Burp Token重放攻击原理与防御实战指南

1次阅读

共计 1964 个字符，预计需要花费 5 分钟才能阅读完成。

在 OWASP Top 10 中，失效的访问控制（Broken Access Control）和身份验证失效（Broken Authentication）长期占据高位。Token 重放攻击正是这两类漏洞的典型利用方式：

攻击者拦截合法用户的请求 Token 后，即使原会话已过期，仍可通过重复发送该 Token 获取未授权访问
在金融场景中，重放支付请求可导致重复扣款；在电商系统里可能造成商品重复下单
相比 CSRF 攻击，Token 重放不需要用户交互，危害性更大

机制	防重放能力	优点	缺点
Cookie	无	实现简单	完全无防护
JWT	需自行实现	无状态	失效依赖有效期设置
OAuth 2.0	依赖 access_token	标准协议	实现复杂度高
自定义 Token	可自由增强	灵活可控	需自行处理安全逻辑

时间窗口限制 ：Token 携带时间戳，服务端验证请求时间在允许范围内（如±5 分钟）
Nonce 唯一性校验 ：每次请求携带唯一随机字符串，服务端记录已使用的 Nonce
请求签名验证 ：使用 HMAC-SHA256 对关键参数生成签名，防止参数篡改

import hmac
import time
from hashlib import sha256
from typing import Optional, Tuple

class TokenManager:
    def __init__(self, secret_key: str, time_window: int = 300):
        self.secret_key = secret_key.encode()
        self.time_window = time_window

    def generate_token(self, user_id: str) -> Tuple[str, int, str]:
        """生成带时间戳和 Nonce 的 Token"""
        timestamp = int(time.time())
        nonce = sha256(f'{user_id}{timestamp}'.encode()).hexdigest()
        signature = hmac.new(
            self.secret_key,
            msg=f'{user_id}{timestamp}{nonce}'.encode(),
            digestmod=sha256
        ).hexdigest()
        return f'{user_id}:{timestamp}:{nonce}:{signature}', timestamp, nonce

    def verify_token(self, token: str) -> bool:
        """验证 Token 有效性"""
        try:
            user_id, ts_str, nonce, signature = token.split(':')
            timestamp = int(ts_str)

            # 时间窗口校验
            if abs(time.time() - timestamp) > self.time_window:
                return False

            # 签名校验
            expected = hmac.new(
                self.secret_key,
                msg=f'{user_id}{timestamp}{nonce}'.encode(),
                digestmod=sha256
            ).hexdigest()

            return hmac.compare_digest(expected, signature)
        except (ValueError, AttributeError):
            return False

flowchart LR
    Client -->| 携带签名 Token| API_Gateway
    API_Gateway -->| 验证时间戳 | Redis[Redis 时钟服务]
    API_Gateway -->| 校验 Nonce| Redis
    API_Gateway -->| 验证签名 | Auth_Service

使用 Locust 对签名验证进行压测（4 核 8G 云服务器）：