社会工程学和信息泄露和其他一些安全问题

信息泄露

• 泄露系统敏感信息
• 泄露用户敏感信息
• 泄露用户密码

信息泄露的途径

• 错误信息失控
• SQL注入
• 水平权限控制不当
• XSS/CSRF
• ...

社会工程学

• 你的身份由你掌握的资料确定
• 别人掌握了你的资料
• 别人伪装成了你的身份
• 利用你的身份干坏事
• ...

社会工程学案例

• 电信诈骗
• 伪装公检法
• QQ视频借钱
• 微信伪装成好友

OAuth思想

• 一切行为由用户授权
• 授权行为不泄露敏感信息
• 授权会过期

• 用户授权读取资料
• 无授权的资料不可读取
• 不允许批量获取数据
• 数据接口可风控审计

其他安全问题

• 拒绝DOS
• 重放攻击

拒绝服务供给DOS

• 模拟正常用户
• 大量占用服务武器资源
• 无法服务正常正常用户
• TCP半连接
• HTTP链接
• DNS

大规模分布式拒绝服务供给DDOS

• 流量十到上百G
• 分布式（肉鸡，代理）
• 极难防御

DOS攻击案例

• 游戏私服互相DDOS
• 换目标，攻击Dns服务器
• DNS服务器机器下线
• 数十万网站DNS解析瘫痪
• 暴风影音后台疯狂请求解析
• 各地local DNS瘫痪，无法上网

DOS攻击防御

• 防火墙
• 交换机，路由器
• 流量清洗
• 高防IP（云）

DOS攻击预防

• 避免重录及业务
• 快速失败访问返回
• 防雪崩机制
• 有损服务
• CDN

重放攻击

• 请求被窃听或记录
• 在次发起相同的请求
• 产生意外的结果
• 用户被多次消费
• 用户登录态被盗取
• 多次抽奖

重放攻击防御

• 加密
• 时间戳
• token（session）
• nonce
• 签名