<tr id="ieeco"><small id="ieeco"></small></tr>
<acronym id="ieeco"></acronym>

阿里云短信通道被人惡意刷了幾萬條短信,怎么辦?(短信接口被盜刷系列3)

公司的商城網站剛上線運營不到一個星期,網站就被攻擊了,導致公司網站的短信通道被人惡意刷了幾萬條短信,損失較大,同時服務器也遭受到了前所未有的攻擊。CPU監控看到網站在被盜刷短信驗證碼的時候,CPU一直保持在%95,網站甚至有些時候都無法打開。

網站被攻擊后我登錄了阿里云進去看了下,受到了很多阿里云提示的安全提醒,阿里云竟然沒有給我攔截,我打電話咨詢阿里云,阿里云竟然說我沒有購買他們的云防火墻,阿里云客服還一再的推銷讓我們公司購買他們的云防火墻來防止短信驗證碼攻擊,本身我也是做技術出身的,還是懂一些代碼以及安全方面的,公司領導立即開會研究這個問題該如何解決,任命我帶頭負責處理此次的安全問題。

在這里插入圖片描述
首先關于網站短信驗證碼被盜刷,從多個層面去分析漏洞產生的原因,基礎帶寬線路層,服務器層,網站層,三個方面去分析解決問題。

基礎帶寬應用層是:像DDOS,CC,帶寬流量的攻擊屬于基礎帶寬,如果網站遭受到攻擊,網站打不開,打開無法顯示一般都是基礎帶寬應用層受到了攻擊,防御辦法也是通過高防服務器的硬防來防止攻擊,但是也會造成誤封。

服務器層面,服務器被攻擊的話,一般也會造成短信驗證碼盜刷,攻擊者入侵服務器,并在服務器里直接與短信驗證碼平臺通信發送數據,多頻率的發送,修改數據庫,都會造成短信驗證碼的盜刷。

網站層,經過多年的技術開發與安全接觸,短信驗證碼被盜刷,都是網站存在漏洞導致的,尤其寫的代碼并沒有對請求的次數,以及請求的函數,請求IP,進行安全過濾,這次公司商城網站被盜刷短信很大一部分原因是代碼上的漏洞,代碼開發有問題,先從代碼入手查看問題,檢查了所有關于獲取短信驗證碼調用的代碼,在一個會員找回密碼功能這里,我們發現了問題,代碼里竟然沒有對請求的次數,頻率,IP,進行限制,導致攻擊者利用該頁面功能,POST偽造函數多次請求找回密碼頁面,導致短信被刷,瞬時間服務器都會遭受壓力,CPU達到百分之95.針對這個漏洞,我們對代碼漏洞進行了修復,限制請求次數,頻率,手機號碼唯一性判斷,IP判斷驗證等等的安全策略來阻止短信驗證碼被盜刷。

至此短信被盜刷的問題得以解決,網站代碼的開發環節真的很重要,在網站上線之前一定要對網站的安全進行測試,許多程序員在開發代碼的時候只顧功能并不會考慮到安全問題,甚至有些程序員的安全意識很薄弱,導致代碼出現sql注入漏洞,XSS跨站漏洞,數據庫漏洞,等等問題,如果不懂如何修復網站漏洞,也可以找專業的網站安全公司來處理,國內也就Sinesafe和綠盟、啟明星辰等安全公司比較專業.

專家點評:
該方案雖然短期解決了,但還是存在被繼續攻擊的可能, 攻擊者只需要使用代理ip,不停變換手機號。同時,即使增加圖形驗證碼在AI面前也形同虛設, 但新昕科技的企業短信防火墻方案則可以完美解決。

相關閱讀 :

短信接口被惡意調用?企業短信防火墻+【中昱維信】短信驗證碼【Java】
小豆社?!干绫4U」短信接口被盜刷解決方案-企業短信防火墻

weixin_44549063 風控大牛
已標記關鍵詞 清除標記
相關推薦
彩票送彩金