SQL 注入、XSS、CSRF 之类的是一些老生常谈的内容了。
最近了解到一种叫做慢速攻击的东西，感觉很神奇。
想了解更多的攻击方式，丰富自己的见识，好在写代码的时候绕开这些坑。
或者说有什么安全方面的原则（如，永远不相信用户的输入），可以让自己的代码更加具有防御性呢？
• 请不要在回答技术问题时复制粘贴 AI 生成的内容
This topic created in 2742 days ago, the information mentioned may be changed or developed.
 |
also24May 4, 2019 via Android
1
这个所谓的慢速攻击，本质上还是 CC 吧
|
 |
mayxMay 4, 2019 via Android
2
慢速攻击是传输层的吧？我感觉。。
|
 |
3
边信道攻击。利用其他信道将敏感数据传递出去。
可以看看这个 https://xz.aliyun.com/t/2369 通过 css 渲染时间来获取和传递信息，通过 cpu 风扇转速产生不同频率的噪音传递信息，甚至通过键盘上的灰尘判断密码包含哪些字符，这时候灰尘也间接传递出了敏感信息，本质上都是边信道攻击的不同变种形式。 |
1 |
KgM4gLtF0shViDH3May 4, 2019 via iPhone
4
时序攻击
|
 |
wangkai0351May 4, 2019
6
@changwei 我还见过以色列某公司听键盘声音猜 Windows 登录密码的。
|
 |
7
最近比较感兴趣的：
https://www.freebuf.com/articles/network/124422.html 浅析 ReDoS 的原理与实践 研究了一下，java 里很多工具类内置的正则都存在这问题。 |
 |
junjieyuanxilingMay 4, 2019 via Android
10
|
 |
11
楼主列的内容感觉都是 Web 方面的，可以看《白帽子谈 Web 安全》。有说安全原则，还有一些比较奇特的攻击，像点击劫持什么的。
|
 |
cpdyj0May 4, 2019
12
比如说，你应用逻辑本身就有问题呢，被人钻了空子，这种算不算。
|
 |
bllessMay 4, 2019 via Android
13
我上次看过一篇文章说因为大部分语言的字符串比较是遍历匹配，所以可以通过计算返回密码错误的时间算出密码
|
|
bllessMay 4, 2019 via Android
15
哦对了，还有早期的时候验证码机制刚出来的时候，不对验证码验证次数判断，可以直接暴力请求到匹配的验证码重置密码
|
 |
16
@cpdyj0 嘛，也可以说来听听的，开这个帖子的目的就是为了找可能出现的 bug 嘛
|
|
cpdyj0May 4, 2019
17
@lookas2001 算了，那种应该产品背锅。
|
 |
19
@cpdyj0 换句话说，防正常用户不防攻击者
|
Select Language