如何防止HTTP会话泛洪攻击

Question

泛洪攻击：简而言之，黑客可以继续攻击服务器（不使用cookie），以迫使Java容器继续创建新会话。

我正在使用Spring Security管理会话。 我意识到jsessionid会在登录前不断创建，这不是我想要的。

所以我做了：

1）在Spring安全性配置中：

sessionManagement().sessionCreationPolicy(SessionCreationPolicy.NEVER)

2）在jsp中禁用会话创建。 因为我使用的是apache tile，由于它使用的是动态包含，所以我必须在所有jsp片段中禁用会话创建。 这是非常乏味的。

<%@page session="false"%>

乍一看，很好，但是在某种情况下，我仍然创建了会话。

假设在登录之前，我访问的URL仅在经过身份验证后才能访问，Spring会将我重定向到登录页面。

在重定向之前，响应已经指示设置一个新的cookie（一个已创建的会话）。

我的问题：

1）会话洪水攻击是否是一个严重的问题？ 我真的应该照顾它吗？

2）有没有更好的方法来处理此问题？ 有什么最佳实践吗？

3）我的代码会怎样？ 尽管我已经将cookie设置为SessionCreationPolicy.NEVER ，但我怀疑cookie是由Spring创建的，它实际上应该可以工作。 我无法将其设置为Stateless ，登录后仍然需要会话。

与DDOS相比，我实际上更关心会话攻击，我还在Spring中设置了.maximumSessions(1)来防止多次登录。 但是上述问题发生在登录之前。 请帮忙。 谢谢。

Answer 1

您的观点看起来是正确的，如果不加以解决，可能会成为一个严重的问题。 我发现有关此主题的问题已经存在。 但是，有一种解决方法可以控制此行为。

public class ApiSecurityConfig extends WebSecurityConfigurerAdapter {
        public HttpSessionRequestCache getHttpSessionRequestCache() {
            HttpSessionRequestCache httpSessionRequestCache = new HttpSessionRequestCache();
            httpSessionRequestCache.setCreateSessionAllowed(false);
            return httpSessionRequestCache;
        }

        @Override
        protected void configure(final HttpSecurity http) throws Exception {
            http.requestCache().requestCache(getHttpSessionRequestCache());
}

请参阅以下链接以获取更多详细信息。

https://github.com/spring-projects/spring-security/issues/4242

如何阻止Spring Security创建新会话？