根據百科的解釋：重放攻擊（Replay Attacks）又稱重播攻擊、回放攻擊或新鮮性攻擊（Freshness Attacks），是指攻擊者傳送一個目的主機已接收過的包，來達到欺騙系統的目的，主要用於身份認證過程，破壞認證的正確性。

它是一種攻擊型別，這種攻擊會不斷惡意或欺詐性地重複一個有效的資料傳輸，重放攻擊可以由發起者，也可以由攔截並重發該資料的敵方進行。攻擊者利用網路監聽或者其他方式盜取認證憑據，之後再把它重新發給認證伺服器。從這個解釋上理解，加密可以有效防止會話劫持，但是卻防止不了重放攻擊。重放攻擊任何網路通訊過程中都可能發生。重放攻擊是計算機世界黑客常用的攻擊方式之一，它的書面定義對不瞭解密碼學的人來說比較抽象。

概念性的幾個防禦手段

時間戳

“時戳”──代表當前時刻的數

基本思想──A接收一個訊息當且僅當其包含一個對A而言足夠接近當前時刻的時戳

原理──重放的時戳將相對遠離當前時刻

時鐘要求──通訊各方的計算機時鐘保持同步

處理方式──設定大小適當的時間窗（間隔），越大越能包容網路傳輸延時，越小越能防重放攻擊

適用性──用於非連線性的對話（在連線情形下雙方時鐘若偶然出現不同步，則正確的資訊可能會被誤判為重放資訊而丟棄，而錯誤的重放資訊可能會當作最新資訊而接收）

序號

通訊雙方通過訊息中的序列號來判斷訊息的新鮮性

要求通訊雙方必須事先協商一個初始序列號，並協商遞增方法

提問與應答

“現時”──與當前事件有關的一次性隨機數N（互不重複即可）

基本做法──期望從B獲得訊息的A 事先發給B一個現時N，並要求B應答的訊息中包含N或f(N)，f是A、B預先約定的簡單函式

原理──A通過B回覆的N或f(N)與自己發出是否一致來判定本次訊息是不是重放的

時鐘要求──無

適用性──用於連線性的對話

重放攻擊是對協議的攻擊中危害最大、最常見的一種攻擊形式。

以登陸為例看具體的例子

常規流程

1.前端web頁面使用者輸入賬號、密碼，點選登入。

2.請求提交之前，web端首先通過客戶端指令碼如javascript對密碼原文進行md5加密。

3.提交賬號、md5之後的密碼

4.請求提交至後端，驗證賬號與密碼是否與資料庫中的一致，一致則認為登入成功，反之失敗。

有什麼問題呢？

上述流程看似安全，認為傳輸過程中的密碼是md5之後的，即使被監聽擷取到，由於md5的不可逆性，密碼明文也不會洩露。其實不然！監聽者無需解密出密碼明文即可登入！監聽者只需將監聽到的url（如：http://****/login.do?method=login&password=md5之後的密碼&userid=登入賬號）重放一下，即可冒充你的身份登入系統。

稍微安全點的方式

1.進入登陸頁面時，生成一個隨機碼（稱之為鹽值），在客戶端頁面和session中各儲存一份。

2.客戶端提交登入請求時，將md5之後的密碼與該隨機碼拼接後，再次執行md5，然後提交（提交的密碼=md5(md5(密碼明文)+隨機碼)）。

3.後端接收到登入請求後，將從資料庫中查詢出的密碼與session中的隨機碼拼接後，md5運算，然後與前端傳遞的結果進行比較。

為何要這樣？

該登入方式，即使登入請求被監聽到，回放登入URL，由於隨機碼不匹配（監聽者的session中的隨機碼與被監聽者的session中的隨機碼相同概率可忽略），無法登入成功。

該登入方式，由於傳輸的密碼是原密碼md5之後與隨機碼再次md5之後的結果，即使監聽者採用暴力破解的方式，也很難解密出密碼明文。

更進一步

考慮到密碼輸入的方便性，好多使用者的密碼都設定的很短，並且不夠複雜，往往是6位數字字母組合，這樣的密碼md5之後儲存到資料庫，一旦資料庫資料洩露，簡單密碼的md5結果很容易通過暴力破解的方式給解密出來，何況md5出現了這麼多年，可能已經有不少字典了！同時為了方便使用者登入的方便性，我們的系統一般不可能要求使用者設定很長、很複雜的密碼！怎麼辦？加固定鹽值。1.系統設定一個固定的鹽值，該鹽值最好足夠複雜，如:[email protected]#$%^&qqtrtRTWDFHAJBFHAGFUAHKJFHAJHFJHAJWRFA

2.使用者註冊、修改密碼時，將使用者的原始密碼與我們的固定鹽值拼接，然後做md5運算。

3.傳遞至後端，儲存進資料庫（資料庫中儲存的密碼是使用者的原始密碼拼接固定鹽值後，md5運算後的結果）。

4.登入時，將使用者的原始密碼與我們的固定鹽值進行拼接，然後做md5運算，運算後的結果再拼接上我們的隨機碼，再次md5運算，然後提交。

5.後端接收到登入請求後，將從資料庫中查詢出的密碼與session中的隨機碼拼接後，md5運算，然後與前端傳遞的結果進行比較。

再再進一步

1.加登入驗證碼，可預防人為地暴力登入破解

2.賬戶鎖定，如果使用者密碼輸入錯誤次數達到一定量後（如6次），則可以鎖定該賬號