短信业务 防恶意攻击解决方案

一、方案概述

短信验证码接口被恶意攻击，不仅会会造成大额的短信服务费用，更会对用户造成骚扰，引起投诉，降低公司形象。

二、系统涉及短信业务场景

略。

三、恶意攻击的途径

由于裸露短信发送接口的漏洞，恶意攻击短信验证码接口的主要途径有，一是其他应用偷用接口调用发送短信；二是通过接口工具，导入手机号码库，批量调用短信验证码发送，若使用后者，造成的影响是相当大的。

四、详细解决方案

（一）增加行为式验证码
将行为式验证码和短信验证码校验进行绑定，当用户输入手机号码以后，需要输入图形校验码才可以发送短信，这样能比较有效的防止软件恶意点击。常见的行为验证方式主要有：智能无感知、滑动拼图、文字点选、图标点选、图文验证码等，文字点选验证方式如下图1所示。

图1 文字点选验证方式
结合实际业务，目前更为方便的是采取图文验证码防止短信恶意攻击，通过输入大小写正确的字符串和图片所展示的图文进行比对校验，比对成功才能进行下一步的获取短信验证码操作，图文验证码原型图如下图2所示。

（二）IP请求次数限制和黑名单

根据当前的业务特点，设置每个IP每天的最大发送量。在服务器端限制单个IP在单位时间内的请求次数，一旦用户请求次数(包括失败请求次数)超出设定的阈值，则暂停该IP一段时间内的请求。若IP访问请求次数过多，可以将IP加入黑名单，禁止该IP的访问请求。该措施能限制同一个IP地址的大量请求，避免攻击者通过同一个IP对大量用户进行攻击。这样做，增加了攻击难度，保障了业务的正常开展。具体的业务处理可以使用过滤器统计用户访问次数，记录访问时间、封禁时间。使用监听器来作为工程运行时初始化IP存储器。
（三）屏蔽短信验证码页面的链接
在短信验证码页面使用 JS 屏蔽分享和复制链接功能，防止链接被人恶意调用和攻击。
（四）接口加密
对外开发的API接口都会面临一些安全问题。利用API接口签名能方便的防范这些安全问题和风险。针对短信验证码接口的恶意攻击也同样适用。根据访问中的签名信息验证访问请求者身份进而来防止恶意攻击。
具体使用AccessKeyID和AccessKeySecret对称加密验证实现。其中AccessKeyID是访问者身份，AccessKeySecret是加密签名字符串和服务器端验证签名字符串的密钥。