短信验证码接口被恶意调用，有什么好的防范办法吗？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 2205 天前的主题，其中的信息可能已经有所发展或是发生改变。

上周给网站注册加上了验证码功能，结果昨晚被人恶意调用刷掉了 8000 多条短信，现在还在不间断的攻击，v2 的朋友们有遇到过这种事情吗，后端怎么防范比较好？

验证码

调用

防范

短信

13 条回复 • 2018-11-18 20:09:35 +08:00

hlwjia

2018-11-18 11:22:35 +08:00

额，加一个人机验证码。这不是很普遍的做法了吗？

chnhyg

2018-11-18 11:47:08 +08:00

1. 限制单个手机号时间间隔内调用次数，触发直接 ban 一定时间。
2. 限制单个手机号当日调用次数，触发直接 ban 一定时间。
3. 限制单个手机号每次调用间隔。
4. 限制单个 IP 时间间隔内调用次数，触发直接 ban 一定时间。
5. 增加验证码机制。

indexq

2018-11-18 11:47:35 +08:00

@hlwjia 谢谢我去看看，之前没弄过这类东西，不太了解

indexq

2018-11-18 11:48:35 +08:00

@chnhyg 嗯，这个到时考虑过，主要是号码都是不同的，这点比较烦，估计限制 ip 是个办法，准备加个验证机制

caola

2018-11-18 13:41:37 +08:00

恭喜，你已成功接入 XX 轰炸机的短信下发通道！

hundan

2018-11-18 15:38:54 +08:00 via Android

普遍的做法限制 ip 和对应号码的每日调用次数辅以滑动验证码

KgM4gLtF0shViDH3

2018-11-18 16:02:59 +08:00 via iPhone

只有验证码能解决，限制单个没用，人家直接遍历所有手机号，限制 ip 应该有点用

indexq

2018-11-18 18:03:21 +08:00

@hundan 号码每日次数限制这个有，看日志基本都是不同的号码

rogwan

2018-11-18 18:38:42 +08:00 via Android

把 IP，时间频率，发送失败，重复请求，消息延迟，空号错误这些情况都考虑进去，写一个过滤器。

o00o

2018-11-18 18:39:51 +08:00 via Android

放微信里面验证

mornlight

2018-11-18 18:46:47 +08:00

加验证码呀，你使用的短信平台没要求？短信轰炸被用户投诉会导致整个短信通道被屏蔽。

dot2017

2018-11-18 19:35:42 +08:00

先通过人机验证，再允许发手机验证码

agdhole

2018-11-18 20:09:35 +08:00 via Android

腾讯 007 防水墙？