随笔分类 - 网络安全
摘要：- 因为RESTful规范较为明确且有一定的"强制性",这种限制反而导致设计uri变得复杂了，尤其是复杂的关系，操作，资源集合，硬性套用rest原则设计非常困难。
- 对于RESTful的争论无处不在，都在讨论正确性和规范性，即使和同事之间也会有类似的争执，当我们在争论Restful风格到底如何设计才是正宗时，发现心中的困惑不仅没有降低，反而增加了。
- RESTful思想及其所倡导的规范很正确，但是使用者的行为太刻意了反而导致这个东西变了味道，争来争去就是为了证明自己的理解和使用最"正宗"。
阅读全文
摘要：伴随着RESTful架构风格的大量应用微服务架构的流行，一些本来难以察觉到的安全问题也逐渐开始显现出来。在我经历过的各种采用RESTful微服务架构风格的应用中，某些安全问题几乎在每个应用中都会出现。然而它们并非是什么高深的技术难题，只不过是借着微服务的流行而显得越发突出，这些都可以通过一些安全实践来避免。本文将一些典型的问题列举出来，希望能引起开发团队的注意，帮助他们绕过这些安全问题的“坑”。
阅读全文
摘要：想起前段时间南朝鲜部署萨德时局座说的一句话，就是在绝对的饱和打击下，萨德这些装备是起不到什么作用的，当然，我们不讨论萨德或者军事，就是通过这么一句评论来总结一下这次微博宕机事件，虽然微博的架构和技术团队很强大，但是在足够大的瞬时流量冲击下，容灾、自动扩容、缓存、负载均衡、吞吐量、架构伸缩性等等一系列的似乎都被宕机的结果所淡化，冲垮的无影无踪了，流量太大太大了，8亿多用户是个什么概念。
阅读全文
摘要：最新的防御方式为：WAF+验证码，不仅是这次的接口攻击，在搭建了WAF之后，不仅仅是此次的接口攻击，对于其他类型的攻击以及一些骚扰也都有很好的防御效果，不过搭建过程较复杂，配置也比较麻烦，但是有很好的拦截功能因此很值得也很解渴。
阅读全文
摘要：前文中有讲到一个定位非法IP的shell脚本，现在就来公布一下吧，并没有什么技术难度，只是当时花了些时间去写这个东西，类似于紧急修复线上bug一样的赶这个小脚本，虽然现在看来挺简单的，但是在当时紧张的情景中，赶这个小脚本儿的过程确实是很有趣的。
前一篇文章发布后，有朋友留言问了一下脚本的事，于是整理了一下。
阅读全文
摘要：**我们都知道流量攻击，攻击者用大流量来压垮网络设备和服务器，或者有意制造大量无法完成的不完全请求来快速耗尽服务器资源，现在看来这次的短信接口攻击称不上流量攻击，因为数量级不在一个概念上，虽然也存在大量的非法请求，但是并不足以瘫痪设备，当然，这些话都是写在事件结束之后的，与事件发生时的想法可能有些出入，因为当时并不确定攻击者的请求是否会持续增加、是否会打满服务器的带宽，是否会影响正常请求，是否会使服务器瘫痪.....**
看着持续不减的入网流量，思考了半天，最终是打算加入防火墙，通过封掉这些恶意请求的IP，让ECS直接拒绝请求，在请求的第一步就把它弄死，将入口堵住应该可以一定程度的阻止攻击者继续攻击，也使得流量降低不会影响到处理正常请求所用到的系统资源。
阅读全文
摘要：一个新的功能模块上线之后，出现短信接口被恶意访问调用的情况，请求数量很大，而且通过查看短信服务商控制台也发现，短信发送量在飙升，看着统计曲线的增长，紧张的气氛也渐渐变得更浓，很明显，事情并不是遇到一个bug那么简单，因为牵涉到服务费用，需要立即解决。
阅读全文
