https://note.youdao.com/s/AmDlcdeg

pikachu验证码绕过

https://note.youdao.com/s/cCN1K9ys

pikachu验证码绕过（on cilent）

https://note.youdao.com/s/DSGjveVc

pikachu中token防爆破

Web登录防爆破的原理和实现

https://www.cnblogs.com/cx59244405/p/10410746.html

ddos攻击：一般指分布式拒绝服务攻击

一.基于自动化程序分类

1.手工的DDoS攻击：早期的DDoS攻击全是采用手动配置的，即发动DDoS攻击时，扫描远端有漏洞的计算机，侵入他们并安装代码

2.半自动化的DDoS攻击:攻击者使用自动化的Script来扫描，主控端的机器对主控端和代理端之间进行协商攻击的类型、受害者的地址、何时发起攻击等信息由进行详细记录。

3、自动化的DDoS攻击。

在这类攻击中。攻击者和代理端机器之间的通信是绝对不允许的。这类攻击的攻击阶段绝大部分被限制用一个单一的命令来实现，攻击的所有特征，例如攻击的类型，持续的时间和受害者的地址在攻击代码中都预先用程序实现。 [4]

二、基于系统及协议的弱点分类

1、洪水攻击。

在洪水攻击中。傀儡机向受害者系统发送大量的数据流为了充塞受害者系统的带宽，影响小的则降低受害者提供的服务，影响大的则使整个网络带宽持续饱和，以至于网络服务瘫痪。典型的洪水攻击有UDP洪水攻击和ICMP洪水攻击。 [4]

2、扩大攻击。

扩大攻击分为两种，一种是利用广播lP地址的特性，一种是利用反射体来发动攻击。前一种攻击者是利用了广播IP地址的特性来扩大和映射攻击，导致路由器将数据包发送到整个网络的广播地址列表中的所有的广播IP地址。这些恶意的流量将减少受害者系统可提供的带宽。典型的扩大攻击有Smurf和Fraggle攻击。 [4]

3、利用协议的攻击。

该类攻击则是利用某些协议的特性或者利用了安装在受害者机器上的协议中存在的漏洞来耗尽它的大量资源。典型的利用协议攻击的例子是TCP SYN攻击。 [4]

4、畸形数据包攻击。

攻击者通过向受害者发送不正确的IP地址的数据包，导致受害系统崩溃。畸形数据包攻击可分为两种类型：IP地址攻击和IP数据包属性攻击。 [4]

三、基于攻击速率分类

DDoS攻击从基于速率上进行分类，可以分为持续速率和可变速率的攻击。持续速率的攻击是指只要开始发起攻击，就用全力不停顿也不消减力量。像这种攻击的影响是非常快的。可变速率的攻击，从名字就可以看出，用不同的攻击速率，基于这种速率改变的机制，可以把这种攻击分为增加速率和波动的速率。 [4]

四、基于影响力进行分类

DDoS攻击从基于影响力方面可以分为网络服务彻底崩溃和降低网络服务的攻击。服务彻底崩溃的攻击将导致受害者的服务器完全拒绝对客户端提供服务。降低网络服务的攻击，消耗受害者系统的一部分资源，这将延迟攻击被发现的时间，同时对受害者造成一定的破坏。 [4]

五、基于入侵目标分类

DDoS攻击从基于入侵目标，可以将DDoS攻击分为带宽攻击和连通性攻击，带宽攻击通过使用大量的数据包来淹没整个网络，使得有效的网络资源被浪费，合法用户的请求得不到响应，大大降低了效率。而连通性攻击是通过发送大量的请求来使得计算机瘫痪，所有有效的操作系统资源被耗尽，导致计算机不能够再处理合法的用户请求。 [4]

六、基于攻击路线分类

1、直接攻击：攻击者和主控端通信，主控端接到攻击者的命令后，再控制代理端向受害者发动攻击数据流。代理端向受害者系统发送大量的伪IP地址的网络数据流，这样攻击者很难被追查到。 [4]

2、反复式攻击通过利用反射体，发动更强大的攻击流。反射体是任何一台主机只要发送一个数据包就能收到一个数据包，反复式攻击就是攻击者利用中间的网络节点发动攻击。 [4]

