CN113382011A - 一种api接口防止重放攻击的方法 - Google Patents

一种api接口防止重放攻击的方法 Download PDF

Info

Publication number
CN113382011A
CN113382011A CN202110676518.7A CN202110676518A CN113382011A CN 113382011 A CN113382011 A CN 113382011A CN 202110676518 A CN202110676518 A CN 202110676518A CN 113382011 A CN113382011 A CN 113382011A
Authority
CN
China
Prior art keywords
request
state
code
interface
time sequence
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110676518.7A
Other languages
English (en)
Other versions
CN113382011B (zh
Inventor
张秀良
程炳华
张芯苑
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jinling Institute of Technology
Original Assignee
Jinling Institute of Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jinling Institute of Technology filed Critical Jinling Institute of Technology
Priority to CN202110676518.7A priority Critical patent/CN113382011B/zh
Publication of CN113382011A publication Critical patent/CN113382011A/zh
Application granted granted Critical
Publication of CN113382011B publication Critical patent/CN113382011B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04J—MULTIPLEX COMMUNICATION
    • H04J3/00—Time-division multiplex systems
    • H04J3/02—Details
    • H04J3/06—Synchronising arrangements
    • H04J3/0635—Clock or time synchronisation in a network
    • H04J3/0638—Clock or time synchronisation among nodes; Internode synchronisation
    • H04J3/0658—Clock or time synchronisation among packet nodes
    • H04J3/0661—Clock or time synchronisation among packet nodes using timestamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种API接口防止重放攻击的方法，其特征在于：在API接口发送端，基于用户ID标记的API接口发送是有序的，采用基于时间戳，引入唯一时序码来标记请求，再通过状态码的二进制位状态压缩记录接口重复状态来实现，只需要缓存两组数据，即状态码和最新时序码，将正常请求和疑似异常请求差别化处理，对正常请求接口免校验完成优化加速，并通过状态码的二进制状态位左移位运算维护状态。本发明可以从疑似异常请求筛选出因网络延迟、路由等原因滞后的请求和重放攻击的请求，从而对重放攻击请求拒绝处理，对滞后的正常请求做有效处理，从而减轻服务不必要的开销，能准确识别重放攻击，不需要实时地维护清理状态码。

