作者:j7988l28 | 来源:互联网 | 2023-08-31 07:32
出处: 重要的接口需要做哪些检查
在软件开发中有一些接口需要做特殊的检查,以防黑客使用这些接口的漏洞来攻击我们的系统,给公司造成损失。
0x01:用户注册接口
一、每一个完整的软件系统都有一套完善用户体系,注册接口至少存在以下风险点:
存在被机器人进行批量注册、产生大量僵尸用户
恶意注册
如果存在被机器人批量注册的漏洞,就可能造成正常用户无法注册的情况。因为机器人批量注册时,可能的导致系统带宽、服务器资源被大量占用。
二、注册接口需要进行如下检查
0x02:登录接口
只要黑客攻破了登录接口,系统就没有任何安全性可言了。所以登录接口一定要防止系统账号对系统的暴力破解。
0x03:忘记密码接口和修改密码接口
忘记密码接口和修改密码接口,是否做了严格的身份认证。
是否在服务端进行了身份认证,避免绕过前端控制
身份验证的凭证是否在服务器进行了存贮和加密处理,避免将验证的内容直接返回给客户端
在多个环节的身份验证中,要有各验证的排序机制,防止跳过多个环节认证的任何一个环节,而直接跳到最后一个环节的认证
确保短信验证码发送到的是经过验证的手机号、邮箱地址。例如手机号、邮箱地址是从系统数据库中读取的手机号和邮箱
0x04:重要接口是否有短信、邮件、语音、图形等验证码
短信、邮件和语音验证功能控制不当,容易被恶意利用;造成短信炸弹、邮件轰炸和电话轰炸等滥用问题。短信、邮件和语音验证功能如果设计存在缺陷,容易被破解,给公司造成损失。
验证信息是否具有一次性,防止回放。服务端在收到一次性验证请求后是否对验证信息进行了失效处理
是否对验证发送的频次进行了有效控制,建议60s获取一次
验证码是否有有效期;超时后是否实现了实效处理。建议短信验证码有效时间为60s或者120s
短信、邮件和语音验证接口是否实现了人机识别,防止恶意攻击、恶意调用
验证码对应的验证业务场景是否做好了严谨的逻辑控制。所有验证逻辑应该在服务器完成, 防止绕过前端控制
如果能够实现,最好完成短信、邮件、语言接收手机/邮件与账号的对应关系的验证
0x05:支付接口和提现接口
所有的系统,关系到钱的问题都是大问题。所有支付接口一定要实现防篡改功能。
是否实现了对支付金额、购买商品数量的校验,避免出现低价购买或者负金额购买。购买的支付金额最低是零元购买
是否进行了多重身份验证,如短信验证码验证、支付密码验证等
是否对提现账号进行了有效的身份验证,避免出现交叉越权,提现别人的金额
是否对支付或者提现金额做了非常有效的校验,防止出现提现金额被篡改