程序员的安全进阶之路：分享与学习系列 —— 防御自动化不足

想象一下，你来到一家老式地下酒吧的门口。门上的小孔滑开，一名身材魁梧的保镖要求你提供密码。访客不知道密码，于是随口猜了一个。猜错了，保镖便拒绝让他进入。

这通常是会发生的情况。现在想象一下，这位猜错密码的访客立即再次尝试，结果又错了，再次被拒之门外。接着，这位访客翻开字典，开始逐个念出单词，从“aardvark”开始，试图尝试每一个可能的词汇。

保镖绝不会允许这种行为发生，但自动化防御不足的网站和应用程序却恰恰如此。它们允许用户不断尝试密码，甚至使用自动化技术，直到最终碰巧猜中正确的口令。

在本期节目中，我们将学习：

• 攻击者如何利用自动化防御不足
• 为什么自动化防御不足的应用程序很危险
• 修复此漏洞的技术手段。

攻击者如何利用自动化防御不足？

像我们虚构的酒吧访客那样使用自动化或字典式攻击，在网络安全领域并不新鲜。事实上，这些暴力破解攻击是最早出现的黑客技术之一。随着计算机运行速度的提升，这些攻击变得越来越高效。根据攻击计算机与目标系统之间的连接速度，一台快速的计算机只需几分钟就能遍历整本字典。

正是为了应对这类自动化攻击，自动化防御软件和技术应运而生。它使应用程序能够判断用户执行的操作是否超出了人类正常行为的范畴。

如果应用程序缺乏足够的自动化防御检查，攻击者可以不断尝试密码，直到匹配成功。或者，他们可能会使用自动化软件执行其他操作，例如在网站论坛中发布垃圾评论。

为什么自动化防御不足很危险？

允许恶意用户利用自动化手段规避安全措施是非常危险的。自动化攻击之所以从计算机诞生之初一直延续至今，是因为它们极其有效。如果你给自动化程序无限的时间来提交密码，且输入错误无需承担任何后果，它最终一定会找到正确的密码。

当用于论坛等场景时，接连不断的脚本评论可能会让正常用户感到困扰，甚至通过消耗系统资源演变成一种拒绝服务攻击。自动化发布还可能被用作钓鱼或其他攻击的工具，将诱饵尽可能广泛地传播给更多人。

修复自动化防御不足的问题

要解决自动化防御不足的问题，所有应用程序都必须具备判断操作是由人类还是自动化软件执行的能力。最流行且广泛使用的技术之一是全自动区分计算机和人类的图灵测试，即 CAPTCHA（验证码）。

CAPTCHA 本质上是一种图灵测试，由计算机科学家艾伦·图灵于 1950 年首次提出，旨在区分和识别人类与计算机的行为。现代验证码会呈现人类可以轻松解决，但计算机难以处理或根本无法理解的问题。一种常见的形式是将照片分割成网格，要求用户识别出包含特定物品（如花朵或人脸）的所有区域。计算机无法理解指令要求，因此甚至无法尝试扫描图像。即便能够扫描，图像识别也超出了大多数未专门为此构建的程序的能力范围。

其他验证码示例包括显示模糊文本、提出简单的逻辑问题，甚至通过语音播放问题。在应用程序的关键节点（例如输入密码时）实施验证码挑战，可以有效阻断自动化程序。

此外，还可以通过限制同一来源的错误尝试次数来阻止自动化程序。如果错误尝试次数过多，账户可以被暂时锁定，从而使自动化程序因耗时过长而失去作用，甚至可能需要人工管理员进行解锁。采取这些措施应能防止应用程序出现自动化防御漏洞。

关于防御自动化不足的更多信息

如需深入了解，您可以查看 OWASP 关于 防御自动化不足 的相关说明。您还可以通过 Secure Code Warrior 平台免费演示 来测试您新掌握的防御知识，该平台致力于将网络安全团队培养成顶尖的网络战士。若想了解更多关于攻克此漏洞及其他各类威胁的信息，请访问 Secure Code Warrior 博客。

准备好立即发现并修复防御自动化不足的问题了吗？快来我们的游戏竞技场测试您的技能吧： [立即开始]