Description

一种API接口防止重放攻击的方法
技术领域
本发明属于计算机技术领域，具体涉及一种API接口防止重放攻击的方法。
背景技术
在如今互联网高速发展，信息系统安全成为重中之重，而在一次HTTP请求中，从请求方到服务器接收方中间经过很多路由器和交换机，恶意网络攻击者可以通过抓包的方式中途截获请求包数据，从而发送一个目的主机已经接收过的包，来达到欺骗系统的目的，可能会造成信息的窃取甚至系统的瘫痪等严重后果。
目前防重放攻击的方式主要有：1、基于时间戳timestamp的加密签名方案，服务端使用约定的密钥对请求的参数再次签名，和接收的签名对比，防止参数被篡改，只针对时间戳有效时间内的请求视为有效合法，例如60s内请求有效，超过则视为超时。这种存在时间戳内的重放攻击无法识别和阻拦，存在缺陷。2、基于唯一有效的随机字符串码nonce码，也称唯一识别码，是通过时间戳+mac地址等唯一参数生成后做哈希得来，处理的HTTP请求时，首先创建nonce码的缓存集合，请求的nonce码在集合中已经存在，则认为是重放攻击的非法请求，如果不存在则添加进缓存集合中，通过这种方式可以拒绝多次发送的请求。nonce码作为签名sign参数的一部分，{userId,token,nonce}，因为攻击者不清楚token和密钥，因此无法生成sign，但是这种方案由于对nonce码存储越来越大，最终验证nonce是否存在“集合”缓存中所需要的耗时将越来越长，因此该方案造成内存上很大的开销，如果定时清理，又无法保障重放攻击，因此存在很大的弊端。
目前相对成熟的防重放攻击的方案是以上两个方案的结合，以下称结合方案，即时间戳超时配置加上识别码缓存判重的方案，来达到拒绝重放恶意攻击，首先通过加密sign数据的合法性判断接口参数的有效性，再判断请求时间戳与服务器时间比对是否超时，关键的一步就是利用唯一性的nonce等识别码进行缓存集合中，并在超时后清理，新的请求解析出来的nonce码判断是否在集合中重复存在，如果重复则视为非法请求，对非法请求进行拦截，从而解决内存开销的问题，保障数据安全防篡改，同时又能在有效时间戳内达到防重放攻击的效果。
现有的相对成熟的防重放攻击方法存在以下几点缺点：
(1)由于在接口请求中，重放攻击属于小概率事件，其大范围的处理接口请求都是正常的接口，上述结合方案缺点在于对每次的正常接口请求都需要无差别检验，即从集合中查询唯一识别码是否重复，然后缓存识别码，同时清理集合中过期的识别码，导致大量的判重-缓存-清理这样流程工作都耗费在正常接口处理中，这样无形中给服务器增加了负担；
(2)唯一识别码的nonce码存储需要实时维护，清理时间戳超时失效的nonce码，添加新的nonce码，而算法的复杂度因nonce码可变缓存长度变化的，需要一定的维护成本。
发明内容
本发明所要解决的技术问题是针对上述现有技术的不足提供一种API接口防止重放攻击的方法，其基于时间戳，引入唯一时序码来标记请求，再通过二进制位状态压缩记录接口重复状态来实现，只需要缓存两组数据，即状态码和最新时序码，将正常请求和疑似问题请求差别化处理，对正常请求接口完成优化加速，并通过二进制压缩状态位左移自动维护状态，无需手动维护，既能完成防重放攻击的效果，也减少内存的开销，同时减轻维护的成本。
为实现上述技术目的，本发明采取的技术方案为：
一种API接口防止重放攻击的方法，其特征在于包含以下步骤：
第一步：接口请求时根据请求端的时间戳与服务器时间校准，计算差值供请求端做校准，保证请求端时间与服务器时间基本同步；
第二步：根据请求端的http请求框架设置接口超时时间，常见以30秒为例，接口请求时间为t1，服务器当前时间为t2，如果t1>t2，则为非法参数的请求，若t2-t1>＝30秒，则接口超时，非法接口和超时接口的请求给予拒绝处理，当t2-t1<30秒，视为合法；
第三步：API接口请求端生成唯一时序码，时序码＝时间戳+UUID+自增数+复位标志，其中自增数在单用户请求端每请求一次，接口的自增数都+1，以此保证相邻接口的自增数间隔为1，当自增数达到位数最大值，下一个请求自增数归0化处理，如果自增数差值运算中出现负值或者接近最大值的数，根据时间戳的单调性，用最大值做补偿运算从而计算出准确的自增数差值，因此在比较两个请求接口的时序码时，时间戳大的，自增数(经补偿运算后)也大，成正比关系，而最新请求的接口，自增数和时间戳都是最大的，当服务器接收到的时序码的时间戳比缓存中的大，那么接收到的请求则为新的正常请求，这是由于加密验签，攻击者只能截获报文重放，无法创造新的请求，因此新的请求为正常请求，旧的请求则为疑似异常请求；
