防止登錄攻擊我的春天的web應用程序

我有一個運行在亞馬遜上的實時彈簧web應用程序，我最近發現來自各種IP的登錄攻擊。到目前爲止，沒有任何東西被妥協，因爲登錄系統足夠安全，具有複雜的passowrds，並用鹽編碼等。但是，我想阻止這一點。防止登錄攻擊我的春天的web應用程序

日誌顯示的一件事是，攻擊者以某種方式能夠到達我的服務類（只有authenticictiontion manager）繞過我的登錄頁面。我沒有登錄的特殊網址，但是如何在不通過登錄jsp的情況下調用身份驗證管理器/服務等？我可以看到我的身份驗證服務類（實現UserDetailsService）的loadUserByUsername（）方法的日誌記錄。任何幫助將不勝感激。

來源

2013-05-30 Supra

爲什麼你需要login.jsp，你可以模擬一個發佈登錄表單的人，只需執行HTTP POST，所有的參數都是正確的？

如果所有請求來自同一個IP，您可以配置防火牆來阻止它。其他機制是在多次故障後發生延遲（例如5次後續故障後延遲30分鐘）。

如果你想走得更遠，兩個表單認證將提高安全性，例如，如果用戶在從未知IP /計算機登錄

來源

2013-05-30 06:22:47 gerrytan

由於進行短信確認，我找到了答案，他們是如何登錄。按照你所說的做一個http post，類似'curl --data「j_username = xxx＆j_password = yyy」http：// www.mysecureurl.com/j_spring_security_check「。將在新線程中詢問後續問題。 – Supra

防止登錄攻擊我的春天的web應用程序

回答

相關問題