API4:2023 — 无限制资源消耗 | 通过API发起拒绝服务攻击

什么是无限制资源消耗？

无限制资源消耗（URC）是指攻击者能够在缺乏充分验证或控制限制的情况下，强制API消耗过多资源（CPU、内存、带宽、数据库连接或外部服务配额）的安全漏洞。

直接后果是导致拒绝服务（DoS）、平台性能下降以及运营成本急剧增加（财务影响），这对服务提供商来说是极为关注的问题。

漏洞焦点：“API未能限制请求的大小或复杂性，允许客户端耗尽服务器的工作能力，或消耗第三方服务的预算。”

滥用消耗的典型示例（攻击向量）

• 极端限制下的高成本操作：利用允许聚合搜索、大规模数据导出（例如PDF格式）或报告生成且无大小限制的端点
• CPU/内存耗尽…

创建帐户以阅读完整故事。作者仅向Medium会员开放此故事。如果您是Medium的新用户，请创建新帐户以免费阅读此故事。