java - 防止 Java/AMF 应用程序中的洪水/DOS 攻击

Question

我正在开发 Flash 网页游戏的 Java 后端 - 客户端和服务器使用操作消息格式 (AMF) 进行通信。几周前，我们公司的另一个团队的产品被用户反编译了 Flash 客户端，并使用修改后的版本向后端发送了虚假请求。我们希望在我们的新游戏中防止这种攻击。

(更多详细信息:使用的网络服务器是 Tomcat，AMF 客户端是 BlazeDS。)

我想知道防止此类攻击的最佳方法是什么。我的一些想法:

• nginx 配置似乎是处理速率限制的最佳位置，但我找不到任何有关 nginx 如何与 AMF 交互的资源。 AMF 请求是否直接发送到 Tomcat？

• 大多数请求都涉及相关用户的 userId 参数。涉及过度使用的 userId 的速率限制请求可能是一种方法 - 然而，只想淹没服务器的攻击者可以轻松地向随机 userId 发送垃圾邮件。

• 与上面的操作相同，但使用 IP 地址代替 userId 是可行的。但是，我无法判断是否可以从 AMF 请求中获取 IP 地址。

Answer 1

您的 Java 应用程序应将唯一标识符传递给主机操作系统的防火墙并阻止该客户端。通过此操作，您将能够阻止您的应用程序执行不应该执行的操作(作为防火墙)。