搜索

[930] 2019-09-17_如何防止短信API接口遍历

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2019-09-17_如何防止短信API接口遍历 如 何 防 止 短 信 A P I 接 口 遍 历 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 9 - 1 7 短 信 A P I 接 口 在 w e b 中 得 到 越 来 越 多 的 应 用 ， 如 用 户 注 册 ， 登 录 ， 密 码 重 置 等 业 务 模 块 都 会 使 用 手 机 验 证 码 进 行 身 份 验 证 。 一 般 情 况 下 ， 我 们 会 采 用 这 样 的 安 全 策 略 ， 将 短 信 发 送 频 率 限 制 在 正 常 的 业 务 流 控 范 围 内 ， 比 如 ， 一 个 手 机 号 一 天 最 多 下 发 1 0 条 短 信 ， 同 时 限 制 时 效 ， 验 证 次 数 。 但 这 样 的 策 略 ， 攻 击 者 通 过 遍 历 手 机 号 ， 还 是 阻 止 不 了 短 信 资 源 被 消 耗 的 情 况 。 如 何 防 止 短 信 a p i 接 口 遍 历 呢 ？ 在 平 时 浏 览 网 站 的 时 候 ， 我 会 稍 微 留 意 一 些 网 站 是 怎 么 做 的 ， 并 记 录 了 一 些 短 信 A P I 接 口 防 遍 历 的 技 术 实 现 方 式 。 第 一 种 方 式 ： 第 一 种 方 式 ： 白 名 单 白 名 单 这 是 最 简 单 的 一 种 方 式 ， 但 应 用 场 景 有 限 ， 比 如 ， 在 一 些 内 部 应 用 系 统 （ 从 H R 系 统 或 其 他 系 统 同 步 手 机 号 过 来 验 证 ） ， 此 时 ， 只 需 要 验 证 是 否 为 内 部 员 工 手 机 号 ， 如 不 是 ， 直 接 提 示 非 内 部 员 工 手 机 号 ； 如 是 ， 再 执 行 短 信 a p i 流 控 策 略 。 第 二 种 方 式 ： 第 二 种 方 式 ： 验 证 码 （ 推 荐 ） 验 证 码 （ 推 荐 ） 用 户 点 击 获 取 短 信 验 证 码 的 时 候 ， 弹 出 图 形 验 证 码 进 行 验 证 ， 同 时 发 送 图 形 验 证 码 和 手 机 号 码 到 后 台 验 证 。 当 然 ， 这 种 方 式 用 户 体 验 极 差 ， 每 次 都 需 要 手 动 需 要 图 片 验 证 码 才 能 发 送 手 机 验 证 码 ， 于 是 ， 有 了 进 一 步 的 优 化 方 案 ， 从
用 户 体 验 和 安 全 角 度 出 发 ， 可 设 计 为 当 用 户 输 入 3 次 错 误 手 机 验 证 码 后 自 动 弹 出 验 证 码 。 还 有 另 外 一 种 方 式 ， 采 用 当 下 比 较 流 行 的 滑 块 验 证 或 点 选 验 证 方 式 ， 用 户 体 验 也 会 有 所 改 善 。 第 三 种 方 式 ： 第 三 种 方 式 ： 接 口 加 密 接 口 加 密 ( 不 推 荐 不 推 荐 ) 前 端 与 后 台 协 商 好 加 密 方 式 ， 比 如 m d 5 ( t i m e s t a m p + t e l p h o n e + s a l t ) ， 前 台 发 起 请 求 时 ， 同 时 发 送   t i m e s t a m p 、 t e l e p h o n e 、 s i g n 参 数 ， 后 台 接 收 这 些 参 数 ， 按 照 协 商 好 的 加 密 方 式 生 成 一 个 校 验 值 与 s i g n 进 行 对 比 ， 如 果 错 误 ， 则 不 处 理 。 另 外 ， j s 代 码 混 淆 + 短 信 a p i 业 务 流 控 限 制 。 风 险 点 ： 虽 然 做 了 代 码 混 淆 ， 但 j s 加 密 算 法 一 旦 泄 漏 ， 并 不 是 一 种 安 全 的 措 施 ， 但 也 是 一 种 比 较 容 易 实 现 的 技 术 方 案 。 客 户 端 a j a x 代 码 实 现 ： 以 上 ， 是 三 种 常 见 的 预 防 短 信 a p i 接 口 遍 历 的 技 术 实 现 方 案 。 