企業(yè)面對短信接口惡意攻擊時，應(yīng)該如何處理和預(yù)防？

      發(fā)送短信驗證碼時，如果系統(tǒng)有檢測到發(fā)送異常的短信驗證碼，會在近期對發(fā)送短信驗證碼的情況進行分析，比如發(fā)送頻率相同的手機號，發(fā)送頻率和某個時間段持續(xù)時間等。如果出現(xiàn)短信驗證碼的界面是被惡意攻擊的，首先要確定被攻擊短信驗證碼接口的地址，以及攻擊模式，那么企業(yè)面對惡意攻擊還如何處理和預(yù)防呢？互億無線為你介紹。

      一、添加圖形驗證機制
      設(shè)置一天內(nèi)發(fā)送到同一手機號碼的驗證碼總量的限制，如果手機號碼連續(xù)2-3天具有相同短信驗證碼請求行為，則直接添加到黑名單。
      由于這種攻擊涉及不同的業(yè)務(wù)場景，所以我們進行不同的處理，在注冊頁面中添加圖形驗證代碼機制，并對忘記的密碼頁面進行逐步驗證。我們首先驗證用戶名密碼，成功之后在發(fā)送短信驗證碼。
      安全圖形驗證碼必須滿足以下防護要求:
      1.生成過程安全性:圖片驗證代碼必須在服務(wù)器端進行產(chǎn)生與校驗；
      2.使用過程安全:單次有效并受用戶驗證要求為準(zhǔn)；
      3.驗證碼自我安全：不易被識別工具識別，能有效防止暴力破解。
      二、單個IP請求數(shù)量限制
      在短信驗證碼接入圖片驗證碼之后，可以有效防止攻擊者進行動態(tài)短信功能自動化的調(diào)用。但是，如果攻擊者忽略了圖片驗證碼錯誤的情況，大量的執(zhí)行請求會給服務(wù)器帶來額外的負(fù)擔(dān)，影響業(yè)務(wù)的使用。建議限制服務(wù)器端單個IP在單位時間內(nèi)的請求數(shù)量，當(dāng)請求數(shù)量（包括失敗的請求）超過設(shè)置的閾值時，暫停對該IP一段時間的請求。如果情況特別嚴(yán)重，可以將IP列入黑名單，并禁止對該IP的訪問請求。該措施可以限制對IP地址的大量請求，避免攻擊者通過同一IP攻擊大量用戶，增加攻擊難度，保證業(yè)務(wù)的正常進行。
      手機號碼限制：根據(jù)業(yè)務(wù)特點，限制每個手機號碼每天的最大使用量。
      限制發(fā)送時間間隔：這種限制已經(jīng)非常普遍，也就是說，當(dāng)單個用戶請求發(fā)送動態(tài)短信時，服務(wù)器端限制只能在一定時間（這里通常是60秒）之后發(fā)出第二個動態(tài)短信請求。該功能可以進一步保障用戶體驗，避免人工攻擊惡意發(fā)送垃圾驗證短信。
流程限制：如果類似于忘記密碼的功能頁面，我們可以將短信驗證碼和用戶密碼設(shè)置分為兩個步驟。設(shè)置用戶密碼后，并需要獲取上一步的成功回執(zhí)后才進行手機驗證碼的發(fā)送。