信息泄露
- 泄露系统敏感信息
- 泄露用户敏感信息
- 泄露用户密码
信息泄露的途径
- 错误信息失控
- SQL注入
- 水平权限控制不当
- XSS/CSRF
- ...
社会工程学
- 你的身份由你掌握的资料确定
- 别人掌握了你的资料
- 别人伪装成了你的身份
- 利用你的身份干坏事
- ...
社会工程学案例
- 电信诈骗
- 伪装公检法
- QQ视频借钱
- 微信伪装成好友
OAuth思想
- 一切行为由用户授权
- 授权行为不泄露敏感信息
- 授权会过期
- 用户授权读取资料
- 无授权的资料不可读取
- 不允许批量获取数据
- 数据接口可风控审计
其他安全问题
- 拒绝DOS
- 重放攻击
拒绝服务供给DOS
- 模拟正常用户
- 大量占用服务武器资源
- 无法服务正常正常用户
- TCP半连接
- HTTP链接
- DNS
大规模分布式拒绝服务供给DDOS
- 流量十到上百G
- 分布式（肉鸡，代理）
- 极难防御
DOS攻击案例
- 游戏私服互相DDOS
- 换目标，攻击Dns服务器
- DNS服务器机器下线
- 数十万网站DNS解析瘫痪
- 暴风影音后台疯狂请求解析
- 各地local DNS瘫痪，无法上网
DOS攻击防御
- 防火墙
- 交换机，路由器
- 流量清洗
- 高防IP（云）
DOS攻击预防
- 避免重录及业务
- 快速失败访问返回
- 防雪崩机制
- 有损服务
- CDN
重放攻击
- 请求被窃听或记录
- 在次发起相同的请求
- 产生意外的结果
- 用户被多次消费
- 用户登录态被盗取
- 多次抽奖
重放攻击防御
- 加密
- 时间戳
- token（session）
- nonce
- 签名