什么是重放攻击(Reply attack)?

重放攻击，也称为回放攻击，是一种网络攻击方式。重放攻击是一种中间人攻击，攻击者通过截获合法的数据传输并重新发送它们来欺骗接收方，让接收方误以为是合法的消息。重放攻击是非常常见的，因为在拦截了来自网络的传输后，黑客不需要专门的专业知识来解密信息。
重放攻击不仅限于信用卡交易，还可以采取多种形式，诈骗者可以通过有效的重放攻击来模仿真实用户并完成任何欺诈行为。

重放攻击的工作原理

数据截获：攻击者首先截获网络上的数据传输，这可能包括登录凭据、令牌、或其他敏感信息。
数据复制：攻击者将截获的数据复制并保留下来。
数据重放：攻击者在未来的某个时间点，将这些复制的数据重新发送到原始服务器或另一个服务器，尝试模仿原始的合法用户。

如何防御重放攻击

使用一次性密码：防止重放攻击可以通过一次性密码和其他基于用户交互的保护，例如使用 CAPTCHA、验证密码、使用双因素身份验证 (2FA)等。
时间戳：在消息中加入时间戳，服务器接收到消息后检查时间戳，如果消息发送时间与接收时间差距过大，则判定为无效。
序列号：每个消息包含一个唯一序列号，服务器检查序列号以确保每个消息只被接受一次。
双因素认证：增加认证步骤，即使攻击者截获了登录信息，没有第二因素也无法成功认证。
加密和哈希技术：使用加密技术保护数据传输的安全，使用哈希和签名验证数据的完整性和来源。

重放攻击的防御需要在系统设计初期就考虑到，确保所有敏感数据的传输都采用适当的安全措施。通过这些技术手段，可以显著降低重放攻击的风险。

具体如何做

使用一次性密码

一次性密码（OTP）是预防重放攻击的有效工具。OTP在每次认证尝试后都会失效，确保即使攻击者截获了密码，也无法再次使用。实现OTP的方式有多种，其中包括基于时间的一次性密码（TOTP）和基于事件的一次性密码（HOTP）。这些密码通常由认证应用如Google Authenticator生成，或通过短信和邮件发送给用户。使用OTP，即使攻击者能够截获用户的静态密码，他们也无法通过缺少一次性密码的重放来完成认证过程。

时间戳

在数据传输中加入时间戳是另一种防止重放攻击的策略。时间戳可以保证数据包的新鲜度，因为它记录了数据包生成的具体时间。服务器在接收到数据包时会检查时间戳，如果该时间戳与当前时间的差异超出预设的容许范围（例如几分钟），则认为该数据包是旧的或被重放的，从而拒绝接受。这种方法需要服务器和客户端之间的时钟同步。

在Java客户端中，你可以使用System.currentTimeMillis()来获取当前的UNIX时间戳（毫秒），然后发送请求到服务器：

import java.net.HttpURLConnection;
import java.net.URL;
import java.io.OutputStreamWriter;

public class ClientExample {
    public static void main(String[] args) {
        try {
            URL url = new URL("http://example.com/login");
            HttpURLConnection connection = (HttpURLConnection) url.openConnection();
            connection.setRequestMethod("POST");
            connection.setDoOutput(true);

            // 获取当前的UNIX时间戳（毫秒）
            long timestamp = System.currentTimeMillis();

            // 构建请求数据
            String data = "username=user123&password=securepassword&timestamp=" + timestamp;

            OutputStreamWriter writer = new OutputStreamWriter(connection.getOutputStream());
            writer.write(data);
            writer.flush();
            writer.close();

            int responseCode = connection.getResponseCode();
            System.out.println("Response Code : " + responseCode);

        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

在服务器端，你可以使用Spring框架来简化HTTP请求处理。下面的代码使用Spring Boot来创建一个简单的登录接口，它检查时间戳的有效性：

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;

@SpringBootApplication
@RestController
public class ServerExample {

    public static void main(String[] args) {
        SpringApplication.run(ServerExample.class, args);
    }

    @PostMapping("/login")
    public String login(@RequestParam String username, @RequestParam String password, @RequestParam long timestamp) {
        long serverTimestamp = System.currentTimeMillis();

        // 检查时间戳差异，设置为300000毫秒（5分钟）
        if (Math.abs(serverTimestamp - timestamp) > 300000) {
            return "请求无效或已过期";
        }

        // 处理登录逻辑，这里简单返回成功
        return "登录成功";
    }
}