七、基于攻击特征分类

从攻击特征的角度，可以将DDoS攻击分为攻击行为特征可提取和攻击行为特征不可提取两类。攻击行为特征可提取的DDoS攻击又可以细分为可过滤型和不可过滤型。可过滤型的DDoS攻击主要指那些使用畸形的非法数据包。不可过滤型DDoS攻击通过使用精心设计的数据包，模仿合法用户的正常请求所用的数据包，一旦这类数据包被过滤将会影响合法用户的正常使用。 [4]

以上来自百度百科（没想到吧哈哈哈哈img)

DDoS的工作原理

在DDoS共计期间，一系列机器人活着僵尸网络会用HTTP请求和流量攻占网站或服务。从本质上来讲，在攻击期间会有多台计算机攻击一台计算机，导致将合法用户推出。因此网络可能会延迟或中断一段时间。

在共计期间，黑客可能会深入数据库以访问各种敏感信息。DDoS攻击可以利用安全漏洞冰攻击可通过Internet公开访问的任何终结点。

拒绝服务攻击可能会持续几小时，甚至几天。这些网络攻击还可能在一次攻击中造成多项破坏。个人和企业设备都容易受到此类攻击。

1.防护软件/硬件Waf(Web应用防火墙)/Web服务器限制单IP固定时间段的登陆频率

  • 所以可以使用WAF来实现对某个IP访问过高时将其IP加入黑名单隔离
  • 通过Nginx等web服务器可以实现限制单IP固定时间段的登录频率，也就是限制流量
  • 可以防爆破的同时一定程度上防止DDoS攻击
nginx配置
1
https://www.runoob.com/w3cnote/nginx-setup-intro.html

但是这样也有问题，攻击者可以通过代理池的方式绕过

代理池：一组受管理的代理，代理池充当计算机和网络之间的中介，将请求路由到网站并显示自己的IP地址，同时隐藏自己的IP

  • （因为代理池中有很多的IP地址，相当于你连接到代理池，再从代理池换了一个IP连接到你所要去的网站）

2.WebApp限制单用户固定时间段的登录频率

就跟手机密码试错一样，错误几次以上就锁账号，能一定程度上的防止

但这样也有问题，可以故意使用错误密码使得原来的用户也不能登陆

重放攻击

又称之为重播攻击，是指攻击者发送一个目的主机已接收过得包来达到欺骗系统的目的

1
其实他的意思就是攻击者把服务器收到过的数据包反复请求，由于是已经拒收岛国的数据包，如果服务器防范不当的话接口可以通过身份验证，就跟pikachu的验证码绕过一样，重发的包是服务器接受过的，而且验证码还没变，所以可以通过爆破账号密码来进行攻击

3.图片验证码（扭曲+干扰+数字+字母+阴影+随机颜色）

我相信各位登录王网站的时候肯定会输入过一些验证码，像是这样的

44770e5bc70fa816a0df9da07816e28c.gif

这样是为了防止重放攻击

但是这样的问题就是验证码不能放在session中，因为重放攻击每次的session都不变，去session中核对验证码每次都是不变的

session,PHP语言

string session_cache_limiter ( [string cache_limiter]) 函数返回当前缓存限制的名字. 如果指定了 cache_limiter， 当前的缓存限制的名字被改为新值。

​ ———————————来自百度百科

但实际上吧，session和cookie功能其实差不多，他们的区别在于session记录在服务器，cookie记录在客户端

session就是在服务器内开辟一块内存，这个session只允许当前服务器使用，即使是新开了一个服务器也无法使用当前这个session

（硬要说的话，就像是你通过steam要买一个游戏，你在购物车选好以后要跳付款界面，没有session的话付款界面怎么知道你要付的款项呢（如果不想知道的话我感觉表票也不是不能接受））

那问题来了，浏览器怎么知道你应该付的是这个款项而不是其他的呢，比如你买一个永劫，但给你跳转了一个尼尔机械纪元的钱，这不血亏。（反过来我倒是可以小小的将就一下（<^__^>）

其实这种情况是不可能出现的，当访问一个页面的时候，会给服务器一个unique的号码，而这个号码也会同时共享给session,当访问第二个页面的时候，会将这个号码同步传递到第二个页面。

4.IP段黑白名单

就是Ban了某些IP