Ders 2.21: Kimlik bilgisi doldurma ve hız sınırları
Kimlik bilgisi doldurmanın hiçbir zafiyete ihtiyacı yoktur: saldırganlar başka sitelerden sızmış kullanıcı adlarını ve parolaları alıp insanların parolalarını yeniden kullandığına bahse girerek seninkinde dener. Sınırları olmayan bir oturum açma API'si dakikada binlerce tahmine memnuniyetle yanıt verir. Laboratuvarda Northwind'in API'sindeki oturum açma trafiğini okuyorsun: gürültücü bir adres ve yüzlerce kişilik daha sessiz bir kalabalık, kullandıkları araçlar ve saldırının başarılı olduğu hesaplar. Sonra oturum açma uç noktasına bir nginx hız sınırı ekliyor, onu test ediyor ve neden birkaç katmandan yalnızca biri olabileceğini görüyorsun.
17 dk
Bu derste öğreneceklerin
- Kimlik bilgisi doldurmayı açıklamak
- Erişim günlüklerinde saldırı örüntülerini bulmak
- Ele geçirilmiş hesapları belirlemek
- Bir oturum açma uç noktası için nginx limit_req yapılandırmak
- IP başına hız sınırlamanın sınırlarını açıklamak
Temel terimler
- Kimlik bilgisi doldurma
- Başka sitelerden sızmış kullanıcı adı/parola çiftlerini denemek.
- Parola püskürtme
- Birkaç yaygın parolayı çok sayıda hesaba karşı denemek.
- Hız sınırı
- İstemci ve zaman aralığı başına istek üst sınırı.
- 429 Too Many Requests
- 'Yavaşla' için HTTP durumu; Retry-After taşıyabilir.
- Konut vekil sunucuları
- Saldırı trafiğini yönlendirmek için kiralanan ev bağlantısı ağları; böylece her adres az gönderir.
- OWASP API4:2023
- Sınırsız Kaynak Tüketimi: isteklerde, boyutlarda ya da maliyetlerde sınır olmaması.
← Aynı köken ilkesi ve CORS · Tüm dersler · Hizmet hesapları ve Kerberoasting →