机器人如何攻击Web应用程序以及如何阻止它们？

根据最新数据，近 40% 的网络流量是机器人流量，而在这些机器人流量中，60% 是不良机器人。恶意机器人被广泛用于恶意目的，例如撞库、DDoS 攻击、数据盗窃、价格抓取和未经授权的爬网等，这给企业带来了沉重的成本。

随着复杂性和杀伤力的不断提高，机器人成为在线欺诈/网络犯罪武器库的重要补充。并且防止 bot 攻击是加强 Web 应用程序安全性的必要条件。本文将提供对机器人攻击及其预防的更深入了解。

什么是机器人？

机器人是经过编程的自动化脚本，可在互联网上以最少的人工干预/监督运行特定的自动化任务，通常是简单的任务。与人类高管相比，在完成重复性例行任务方面更高的速度、敏捷性、准确性和性能使得机器人为各种合法目的而受到企业追捧。由于这些好处，他们是网络犯罪分子和其他不良行为者，从事各种恶意活动。

Web 应用程序如何被 Bots 攻击？

Web 应用程序受到不同类型的机器人以不同方式的攻击。

刮板机器人

内容抓取：原始内容是从信誉良好的网站上抓取并在未经许可的情况下发布到其他地方，以损害 SEO 排名。

价格刮：价格数据被抓取并用于非法的、有竞争力的价格监控，以及跟踪其他与定价相关的情报。

接触刮擦：纯文本的电子邮件地址和其他联系信息是从合法网站上抓取的。抓取的联系信息可用于形成大量邮件列表，用于发送垃圾邮件、协调数据泄露、robocalls 和社会工程等。

使用自动化，可以将抓取的电子邮件地址与用于凭据填充的常用密码配对，或者可以使用暴力密码破解工具破解其登录凭据以进行凭据破解。因此，攻击者成功地获得了对帐户的未经授权的访问权限或执行了帐户接管。

垃圾邮件机器人

由网络攻击者制作的互联网应用程序，用于将垃圾邮件传播到互联网上的目标。

• 使用从互联网上抓取或在暗网上购买的批量邮件列表，可以发送垃圾邮件。垃圾邮件用于传播恶意软件、窃取机密数据和网络钓鱼。一种称为电子邮件欺骗的技术通常用于使电子邮件看起来合法。
• 评论部分（网站、社交媒体和博客）可能会充斥着关于违禁产品、成人内容和好得难以置信的广告的垃圾邮件，以诱使合法用户泄露个人信息、点击恶意链接或付款.
• 恶意软件链接或其他垃圾邮件内容可以插入表单、评论部分、反馈等。

除了直接影响最终用户和组织外，垃圾邮件程序还被用来耗尽服务器带宽并增加 ISP 成本。

黄牛/票务机器人

攻击者使用黄牛/票务机器人囤积流行活动或其他流行、高价值、供应有限的商品/服务的门票，以高价转售（在许多国家是非法的）。剥削威胁会导致收入损失、业务声誉受损以及合法用户被剥削。

僵尸网络

众多受恶意软件感染（特洛伊木马病毒）的计算机和联网设备（如物联网设备、智能设备等）的集合通常分布在全球各地，并由攻击者/恶意行为者控制，称为僵尸网络或僵尸网络。僵尸网络可能包括数千个受感染的设备。

攻击者利用僵尸网络通过虚假请求淹没网站，耗尽其资源，并导致停机/通过 DDoS 攻击使其对合法用户不可用。众所周知，DDoS 攻击通常用作其他非法/恶意目的的烟幕，对小企业造成 120,000 美元的损失（财务和声誉），对大公司造成 2+ 百万美元的损失。

如何防止对 Web 应用程序的 Bot 攻击？

考虑到大量机器人及其攻击网站的方式， 没有一种万能的机器人预防解决方案。以下是一些提高Web 应用程序安全性的建议。

智能、全面、可管理的 WAF 对于有效防御包括 DDoS 攻击在内的 bot 攻击是必不可少的。速率限制、基于全局历史数据的行为分析、检测伪装成真正机器人的恶意机器人的智能、阻止源自单个 IP 地址的流量和误报管理是在WAF中寻找的必要特征。

结合使用分析工具和人类专业知识对机器人流量进行识别和分类是必要的。一旦识别和分类，必须定义复杂的机器人管理规则，并由安全专家以外科手术的准确性不断调整，以确保有效防御机器人。

基于挑战的方法可以有效地检查用户是人类还是机器人。通过在登录、评论和表单中添加验证码，可以防止恶意机器人访问网站资源/敏感信息。尽可能使用特定于应用程序的工作流规则来区分机器人和真实用户。工作流规则查看完整交易的属性，例如，在电子商务应用程序中（流程类似于 - 选择要购买的商品并将它们放入结账购物车，然后结账，然后付款）。将速率控制规则视为将整个工作流程视为单个阈值限制之上的一个单元，以在每个页面/事务上触发警报。使用直观的自动化 Web 扫描工具，可以主动识别网站中增加机器人攻击风险的恶意软件、垃圾邮件和漏洞。

结论

鉴于 bot 是网络犯罪武器库中的有力工具，并且用于出于各种目的攻击 Web 应用程序，因此没有一种最好的解决方案来防止它。像AppTrana这样的综合性 Web 应用程序安全解决方案将技术的力量与经过认证的安全专家的专业知识相结合，对于加强保护是必要的。