获取短信验证码接口存在短信资源消耗漏洞

乐悠777

已于 2023-08-20 21:32:43 修改

阅读量633

点赞数

分类专栏：遇到的bug 文章标签：微信 spring cloud java spring boot 小程序 redis

于 2023-07-16 17:59:50 首次发布

本文链接：https://blog.csdn.net/weixin_45979191/article/details/131753027

版权

文章讨论了短信验证码接口存在的安全漏洞，即无请求频率限制导致的短信资源耗尽。为解决此问题，提出了限制单个用户接口请求频率和引入图形验证码的策略。图形验证码通过Redis缓存管理，确保一次性有效，并在代码示例中展示了其实现过程，同时对同一IP地址的请求进行了限制，以防止恶意攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

获取短信验证码接口存在短信资源消耗漏洞

用户登录发送手机验证码接口未做请求频率限制，存在短信资源消耗漏洞，消耗目标系统的短信资源。这可能导致用户无法接收重要的短信，如验证码、一些通知等，给用户造成不便和安全风险。

获取短信验证码接口：

接口只限制针对单个手机号的短信发送限制，
可遍历全国手机号码发送短信，短时间内消耗大量短信，
给集团信誉和系统正常运行造成影响。

解决方案：

针对单个用户的接口请求频率进行限制，加入图形化验证码机制。

图形验证码：

1、使用redis缓存，设置key为手机号加随机uuid，将手机号与验证码绑定起来，一个验证码仅对一个手机号使用。
2、使用redis缓存，图形验证码校验正确或验证错错误，都将redis中该手机号对应的验证码删除，保证图形验证码的一次性失效。

使用jar包：hutool-all-5.8.1.jar

@GetMapping("/create/{uid}/{phone}")
@ApiOperation("获取图形验证码")
public void getPicCode(@NotBlank(message = "uid不能为空") @PathVariable String uid, @NotBlank(message = "手机号不能为空") @PathVariable String phone,HttpServletRequest request, HttpServletResponse response){
   
    userService.createImage(uid,phone,request,response);
}

注意：
a、获取图形验证码接口需要在资源配置类中给路径放行，不需要token即可调用。
b、需要使用GET请求方式，路径参数，这样前端才能接收到返回的图片验证码地址

@Override
public void createImage(String uid,String phone, HttpServletRequest request, HttpServletResponse response) {
   
    if (phone == null){
   
        throw new BusinessException(ErrorStatus.INTERNAL_SERVER_ERROR, "手机号不能为空！");
    }
    ShearCaptcha shearCaptcha = CaptchaUtil.createShearCaptcha(100, 25, 3, 1);
    ServletOutputStream outputStream = null ;
    try {
   
        shearCaptcha.setFont(new Font("微软雅黑",Font.PLAIN

最低0.47元/天解锁文章