第四步：API接口请求端将时序码与用户id以及token组合验签码{时序码,token,用户id}，将验签码进行加盐加密，通过对称加密生成密文放在请求参数中，和时间戳、ip、mac地址等其他信息组成请求报文发送至服务端，服务端接收参数解密后，查看时序码中的时间戳与参数中的时间戳是否一致，token是否有效，以及当复位标志为1时检查时序码是否有效，如果校验失败，则定位本次请求为篡改的重放攻击，拒绝处理服务，如果校验成功则视为正常请求；
第五步：服务端初次接收请求创建状态码，用数组status表示，通过二进制左移插入新状态位，左移过程中，最低位用0补齐，status[i+1]的低位用status[i]的高位补齐，以此达到status的所有状态码的整体左移，通过位运算获取其中某个状态位的值来判断对应接口的处理状态；
第六步：解析API请求接口的时序码，提取时间戳和自增数以及复位标志，复位标志为1则初始化状态码，并清除时序码的缓存，计算自增数差值N＝新请求自增数-服务器缓存时序码中的自增数，并根据时间戳单调性做N的补偿运算，若N>0，则请求时序码中时间戳段大于服务器缓存的时间戳段，该请求为最新请求属于正常请求，此时将status的二进制状态码整体左移N位，低位用0补齐，高位移出的视为状态位自动清理，更新第1位状态值为1，并将更新后的状态码status全部缓存下来，同时用最新接口的时序码替换旧的缓存下来；若N＝0，新请求的时序码与服务器缓存的时序码一致，为重放攻击，拒绝处理；若1-Max<＝N<0，则新请求的时序码中时间戳段小于服务器缓存的时间戳段，查看第1-N位状态，若值是0，则说明该请求由于网络异常或中间路由异常，请求滞后收到，为正常请求，更新第1-N位状态值为1，并将更新后的状态码status全部缓存下来，时序码不做更新缓存操作，反之，如果第1-N位状态值是1，则说明该时序码对应的首次请求已收到并处理，该请求为重放攻击，拒绝处理；
第七步：若N<1-Max，说明在时间戳有效期内的请求已击穿二进制状态码位数的阈值，这种极端场景下，通过下发接口响应特殊错误码，请求端回调中针对此响应错误码自动拦截并触发请求的重发机制，此时新的请求时序码和时间戳为最新，将顺利通过第六步，完成接口请求处理，同时服务系统触发扩容机制，将状态码位数容量增加一倍，以此达到系统服务的自平衡，二进制状态码左移中高位移出的状态位不做处理，实现过期状态位的自动清理，无需服务去处理。
上述的步骤三中复位标志，0为不复位，1为复位，其目的是为了当API接口请求端的缓存被人为清理或丢失，自增数从零计数，服务端状态码可通过复位标志重新初始化，并清除时序码缓存，以免造成正常请求无法访问。
上述的步骤四中复位标志为1时的时序码校验是否有效，是利用最近复位时序码的判重以及剔除先于复位前旧时间戳的时序码，可规避带复位状态接口请求制造的重放攻击。
上述的步骤五中的数组status类型为long型数组，数组默认大小为4，初始值为十六进制全0数据，即[0x0000 0000,0x0000 0000,0x0000 0000,0x0000 0000]，设置数组下标i，i取值[0,3]，第i个的二进制状态位记录的区间为[i*32+1,(i+1)*32],默认的status数组数据对应的二进制数据状态压缩可记录128个状态位，单个状态位的值0代表请求未处理，1代表请求已处理，从第1位状态到第128位状态依次顺序记录近128个接口处理状态。
上述的步骤五中可根据业务量调整默认状态位的容量，如果时间戳有效期内状态位的128位容量被击穿，采用自动扩容，由128位扩容至256位，即status数组大小从4扩容至8，以此内推，实现业务系统的自平衡。
上述的步骤六中若N>0时更新第1位状态值为1程序实现用左移N位后的status[0]与0x0000 0001做或运算，并将结果赋值给status[0]。
上述的步骤六中若1-Max<＝N<0时查看第1-N位状态值程序实现用status[-N/32]和1<<(-N)％32做与运算，其结果右移(-N)％32位。
