随着人口红利的慢慢削减，互联网产品的厮杀愈加激烈，大家开始看好下沉市场的潜力，拼多多，趣头条等厂商通过拉新奖励，购物优惠等政策率先抢占用户，壮大起来。其他各厂商也紧随其后，纷纷推出自己产品的极速版，如今日头条极速版，腾讯新闻极速版等，也通过拉新奖励，阅读奖励等政策来吸引用户。对于这类APP，实时风控是必不可少的，一个比较常见的实时风控场景就是防刷接口作弊。刷接口是黑产的一种作弊手段，APP上的各种
转载
2023-10-02 22:33:40
31阅读
下载fiddler的最新版本； 运行fiddler之后测试要调试的页面是否可以捕获，刷新页面后左边列表会实时显示目前http请求的条目。如图红色部分 测试成功，开始断点捕获数据 点击菜单栏按钮【Rules】—【automatic Breakpoints】-【After Response】如图 选择这
转载
2018-01-09 14:21:00
159阅读
2评论
WEB应用是开放的，WEB前端代码也是公开的，和后端交互的接口如果没有经过特殊处理（加密/token），那么就是裸露的，只要知道api地址，那么就能随便获取应用数据。这样应用数据就很容易被人爬取或者恶意盗刷，典型的短信被恶意盗刷。公司理财产品的短信接口就是一个裸接口，只要手机号就可以任意盗刷，当然背后有根据手机号，ip地址做了请求限制，但还是不够。后面就加了一定时间内一定请求次数的Token，后面
简介HttpCanary是Android平台下功能最强大的网络分析工具，支持TCP/UDP/HTTP/HTTPS/WebSocket等多种协议，可以视为Android平台下的Fiddler和Charles。HttpCanary的使用者需要掌握一定的计算机网络基础知识，且仅适用于以下使用场景：
Android、前端和后端软件工程师对Rest API调试，定位网络编程中出现的bug。测试工程师编辑网络
签名密钥，这个是自己生成的，需要客户端+服务端一致。 md5.js文件代码 /* * A JavaScript implementation of the RSA Data Security, Inc. MD5 Message * Digest Algorithm, as defined in RF
转载
2018-10-31 12:24:00
174阅读
2评论
转载
2023-07-04 23:16:37
102阅读
作者：废柴程序员背景我们知道，http 通信存在以下问题：通信使用明文可能会被窃听不验证通信方的身份可能遭遇伪装无法证明报文的完整型，可能已遭篡改使用 https 可以解决数据安全问题，但是你真的理解 https 吗？当面试官连续对你发出灵魂追问的时候，你能对答如流吗什么是 https，为什么需要 httpshttps 的连接过程https 的加密方式是怎样的，对称加密和非对称加密，为什么要这样设
转载
2024-08-23 15:20:33
95阅读
抓包工具CharlesFiddlerCharles使用下载PC端安装Charles根证书 help–>SSLProxying–>Install Charles Root Ceriticate安装Charles根证书到手机 help–>SSLProxying–>Install Charles Root Ceriticate on a Mobile Device or Remo
工具简介BurpSuite：是一个用于测试 Web 应用程序安全性的图形化工具。该工具使用Java编写，由PortSwigger Web Security开发。 功能 模块HTTP代理它作为一个 Web 代理服务器运行，并且位于浏览器和目标 Web 服务器之间。这允许拦截、检查和修改在两个方向上通过的原始流量Scanner一个 Web 应用程序安全扫描器，用于执行 Web 应用程序的自动漏洞扫描I
转载
2024-02-25 14:09:59
43阅读
在项目上线后，后台接口很容易通过抓包工具看到， 难免被人为构造恶意请求攻击我们的系统，相信大家都或多或少都遇到过短信验证码被刷、疯狂留言灌水、数据被恶意爬取等问题，这种直接抓接口然后写个循环调用的行为门槛极低，本文重点提供一种提高安全门槛的方法供大家参考。 后台接口很容易暴露1.实现思路:客户端通过将本地时间戳client_time_sign加密传给后台，后台通过解密后和服务端时间ser
转载
2023-08-10 11:27:02
427阅读
现在做过几个web项目，都用到了api，有服务器发往服务器的api，也有微信上从前端发往后端的api。然后，我在使用 Pycharm 断点时发现，如果在断点暂停时一直发送请求，那么很多请求都能执行成功。然后在不断点的正常情况下，我又使用 Charles 重复发送请求，并发设置为10，一共发100个，也有10几个请求成功了。前端向后端发送请求我知道csrf_token可以防止跨站攻击，但如果现在是一
