场景1：上传大文件

攻击向量：攻击者向文件上传端点（如图片、视频或文档上传）发送超大文件，迫使后端在处理过程中消耗过多内存或磁盘空间。

业务场景：允许用户上传产品图片的电商平台成为攻击目标。攻击者重复上传数GB大小的文件，触发内存耗尽，导致应用对所有用户响应变慢。

Wallarm防护：

• 缓解控制：文件上传限制策略在过滤节点上强制执行最大请求大小和每个参数大小，在超大请求到达应用前将其阻断
• API滥用：无限制资源消耗检测可识别涉及持续大负载的流量模式，并标记异常会话

场景2：高延迟响应

攻击向量：攻击者识别资源密集的API端点（如报告生成、PDF导出或分析查询），并对其进行轰炸以推高服务器响应时间。

业务场景：攻击者通过API重复触发昂贵的报告生成任务，针对SaaS报告工具，导致合法用户遇到延迟和超时。

Wallarm防护：

• API滥用：无限制资源消耗检测监控响应时间异常，并应用自适应阈值来检测滥用者。违规会话可自动限流或阻断

场景3：过大响应大小（数据外泄）

攻击向量：攻击者发送精心构造的请求，返回异常大的响应，旨在缓慢提取大型数据集或内部信息。

业务场景：金融科技应用通过搜索API暴露客户交易数据。攻击者利用此漏洞逐步查询海量数据集，随时间推移收集大型响应。

Wallarm防护：

• API滥用：无限制资源消耗检测识别异常大的出站数据流，并将这些会话标记为潜在爬取或外泄尝试

场景4：财务影响的API滥用（如短信网关、计量服务）

攻击向量：攻击者针对触发高成本或第三方操作的API（如发送短信、发起交易），以推高成本并耗尽后端容量。

业务场景：移动应用通过API提供短信双因素认证。攻击者自动化请求向短信端点发送垃圾信息，耗尽API配额并增加运营成本。

额外示例：AI平台暴露由付费LLM提供商支持的处理提示API。攻击者编写脚本重复提交提示，无意或有意触发高成本处理，推高第三方账单。

Wallarm防护：

• 缓解控制：DoS保护检测用户会话内符合特定标准的过高请求速率，如重复访问敏感或高成本端点

场景5：通过GraphQL批处理绕过速率限制

攻击向量：GraphQL支持批处理，允许将多个查询或变更打包到单个HTTP请求中。攻击者滥用此功能，将许多操作捆绑到一个调用中，以绕过基于每个请求操作的速率限制机制。虽然传统速率限制器只看到一个HTTP请求，但每个批处理查询都会消耗处理时间、内存和I/O。这使得攻击者能够在雷达下大规模执行暴力破解、爬取或拒绝服务操作。

业务场景：社交媒体API允许查询多个用户资料。通过在一个请求中批处理数十个查询，攻击者在保持在速率限制阈值内的同时提取大量数据。

Wallarm防护：

• 缓解控制：GraphQL API保护允许为每个请求的批处理操作设置严格限制，防止攻击者用过多的GraphQL操作使逻辑层过载

场景6：GraphQL查询滥用（嵌套查询、别名过载）

攻击向量：GraphQL的表达性允许深度查询嵌套和广泛使用别名。攻击者通过发送具有极端递归深度或数百个别名的查询来利用这一点，迫使后端执行许多冗余操作。每个别名都可能触发昂贵的解析器执行，深度嵌套可能使遍历逻辑成倍增加。这些看似有效的查询可能占用CPU和内存，显著减慢或崩溃服务。

业务场景：在线学习平台使用GraphQL进行内容交付。攻击者构造深度嵌套查询，导致递归后端处理并使计算资源不堪重负。

Wallarm防护：

• 缓解控制：GraphQL API保护强制执行：
  • 最大查询深度以限制递归级别
  • 每个请求的最大别名数以防止别名垃圾邮件和逻辑滥用

场景7：数据炸弹（负载扩展攻击）

攻击向量：攻击者构造在处理过程中大规模扩展的小负载。示例包括zip炸弹（解压缩为千兆字节的存档）、深度嵌套的JSON结构或使用递归实体引用的XML负载。这些负载由于体积小通常绕过基本输入验证，但一旦解析就会导致大量资源分配，导致内存耗尽、减速或完全应用崩溃。

业务场景：文件共享API接受压缩文件。攻击者上传包含递归目录或巨大解压缩足迹的zip文件，在提取过程中消耗千兆字节内存。

Wallarm防护：

• 实时检测通过深度解析请求识别在处理时行为异常的负载（如过高的解压缩率），并在造成损害前阻断它们

场景8：通过缓冲区溢出攻击的拒绝服务

攻击向量：攻击者为特定参数构造过大的输入，试图触发内存损坏、缓冲区溢出或不安全解析行为。

业务场景：一个著名的真实示例是CVE-2025-22457，这是影响Ivanti Connect Secure VPN设备的关键基于堆栈的缓冲区溢出漏洞，其中过大的HTTP标头可被利用来损坏内存并导致系统故障。

Wallarm防护：

• 缓解控制：文件上传限制策略可通过限制易受溢出影响的参数的确切大小（例如标头）用作虚拟补丁。这可以防止格式错误的请求执行危险的内存操作

结论：一个威胁，多种面貌——全面覆盖

拒绝服务攻击不再只是容量性的。攻击者现在利用业务逻辑、API设计和后端行为来安静而持续地耗尽资源。这就是OWASP API4:2023——无限制资源消耗背后的危险：一个单一类别解锁了许多滥用向量——从文件上传和深度嵌套查询到通过高成本API集成造成的财务流失。

Wallarm通过节点上的实时缓解和云中的自适应检测相结合来应对这一不断演变的威胁格局。无论滥用是技术性的、行为性的还是财务性的，Wallarm的工具都能检测、分析并阻止它。

通过引入文件上传限制策略和无限制资源消耗检测——以及我们完整的API滥用和DoS保护套件——您将获得针对API4:2023利用的每个已知变体的广泛、深入和智能覆盖。