上述的步骤六中若1-Max<＝N<0时更新第1-N位状态值为1程序实现用status[-N/32]和1<<(-N)％32做或运算，并将结果重新赋值给status[-N/32]。
本发明能够快速区分两类请求，即正常请求和疑似异常请求，对正常请求不做算法检验，只记录最新时序码；而对疑似的异常请求，筛选出因网络延迟、路由等原因滞后的请求和重放攻击的请求，从而对重放攻击请求拒绝处理，对滞后的正常请求做有效处理，从而减轻服务不必要的开销；易维护且能准确识别重放攻击，不需要主动实时地维护清理状态码，且能够根据业务量实现自平衡，达到最优效果；基于时间戳，引入唯一时序码来标记请求，再通过二进制位状态压缩记录接口重复状态来实现；通过以上步骤只需要缓存两组数据，即状态码和最新时序码，将正常请求和疑似问题请求差别化处理，对正常请求接口完成优化加速，并通过二进制压缩状态位左移自动维护状态，无需手动维护，既能完成防重放攻击的效果，也减少内存的开销，同时减轻维护的成本；通过发明的时序码对接口请求拆分为正常请求和疑似异常请求，只对疑似异常请求做状态检测；通过发明的状态码，实现对接口请求状态进行标记和校验，可以识别出重放攻击的请求，同时不需要对状态位实时维护清理，且能根据业务量实现自动扩容，实现系统的自平衡。
本发明的优点在于以下几点：
(1)将接口请求做差别化处理，通过时序码将请求拆分为正常请求和疑似异常请求，对正常请求不做算法检验，只记录最新的时序码，而对疑似异常请求，通过本发明方法筛选出是网络延迟请求和重放攻击请求，从而对重放攻击请求拒绝处理，对网络延迟的请求做正常有效处理，从而减轻服务不必要的开销；
(2)采用二进制状态码，通过移位自动实现旧状态移除，无需对旧状态耗费维护成本，同时根据业务量自动实现扩容，达到业务量的自平衡效果，且能准确识别重放攻击的检验，达到最优方案。
附图说明
图1为本发明的工作流程图。
具体实施方式
下面结合附图对本发明的具体实施方式作出进一步说明：
一种API接口防止重放攻击的方法，其特征在于：其特征在于包含以下步骤：
第一步：接口请求时根据请求端的时间戳与服务器时间校准，计算差值供请求端做校准，保证请求端时间与服务器时间基本同步；
第二步：根据请求端的http请求框架设置接口超时时间，常见以30秒为例，接口请求时间为t1，服务器当前时间为t2，如果t1>t2，则为非法参数的请求，若t2-t1>＝30秒，则接口超时，非法接口和超时接口的请求给予拒绝处理，当t2-t1<30秒，视为合法；
第三步：API接口请求端生成唯一时序码，时序码＝时间戳+UUID+自增数+复位标志，其中自增数在单用户请求端每请求一次，接口的自增数都+1，以此保证相邻接口的自增数间隔为1，当自增数达到位数最大值，下一个请求自增数归0化处理，如果自增数差值运算中出现负值或者接近最大值的数，根据时间戳的单调性，用最大值做补偿运算从而计算出准确的自增数差值，因此在比较两个请求接口的时序码时，时间戳大的，自增数(经补偿运算后)也大，成正比关系，而最新请求的接口，自增数和时间戳都是最大的，当服务器接收到的时序码的时间戳比缓存中的大，那么接收到的请求则为新的正常请求，这是由于加密验签，攻击者只能截获报文重放，无法创造新的请求，因此新的请求为正常请求，旧的请求则为疑似异常请求；
第四步：API接口请求端将时序码与用户id以及token组合验签码{时序码,token,用户id}，将验签码进行加盐加密，通过对称加密生成密文放在请求参数中，和时间戳、ip、mac地址等其他信息组成请求报文发送至服务端，服务端接收参数解密后，查看时序码中的时间戳与参数中的时间戳是否一致，以及token是否有效，以及当复位标志为1时检查时序码是否有效，如果校验失败，则定位本次请求为篡改的重放攻击，拒绝处理服务，如果校验成功则视为正常请求；
第五步：服务端初次接收请求创建状态码，用数组status表示，通过二进制左移插入新状态位，左移过程中，最低位用0补齐，status[i+1]的低位用status[i]的高位补齐，以此达到status的所有状态码的整体左移，通过位运算获取其中某个状态位的值来判断对应接口的处理状态；
