防止Java / AMF应用程序中的泛洪/ DOS攻击

Question

我正在为Flash webgame开发Java后端 - 客户端和服务器使用Action Message Format（AMF）进行通信。几个星期前，我们公司的另一个团队的产品被反编译Flash客户端的用户攻击，并使用更改后的版本以虚假请求充斥后端。我们希望在新游戏中防止这种攻击。

（更多细节：使用的webserver是Tomcat，AMF客户端是BlazeDS。）

我想知道防止这种攻击的最佳方法是什么。我有一些想法：

• nginx配置似乎是处理速率限制的最佳位置，但我无法找到有关nginx如何与AMF交互的任何资源。 AMF请求是否直接发送给Tomcat？

• 大多数请求涉及相关用户的userId参数。涉及过度使用userIds的速率限制请求可能是一种方法 - 但是，只想要充斥服务器的攻击者可能很容易将随机用户ID垃圾邮件。

• 执行与上述相同的操作，但使用IP地址代替userIds可以正常工作。但是，我无法判断是否可以从AMF请求中获取IP地址。

Answer 1

您的Java应用程序应将唯一标识符传递给主机操作系统的防火墙并阻止该客户端。通过此操作，您将能够阻止您的应用程序处理不应该执行的操作（作为防火墙）。