Web安全之业务安全：批量请求与资源滥用防护详解

一、问题描述
批量请求与资源滥用是业务安全中的常见威胁，攻击者通过自动化脚本或工具在短时间内发送大量请求，可能导致：

1. 资源耗尽：服务器CPU、内存、带宽被占满，影响正常用户访问
2. 数据泄露：通过批量遍历获取敏感信息（如用户数据、订单号）
3. 业务逻辑绕过：利用高频请求绕过验证码、抽奖次数限制等
4. 经济损失：恶意占用优惠券、秒杀库存等稀缺资源

二、攻击原理分析

1. 批量枚举攻击：

   • 攻击模式：自动化遍历ID（用户ID、订单号）、手机号、优惠码等
   • 示例：通过修改URL参数/user?id=1至/user?id=10000批量获取用户信息

2. 高频请求攻击：

   • 攻击模式：短时间内重复提交相同或类似请求
   • 示例：每秒10次发送短信验证码请求，耗尽短信配额

3. 分布式攻击特征：

   • 使用代理池、僵尸网络分散请求源，难以通过单一IP封禁应对

三、防护技术分层实现

第一层：基础防御（请求粒度控制）

1. 频率限制（Rate Limiting）：

   • 实现方案：
     • 令牌桶算法：系统以固定速率生成令牌，请求需消耗令牌，无令牌时拒绝
     • 滑动窗口计数：记录最近时间窗口（如1分钟）内请求次数，超限则拒绝
   • 关键配置：

     // 示例：同一IP每分钟最多10次短信发送
     const limits = {
       SMS: { windowMs: 60000, max: 10 }
     }
     

2. 人机验证（CAPTCHA）：

   • 触发条件：检测到异常请求频率时触发验证码
   • 进阶方案：无感验证（如行为分析、鼠标轨迹检测）

第二层：业务逻辑强化

1. 数据访问权限控制：

   • 原则：基于会话身份校验数据归属，避免越权遍历
   • 示例：查询订单接口需验证订单.用户ID === 当前用户ID

2. 资源配额管理：

   • 实现方案：
     • 每日短信发送次数上限
     • 用户级API调用配额（如免费用户100次/天）
   • 技术要点：配额数据需持久化并保证原子性（如Redis原子操作）

3. 异步处理与队列削峰：

   • 场景：秒杀等高并发请求先进入消息队列，按系统能力逐步处理
   • 优势：避免瞬时压力击垮数据库

第三层：智能风控（行为分析）

1. 异常检测模型：

   • 特征维度：IP地理异常、设备指纹、请求时间模式、操作序列
   • 示例：同一账号5分钟内从3个国家登录触发告警

2. 动态响应策略：

   • 轻度异常：要求二次验证（短信/邮箱确认）
   • 重度异常：临时封禁并通知安全团队

四、技术实现示例（Node.js频率限制）

const redis = require('redis');
const client = redis.createClient();

async function rateLimit(key, windowMs, maxRequests) {
  const now = Date.now();
  const windowStart = now - windowMs;
  
  // 移除过期请求记录
  await client.zremrangebyscore(key, 0, windowStart);
  
  // 获取当前窗口内请求数
  const requestCount = await client.zcard(key);
  
  if (requestCount >= maxRequests) {
    return false; // 触发限流
  }
  
  // 记录本次请求
  await client.zadd(key, now, now);
  await client.expire(key, windowMs / 1000);
  return true;
}

// 使用示例
const isAllowed = await rateLimit('IP:127.0.0.1:SMS', 60000, 5);
if (!isAllowed) throw new Error('请求过于频繁');

五、防护效果验证

1. 测试工具：使用Apache Bench、Postman批量发送请求
2. 监控指标：
   • 请求成功率（正常用户应不受影响）
   • 拦截日志分析（误封率需低于0.1%）
3. 渗透测试：模拟恶意遍历攻击（如扫描用户ID空间）

六、总结
批量请求防护需结合技术限制与业务规则，形成分层防御体系。核心在于：

• 基础层通过频率限制快速拦截明显异常
• 业务层强化数据权限与资源管理
• 智能层通过行为分析应对高级攻击
  同时需注意平衡安全性与用户体验，避免误伤正常用户。