第11节: 安全攻防知识

常见安全风险现象

短信 - 邮箱轰炸机

1. 定义：通过批量、循环的方式，向目标手机或邮箱发送来自各类网站的注册验证码信息的手段。
2. 初衷与异化：

• • 最初为整治街头广告电话（牛皮癣），通过高频短信使对方手机无法正常使用，遏制城市乱象。
  • 后被灰色产业滥用：不法分子将其作为恶意骚扰工具，例如付费（如 1 天 50 元，5 天打折 300 元）对目标进行轰炸，导致受害者通讯中断，严重影响工作生活。

平台刷量乱象

1. 表现：朋友圈、社群中常见某音、某微信等平台的点赞、刷粉等业务，背后是大量僵尸账号的自动化操作。
2. 根源：平台初期账号体系安全防护不足，被灰色产业盯上 —— 新平台或功能上线时安全较弱，不法分子大量注册账号刷量，甚至让公司被 “用户指数级增长” 的假象迷惑。
3. 行业现状：即便是 BAT 等大厂，其几十亿甚至几百亿账号中，也存在不少僵尸号。

风险背后的原理

轰炸原理

基于网站 / 平台的验证码机制（填写手机号 / 邮箱→发送验证码→完成验证），攻击流程如下：

• 寻找大量 “肉鸡网站” 的验证码发送接口，或通过自动化 UI 工具触发发送；
• 编写程序和调度任务，将脚本录入数据库；
• 输入目标手机号 / 邮箱，触发批量发送攻击。

刷量原理

利用平台安全漏洞，通过自动化脚本批量注册账号，再对目标进行点赞、关注等操作，核心在于绕过平台的账号验证和行为限制。

给企业带来的损失

• 短信轰炸：每条短信成本约 5 分钱，大量盗刷会直接导致经济损失；
• 邮箱轰炸：虽无直接费用，但会占用带宽、连接资源，导致系统瘫痪；
• 刷量行为：破坏平台数据真实性，误导运营决策，还可能引发用户信任危机。

防护手段：如何避免成为 “肉鸡”？

基础防护措施（开发人员主导）

1. 增加验证机制：在注册、登录、发送验证码等关键环节加入图形验证码，阻挡简单自动化脚本。
2. 限制请求频率：

• • 对单 IP 地址的请求次数进行限制，防止短时间内大量重复操作；
  • 针对短信场景，由服务商配合限制单个号码的发送频率和总量。

攻防的本质：没有一劳永逸，只有动态平衡

• 验证码可被图像识别技术破解，IP 限制可通过租用代理 IP 规避，不存在绝对安全的方案。
• 防护的核心是加大攻击者的成本：当攻击的投入与收益（ROI）不成正比时，攻击者自然会放弃。
• 攻防对抗是持续过程，需不断根据攻击手段调整策略，动态优化防护逻辑。