第六步：解析API请求接口的时序码，提取时间戳和自增数以及复位标志，复位标志为1则初始化状态码，并清除时序码的缓存，计算自增数差值N＝新请求自增数-服务器缓存时序码中的自增数，并根据时间戳单调性做N的补偿运算，若N>0，则请求时序码中时间戳段大于服务器缓存的时间戳段，该请求为最新请求属于正常请求，此时将status的二进制状态码整体左移N位，低位用0补齐，高位移出的视为状态位自动清理，更新第1位状态值为1，并将更新后的状态码status全部缓存下来，同时用最新接口的时序码替换旧的缓存下来；若N＝0，新请求的时序码与服务器缓存的时序码一致，为重放攻击，拒绝处理；若1-Max<＝N<0，则新请求的时序码中时间戳段小于服务器缓存的时间戳段，查看第1-N位状态，若值是0，则说明该请求由于网络异常或中间路由异常，请求滞后收到，为正常请求，更新第1-N位状态值为1，并将更新后的状态码status全部缓存下来，时序码不做更新缓存操作，反之，如果第1-N位状态值是1，则说明该时序码对应的首次请求已收到并处理，该请求为重放攻击，拒绝处理；
第七步：若N<1-Max，说明在时间戳有效期内的请求已击穿二进制状态码位数的阈值，这种极端场景下，通过下发接口响应特殊错误码，请求端回调中针对此响应错误码自动拦截并触发请求的重发机制，此时新的请求时序码和时间戳为最新，将顺利通过第六步，完成接口请求处理，同时服务系统触发扩容机制，将状态码位数容量增加一倍，以此达到系统服务的自平衡，二进制状态码左移中高位移出的状态位不做处理，实现过期状态位的自动清理，无需服务去处理。
优选的，步骤三中复位标志，0为不复位，1为复位，其目的是为了当API接口请求端的缓存被人为清理或丢失，自增数从零计数，服务端状态码可通过复位标志重新初始化，并清除时序码缓存，以免造成正常请求无法访问。
优选的，步骤四中复位标志为1时的时序码校验是否有效，是利用最近复位时序码的判重以及剔除先于复位前旧时间戳的时序码，可规避带复位状态接口请求制造的重放攻击。
优选的，步骤五中的数组status类型为long型数组，数组默认大小为4，初始值为十六进制全0数据，即[0x0000 0000,0x0000 0000,0x0000 0000,0x0000 0000]，设置数组下标i，i取值[0,3]，第i个的二进制状态位记录的区间为[i*32+1,(i+1)*32],默认的status数组数据对应的二进制数据状态压缩可记录128个状态位，单个状态位的值0代表请求未处理，1代表请求已处理，从第1位状态到第128位状态依次顺序记录近128个接口处理状态。
优选的，步骤五中可根据业务量调整默认状态位的容量，如果时间戳有效期内状态位的128位容量被击穿，采用自动扩容，由128位扩容至256位，即status数组大小从4扩容至8，以此内推，实现业务系统的自平衡。
优选的，步骤六中若N>0时更新第1位状态值为1程序实现用左移N位后的status[0]与0x0000 0001做或运算，并将结果赋值给status[0]。
优选的，步骤六中若1-Max<＝N<0时，查看第1-N位状态值程序实现用status[-N/32]和1<<(-N)％32做与运算，其结果右移(-N)％32位。
优选的，步骤六中若1-Max<＝N<0时，更新第1-N位状态值为1程序实现用status[-N/32]和1<<(-N)％32做或运算，并将结果重新赋值给status[-N/32]。
本发明能够快速区分两类请求，即正常请求和疑似异常请求，对正常请求不做算法检验，只记录最新的时序码这个身份唯一码；而对疑似的异常请求，筛选出因网络延迟、路由等原因滞后的请求和重放攻击的请求，从而对重放攻击请求拒绝处理，对滞后的正常请求做有效处理，从而减轻服务不必要的开销；易维护且能准确识别重放攻击，不需要主动实时地维护清理状态码，且能够根据业务量实现自平衡，达到最优效果；基于时间戳，引入唯一时序码来标记请求，再通过二进制位状态压缩记录接口重复状态来实现；通过以上步骤只需要缓存两组数据，即状态码和最新时序码，将正常请求和疑似问题请求差别化处理，对正常请求接口完成优化加速，并通过二进制压缩状态位左移自动维护状态，无需手动维护，既能完成防重放攻击的效果，也减少内存的开销，同时减轻维护的成本；通过发明的时序码对接口请求拆分为正常请求和疑似异常请求，只对疑似异常请求做状态检测；通过发明的状态码，实现对API接口处理状态进行标记和校验，可以识别出重放攻击的请求，同时不需要对状态位实时维护清理，且能根据业务量实现自动扩容，实现系统的自平衡。
以上仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，应视为本发明的保护范围。

