复方案

将节流机制设计到系统体系结构中。最好的保护措施是限制未经授权的用户可能导致消耗的资源量。强大的身份验证和访问控制模型将首先帮助防止此类攻击的发生。应尽可能保护登录应用程序免受DoS攻击。限制数据库访问(可能通过缓存结果集)可以帮助最大程度地减少消耗的资源。为了进一步限制发生DoS攻击的可能性，请考虑跟踪从用户收到的请求的速率，并阻止超出定义的速率阈值的请求。