转载
2023-09-10 11:12:06
149阅读
目录Fiddler 的安装修改请求数据修改响应数据抓取手机References最近因为某小程序的严重 BUG，影响了一批用户的正常返工，早上有朋友说有人提出了可以修改数据，于是简单试了下。之前用过 Wireshark，这次用 Fiddler 试试。Fiddler 的安装安装地址：https://www.telerik.com/download/fiddl
原创
2022-12-22 02:20:36
636阅读
Https原理：a.Https == Http + SSL(TSL)，SSL是网景公司的命名，TSL为OSI组织接手名的命名b.要解决的问题：传统HTTP协议可能有三大风险： b.1 被截获并获取内容（因为是明文传输） b.2 被修改内容（无校验）
转载
2024-06-07 14:04:51
61阅读
https 可以抓包吗HTTPS 的数据是加密的，常规下抓包工具代理请求后抓到的包内容是加密状态，无法直接查看。但是，我们可以通过抓包工具来抓包。它的原理其实是模拟一个中间人。通常 HTTPS 抓包工具的使用方法是会生成一个证书，用户需要手动把证书安装到客户端中，然后终端发起的所有请求通过该证书完成与抓包工具的交互，然后抓包工具再转发请求到服务器，最后把服务器返回的结果在控制台输出后再返回给终端，
转载
2023-07-25 16:20:56
84阅读
1. 什么是API参数篡改？说明：API参数篡改就是恶意人通过抓包的方式获取到请求的接口的参数，通过修改相关的参数，达到欺骗服务器的目的，常用的防止篡改的方式是用签名以及加密的方式。关注公众号码猿技术专栏获取更多面试资源2. 什么是API重发攻击？说明：API重放攻击: 就是把之前窃听到的数据原封不动的重新发送给接收方.3,常用的解决的方案常用的其他业务场景还有：发送短信接口支付接口基于times
转载
2023-10-19 19:49:55
9阅读
关于Springboot集成Redis实现接口防刷小贴士：目前大部分公司都采用前后端分离的开发方式，进行项目的并行开发。在项目中后台只需要提供一套API接口，就可以接入安卓、小程序、IOS、web等多个应用程序，这样可以节约开发成本。但是一个后台接入这么多应用程序的http请求，必然导致后端的压力非常大。所以对于一些请求进行过滤和拦截是非常有必要的，能够有效地减轻后台的压力。接口防刷机制：主要防止
转载
2023-11-11 13:59:12
69阅读
1. HTTPS的定义说道HTTPS,不得不提HTTP,HTTP最大的缺陷就是明文传输，数据传输过程中很容易被篡改，所以美国网景公司提出来HTTPS协议，相对HTTP,HTTPS多了一个S,这个S,其实就是SSL/TSL,SSL全称安全套接字层，TSL1.0（传输层安全协议）是SSL3.0的升级版，是用于服务器和客户端加密通信的，所以可以认为两者是同一种协议，SSL因为自身的不安全性，在Andro
转载
2024-06-10 08:21:07
95阅读
在现代软件应用环境中，尤其是Java开发中，保护用户数据不被非法抓包是一个亟待解决的重要问题。抓包工具可以轻易地拦截应用程序与服务器之间的通信，导致敏感信息泄露和数据安全问题的产生。
### 问题背景
随着互联网的发展，越来越多的应用程序需要通过网络与服务器进行数据交互。然而，很多开发者在这方面并没有足够的安全意识。抓包工具如Fiddler、Wireshark等可以轻易地捕获HTTP请求及响应
Fiddler是十分流行好用的抓包工具，通过Fiddler不仅可以查看数据包，还可以对数据包进行修改，进行各种测试模拟。本文介绍五种常见的修改报文数据包的方法。一、直接使用Rules菜单，修改请求伪装客户端单击菜单 Rules -- User-Agents -- iPhone6 请求报文User-Agent信息已被修改浏览器显示出来的页面变成了手机版的样式二、下断点，拦截并修改请求报文全
转载
2024-01-16 23:36:53
143阅读
我们日常开发中，如何保证接口数据的安全性呢？个人觉得，接口数据安全的保证过程，主要体现在这几个方面：一个就是数据传输过程中的安全，还有就是数据到达服务端，如何识别数据，最后一点就是数据存储的安全性。今天跟大家聊聊保证接口数据安全的10个方案。1. 数据加密，防止报文明文传输我们都知道，数据在网络传输过程中，很容易被抓包。如果使用的是http协议，因为它是明文传输的，用户的数据就很容易被别人获取。所
转载
2024-05-22 15:09:01
4阅读