Claims (8)

1.一种API接口防止重放攻击的方法，其特征在于包含以下步骤：
第一步：接口请求时根据请求端的时间戳与服务器时间校准，计算差值供请求端做校准，保证请求端时间与服务器时间基本同步；
第二步：根据请求端的http请求框架设置接口超时时间，常见以30秒为例，接口请求时间为t1，服务器当前时间为t2，如果t1>t2，则为非法参数的请求，若t2-t1>＝30秒，则接口超时，非法接口和超时接口的请求给予拒绝处理，当t2-t1<30秒，视为合法；
第三步：API接口请求端生成唯一时序码，时序码＝时间戳+UUID+自增数+复位标志，其中自增数在单用户请求端每请求一次，接口的自增数都+1，以此保证相邻接口的自增数间隔为1，当自增数达到位数最大值，下一个请求自增数归0化处理，如果自增数差值运算中出现负值或者接近最大值的数，根据时间戳的单调性，用最大值做补偿运算从而计算出准确的自增数差值，因此在比较两个请求接口的时序码时，时间戳大的，自增数(经补偿运算后)也大，成正比关系，而最新请求的接口，自增数和时间戳都是最大的，当服务器接收到的时序码的时间戳比缓存中的大，那么接收到的请求则为新的正常请求，这是由于加密验签，攻击者只能截获报文重放，无法创造新的请求，因此新的请求为正常请求，旧的请求则为疑似异常请求；
第四步：API接口请求端将时序码与用户id以及token组合验签码{时序码,token,用户id}，将验签码进行加盐加密，通过对称加密生成密文放在请求参数中，和时间戳、ip、mac地址等其他信息组成请求报文发送至服务端，服务端接收参数解密后，查看时序码中的时间戳与参数中的时间戳是否一致，token是否有效，以及当复位标志为1时检查时序码是否有效，如果校验失败，则定位本次请求为篡改的重放攻击，拒绝处理服务，如果校验成功则视为正常请求；
第五步：服务端初次接收请求创建状态码，用数组status表示，通过二进制左移插入新状态位，左移过程中，最低位用0补齐，status[i+1]的低位用status[i]的高位补齐，以此达到status的所有状态码的整体左移，通过位运算获取其中某个状态位的值来判断对应接口的处理状态；
第六步：解析API请求接口的时序码，提取时间戳和自增数以及复位标志，复位标志为1则初始化状态码，并清除时序码的缓存，计算自增数差值N＝新请求自增数-服务器缓存时序码中的自增数，并根据时间戳单调性做N的补偿运算，若N>0，则请求时序码中时间戳段大于服务器缓存的时间戳段，该请求为最新请求属于正常请求，此时将status的二进制状态码整体左移N位，低位用0补齐，高位移出的视为状态位自动清理，更新第1位状态值为1，并将更新后的状态码status全部缓存下来，同时用最新接口的时序码替换旧的缓存下来；若N＝0，新请求的时序码与服务器缓存的时序码一致，为重放攻击，拒绝处理；若1-Max<＝N<0，则新请求的时序码中时间戳段小于服务器缓存的时间戳段，查看第1-N位状态，若值是0，则说明该请求由于网络异常或中间路由异常，请求滞后收到，为正常请求，更新第1-N位状态值为1，并将更新后的状态码status全部缓存下来，时序码不做更新缓存操作，反之，如果第1-N位状态值是1，则说明该时序码对应的首次请求已收到并处理，该请求为重放攻击，拒绝处理；
