一、什么是短信轰炸（短信接口被刷） 短信轰炸一般基于 WEB 方式(基于客户端方式的原理与之类似)，由两个模块组成，包括:一个前端 Web 网页，提供输入被攻击者手机号码的表单；一个后台攻击页面(如 PHP)，利用从各个网站上找到的动态短信 URL 和 前端输入的被攻击者手机号码，发送 ...

本文转自：https://zhuanlan.zhihu.com/p/20879468 一、什么是短信轰炸（短信接口被刷） 短信轰炸一般基于 WEB 方式(基于客户端方式的原理与之类似)，由两个模块组成，包括:一个前端 Web 网页，提供输入被攻击者手机号码的表单；一个后台攻击页面 ...

鉴于之前遇到过短信接口被刷的问题，解决的不是很好。现发现一篇如此高质量博客，特此收藏分享~ 一、什么是短信轰炸（短信接口被刷）   短信轰炸一般基于 WEB 方式(基于客户端方式的原理与之类似)，由两个模块组成，包括:一个前端 Web 网页，提供输入被攻击者手机号码的表单；一个后台 ...

限制每个手机的每天短信发送条数 针对不同的IP限定发送次数 发送验证码需要有时间间隔，时间控制在60秒左右，而且这个时间间隔的判断最好不要单单在前台判断，最后后台也存一个session的记录，因为别人如果是通过代码去刷的话，会直接跳过前台的页面操作 使用画布验证码，这个也是最简单 ...

真实案例： 查看nginx日志，发现别有用心的人恶意调用API接口刷短信： 思考了几种方案，最终考虑使用ip黑名单的方式： 处理方法： 一、nginx黑名单方式： 1、过滤日志访问API接口的IP，统计每10分钟调用超过100次的IP，直接丢进nginx的访问黑名单 ...

为了防止爬虫以及恶意请求，我们适当的为API增加一个请求限制 WebApiThrottle限流框架 WebApiThrottle支持自定义配置各种限流策略。可以根据不同场景配置多个不同的限制，比如授权某个IP每秒、每分钟、每小时、每天、每周的最大调用次数。 这些限制策略可以配置 ...

行破坏。还有许多黑客会使用F12或postman等拼装ajax请求，将非法数据发送给后台，造成程序的报 ...

结合业务，判单哪个ip是恶意的，每当一个ip访问接口，按照代码返回码，如果是都是错误请求，添加到red ...