我 创 建 了 一 个 免 费 的 知 识 星 球 ， 主 要 用 于 技 术 问 题 探 讨 。 我 将 这 个 问 题 发 表 在 知 识 星 球 ， 得 到 了 不 少 星 友 的 热 情 回 应 ， 以 下 摘 录 一 些 星 友 们 的 看 法 。 @ 超 人 ： 限 制 i p 有 可 能 误 伤 同 一 局 域 网 下 的 用 户 ， 最 好 是 登 陆 后 允 许 发 送 ， 限 制 用 户 的 发 送 次 数 @ 密 因 ： 同 一 手 机 号 ， 6 0 秒 内 不 能 重 复 发 送 ， 2 4 小 时 内 总 共 发 送 不 超 过 5 次 ； 2 个 及 以 上 手 机 号 ， 通 过 识 别 客 户 端 特 征 ， 出 口 i p ， 随 机 字 符 串 ， 判 定 是 否 为 同 一 用 户 ， 对 同 一 用 户 使 用 限 制 措 施 。 或 者 设 定 略 高 于 平 常 请 求 数 的 基 线 ， 如 日 常 1 分 钟 1 0 0 个 短 信 请 求 ， 基 线 设 置 为 1 5 0 ， 1 分 钟 内 超 过 1 5 0 次 之 外 的 请 求 丢 弃 。 @ A n t a r e s ： 限 制 每 个 I P 、 帐 号 每 天 的 请 求 频 率 和 数 量 ， 对 请 求 参 数 做 签 名 校 验 ， 防 止 请 求 重 放 @ A d l e r ： 在 获 取 验 证 码 前 加 验 证 ， 然 后 黑 名 单 屏 蔽 虚 拟 号 ， 限 制 每 个 I P 一 定 时 间 内 的 请 求 数 和 限 制 每 个 手 机 号 请 求 的 总 次 数 。 v a r   t i m e s t a m p   =   ( n e w   D a t e ) . g e t T i m e ( ) ; v a r   s i g n   =   m d 5 ( t i m e s t a m p + t e l e p h o n e + " q w e r t y u i o p a s d f g h j k l " ) ; a j a x . p o s t ( { ' u r l ' :   ' / s m s _ c a p t c h a / ' , ' d a t a ' : { ' t e l e p h o n e ' :   t e l e p h o n e , ' t i m e s t a m p ' :   t i m e s t a m p , ' s i g n ' :   s i g n } , . . . . . . . . . . .
@ y d ： 一 般 都 是 限 制 i p 在 时 间 段 内 请 求 次 数 ， 限 制 同 一 手 机 号 发 送 次 数 ， 加 图 形 或 滑 动 等 验 证 码 。 @ M r . 周 ： 设 置 请 求 上 线   屏 蔽 虚 拟 号 码 段 。 @ c h 4 c e ： 我 们 限 制 了 I P 地 址 ， 虽 然 这 样 不 是 最 好 的 解 决 方 案 。 @ L o k i ： 我 个 人 感 觉 ， 首 先 确 保 发 送 短 信 验 证 码 的 逻 辑 是 正 确 的 ， 然 后 可 以 根 据 业 务 的 重 要 程 度 决 定 是 用 安 全 产 品 ， 还 是 自 己 开 发 人 机 识 别 功 能 。 1 0 2 4 ： 人 机 验 证 ， 设 备 号 ， 帆 布 指 纹 ，   i p 。 c o r p 0 r a 1 ： 如 果 可 以 的 话 ， 匹 配 用 户 名 ? 掉 到 鱼 缸 里 的 猫 ： 限 制 同 I P 请 求 次 数 。 z x t ： 每 个 用 户 一 天 或 者 一 个 小 时 只 允 许 三 个 验 证 码 ， 同 i p 每 天 只 允 许 三 个 用 户 获 取 验 证 码 。 这 种 模 式 比 较 常 用 。 这 是 一 个 免 费 的 星 球 ， 诚 邀 你 的 加 入 这 是 一 个 免 费 的 星 球 ， 诚 邀 你 的 加 入 ! 点 击 本 文 末 尾 的 点 击 本 文 末 尾 的 “ 阅 读 原 文 阅 读 原 文 ” ， 即 可 进 入 星 球 查 看 。 ， 即 可 进 入 星 球 查 看 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理