第七步：若N<1-Max，说明在时间戳有效期内的请求已击穿二进制状态码位数的阈值，这种极端场景下，通过下发接口响应特殊错误码，请求端回调中针对此响应错误码自动拦截并触发请求的重发机制，此时新的请求时序码和时间戳为最新，将顺利通过第六步，完成接口请求处理，同时服务系统触发扩容机制，将状态码位数容量增加一倍，以此达到系统服务的自平衡，二进制状态码左移中高位移出的状态位不做处理，实现过期状态位的自动清理，无需服务去处理。
2.根据权利要求1所述的一种API接口防止重放攻击的方法，其特征在于：所述的步骤三中复位标志，0为不复位，1为复位，其目的是为了当API接口请求端的缓存被人为清理或丢失，自增数从零计数，服务端状态码可通过复位标志重新初始化，并清除时序码缓存，以免造成正常请求无法访问。
3.根据权利要求1所述的一种API接口防止重放攻击的方法，其特征在于：所述的步骤四中复位标志为1时的时序码校验是否有效，是利用最近复位时序码的判重以及剔除先于复位前旧时间戳的时序码，可规避带复位状态接口请求制造的重放攻击。
4.根据权利要求1所述的一种API接口防止重放攻击的方法，其特征在于：所述的步骤五中的数组status类型为long型数组，数组默认大小为4，初始值为十六进制全0数据，即[0x0000 0000,0x0000 0000,0x0000 0000,0x0000 0000]，设置数组下标i，i取值[0,3]，第i个的二进制状态位记录的区间为[i*32+1,(i+1)*32],默认的status数组数据对应的二进制数据状态压缩可记录128个状态位，单个状态位的值0代表请求未处理，1代表请求已处理，从第1位状态到第128位状态依次顺序记录近128个接口处理状态。
5.根据权利要求1所述的一种API接口防止重放攻击的方法，其特征在于：所述的步骤五中可根据业务量调整默认状态位的容量，如果时间戳有效期内状态位的128位容量被击穿，采用自动扩容，由128位扩容至256位，即status数组大小从4扩容至8，以此内推，实现业务系统的自平衡。
6.根据权利要求1所述的一种API接口防止重放攻击的方法，其特征在于：所述的步骤六中若N>0时，更新第1位状态值为1程序实现用左移N位后的status[0]与0x0000 0001做或运算，并将结果赋值给status[0]。
7.根据权利要求1所述的一种API接口防止重放攻击的方法，其特征在于：所述的步骤六中若1-Max<＝N<0时，查看第1-N位状态值程序实现用status[-N/32]和1<<(-N)％32做与运算，其结果右移(-N)％32位。
8.根据权利要求1所述的一种API接口防止重放攻击的方法，其特征在于：所述的步骤六中若1-Max<＝N<0时，更新第1-N位状态值为1程序实现用status[-N/32]和1<<(-N)％32做或运算，并将结果重新赋值给status[-N/32]。
CN202110676518.7A 2021-06-18 2021-06-18 一种api接口防止重放攻击的方法 Active CN113382011B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110676518.7A CN113382011B (zh) 2021-06-18 2021-06-18 一种api接口防止重放攻击的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110676518.7A CN113382011B (zh) 2021-06-18 2021-06-18 一种api接口防止重放攻击的方法

Publications (2)

Publication Number Publication Date
CN113382011A true CN113382011A (zh) 2021-09-10
CN113382011B CN113382011B (zh) 2023-03-24

Family

ID=77577640

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110676518.7A Active CN113382011B (zh) 2021-06-18 2021-06-18 一种api接口防止重放攻击的方法

Country Status (1)

Country Link
CN (1) CN113382011B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114124374A (zh) * 2021-11-10 2022-03-01 郭胜群 一种通讯防重放方法及系统
CN115065503A (zh) * 2022-05-11 2022-09-16 浪潮云信息技术股份公司 一种api网关防重放攻击的方法
CN116432190A (zh) * 2023-06-15 2023-07-14 杭州美创科技股份有限公司 接口未授权访问检测方法、装置、计算机设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9503442B1 (en) * 2014-06-20 2016-11-22 EMC IP Holding Company LLC Credential-based application programming interface keys
CN108737110A (zh) * 2018-05-23 2018-11-02 中汇会计师事务所（特殊普通合伙） 一种用于防重放攻击的数据加密传输方法及装置
CN110611564A (zh) * 2019-07-30 2019-12-24 云南昆钢电子信息科技有限公司 一种基于时间戳的api重放攻击的防御系统及方法
CN111262701A (zh) * 2020-01-10 2020-06-09 普联国际有限公司 一种重放攻击检测方法、系统、设备及存储介质
CN112711759A (zh) * 2020-12-28 2021-04-27 山东鲁能软件技术有限公司 一种防重放攻击漏洞安全防护的方法及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9503442B1 (en) * 2014-06-20 2016-11-22 EMC IP Holding Company LLC Credential-based application programming interface keys
CN108737110A (zh) * 2018-05-23 2018-11-02 中汇会计师事务所（特殊普通合伙） 一种用于防重放攻击的数据加密传输方法及装置
CN110611564A (zh) * 2019-07-30 2019-12-24 云南昆钢电子信息科技有限公司 一种基于时间戳的api重放攻击的防御系统及方法
CN111262701A (zh) * 2020-01-10 2020-06-09 普联国际有限公司 一种重放攻击检测方法、系统、设备及存储介质
CN112711759A (zh) * 2020-12-28 2021-04-27 山东鲁能软件技术有限公司 一种防重放攻击漏洞安全防护的方法及系统

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114124374A (zh) * 2021-11-10 2022-03-01 郭胜群 一种通讯防重放方法及系统
CN115065503A (zh) * 2022-05-11 2022-09-16 浪潮云信息技术股份公司 一种api网关防重放攻击的方法
CN115065503B (zh) * 2022-05-11 2024-05-31 浪潮云信息技术股份公司 一种api网关防重放攻击的方法
CN116432190A (zh) * 2023-06-15 2023-07-14 杭州美创科技股份有限公司 接口未授权访问检测方法、装置、计算机设备及存储介质
CN116432190B (zh) * 2023-06-15 2023-09-08 杭州美创科技股份有限公司 接口未授权访问检测方法、装置、计算机设备及存储介质

Also Published As

Publication number Publication date
CN113382011B (zh) 2023-03-24

Similar Documents

Publication Publication Date Title
CN113382011B (zh) 一种api接口防止重放攻击的方法
US7478429B2 (en) Network overload detection and mitigation system and method
US9060019B2 (en) Out-of band IP traceback using IP packets
US8201252B2 (en) Methods and devices for providing distributed, adaptive IP filtering against distributed denial of service attacks
US7936682B2 (en) Detecting malicious attacks using network behavior and header analysis
US7940761B2 (en) Communication connection method, authentication method, server computer, client computer and program
US20020184362A1 (en) System and method for extending server security through monitored load management
US7733844B2 (en) Packet filtering apparatus, packet filtering method, and computer program product
Karig et al. Remote denial of service attacks and countermeasures
CN105429940B (zh) 一种利用信息熵和哈希函数进行网络数据流零水印提取的方法
US7873997B2 (en) Deterministic packet marking
CN112073376A (zh) 一种基于数据面的攻击检测方法及设备
Wang et al. Design and implementation of an SDN-enabled DNS security framework
Vijayalakshmi et al. IP traceback system for network and application layer attacks
CN113810398B (zh) 一种攻击防护方法、装置、设备及存储介质
Hamadeh et al. Performance of ip address fragmentation strategies for ddos traceback
CN110995738B (zh) 暴力破解行为识别方法、装置、电子设备及可读存储介质
Bellaïche et al. SYN flooding attack detection by TCP handshake anomalies
Xie et al. An authentication based source address spoofing prevention method deployed in IPv6 edge network
CN111427955A (zh) 使用区块链网络消减广播风暴的系统及方法
CN111327611A (zh) 一种命名数据网络中的针对多种攻击的安全防护方法
EP4252389B1 (en) Method and apparatus for preventing malicious network traffic
Suresh et al. Enhanced deterministic packet marking mechanism for improving performance in scalability when identify attack source
KR20190041324A (ko) Ddos 공격 차단 장치 및 방법
Vijairaghavan et al. Marking Technique to isolate boundary router and attacker

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant