阿里云短信通道被人恶意刷了几万条短信，怎么办？（短信接口被盗刷系列3）

公司的商城网站刚上线运营不到一个星期，网站就被攻击了，导致公司网站的短信通道被人恶意刷了几万条短信，损失较大，同时服务器也遭受到了前所未有的攻击。CPU监控看到网站在被盗刷短信验证码的时候，CPU一直保持在%95，网站甚至有些时候都无法打开。

网站被攻击后我登录了阿里云进去看了下，受到了很多阿里云提示的安全提醒，阿里云竟然没有给我拦截，我打电话咨询阿里云，阿里云竟然说我没有购买他们的云防火墙，阿里云客服还一再的推销让我们公司购买他们的云防火墙来防止短信验证码攻击，本身我也是做技术出身的，还是懂一些代码以及安全方面的，公司领导立即开会研究这个问题该如何解决，任命我带头负责处理此次的安全问题。

首先关于网站短信验证码被盗刷，从多个层面去分析漏洞产生的原因，基础带宽线路层，服务器层，网站层，三个方面去分析解决问题。

基础带宽应用层是：像DDOS，CC,带宽流量的攻击属于基础带宽，如果网站遭受到攻击，网站打不开，打开无法显示一般都是基础带宽应用层受到了攻击，防御办法也是通过高防服务器的硬防来防止攻击，但是也会造成误封。

服务器层面，服务器被攻击的话，一般也会造成短信验证码盗刷，攻击者入侵服务器，并在服务器里直接与短信验证码平台通信发送数据，多频率的发送，修改数据库，都会造成短信验证码的盗刷。

网站层，经过多年的技术开发与安全接触，短信验证码被盗刷，都是网站存在漏洞导致的，尤其写的代码并没有对请求的次数，以及请求的函数，请求IP，进行安全过滤，这次公司商城网站被盗刷短信很大一部分原因是代码上的漏洞，代码开发有问题，先从代码入手查看问题，检查了所有关于获取短信验证码调用的代码，在一个会员找回密码功能这里，我们发现了问题，代码里竟然没有对请求的次数，频率，IP，进行限制，导致攻击者利用该页面功能，POST伪造函数多次请求找回密码页面，导致短信被刷，瞬时间服务器都会遭受压力，CPU达到百分之95.针对这个漏洞，我们对代码漏洞进行了修复，限制请求次数，频率，手机号码唯一性判断，IP判断验证等等的安全策略来阻止短信验证码被盗刷。

至此短信被盗刷的问题得以解决，网站代码的开发环节真的很重要，在网站上线之前一定要对网站的安全进行测试，许多程序员在开发代码的时候只顾功能并不会考虑到安全问题，甚至有些程序员的安全意识很薄弱，导致代码出现sql注入漏洞，XSS跨站漏洞，数据库漏洞，等等问题，如果不懂如何修复网站漏洞，也可以找专业的网站安全公司来处理，国内也就Sinesafe和绿盟、启明星辰等安全公司比较专业.

专家点评：
该方案虽然短期解决了，但还是存在被继续攻击的可能，攻击者只需要使用代理ip，不停变换手机号。同时，即使增加图形验证码在AI面前也形同虚设，但新昕科技的企业短信防火墙方案则可以完美解决。

阿里云短信通道被人恶意刷了几万条短信，怎么办？（短信接口被盗刷系列3）相关推荐

阿里云首席科学家周靖人：数据智能引领产业变革
10月24日(1024),是开发者的节日. 云栖社区也准备了一份特别的礼物:<2016杭州云栖大会回顾专题>,共计325+份PDF下载,100+场峰会与分论坛视频点播的专题送给大家! 也欢 ...
2023百度统计被人恶意刷广告解决办法
百度统计被人恶意刷广告相信很多站长都经历过,很多朋友都拿他们没办法.虽然对网站没有什么影响,不过看着他们刷的那些广告也实在是恶心人. 小编我呢也测试过很多种方式进行屏蔽,不过都没有效果,网上现在最多的 ...
【阿里云资讯】澎湃专访阿里云首席科学家周靖人：中国数据创新很可能引领世界...
[8月22日讯]在云栖大会上·北京峰会上,阿里云人工智能ET首次亮相.ET这段模仿阿里巴巴董事局主席马云的讲话腔调逗乐了在场观众. 点击图片观看视频阿里云首席科学家大数据平台和人工智能研究机构 i ...
围观阿里云最会赚钱的人！价值2万元邀请码不限量发送
听说云大使们发工资了,小编已经在论坛里看见有人迫不及待晒收入了各位大使们,小编求抱大腿请各位回复本帖晒出自己4月收入截图,即可赢取价值2万元的阿里云免费邀请码(30多种云产品6个月的使用期限) ( ...
阿里云相关——高速通道
1.定义阿里云高速通道可在本地数据中心----云上专有网络间建立高速.稳定.安全的私网通信.通过专线将您的本地内部网络连接到阿里云的接入点.一端接到本地的网关设备,另一端接到高速通道的边界路由器. ...
php系统5000块钱的短信，两天被刷完了，短信接口被恶意盗刷怎么办？（短信接口被盗刷系列４）
在php聊天群里,有位同学说他们的5000块钱的短信,两天被刷完了!,问群里大佬怎么办! 就一般的防止短信验证盗刷而言(通过修改手机号修改验证码),我们通常的防止短信被滥发,就是 (1)限制每个手机 ...
07-整合阿里云oss用户认证就诊人CRUD平台统一管理用户
文章目录一.整合oss 1.注册开通阿里云oss 2.获取我们必须的参数 3.进入JavaSDK学习使用上传文件 (1)引入依赖 (3)文件上传(流式文件上传) 4.项目整合OSS (1)创建OSS ...
阿里云、腾讯云实人认证（身份证、人脸图像比对）
调用第三方API,实现实名认证的功能. 阿里云实名认证首先,导入maven依赖 <dependency><groupId>com.aliyun</groupId> ...
我们公司的短信接口被刷了，瞬间损失两万，怎么解决？（短信接口被盗刷系列1）
1 我们公司的短信接口被刷了,瞬间损失两万前两天的中午像往常一样热,太阳不知疲倦的在天空燃烧,热跑了云彩和鸟儿,马上就要点燃空气和我的脑神经.为我和电脑降温的,是我简陋的书桌上的小电扇,没有它的话, ...
攀钢集团开始使用阿里云ET工业大脑，预计节省成本超1000万
5月8日,攀钢集团.阿里云.积微物联达成合作协议,三方将以阿里云为技术载体,以积微物联为平台,以攀钢集团为场景试点,深化ET工业大脑在钢铁生产领域的应用. 工业大脑将深入钢铁生产核心环节,大大降低钢铁 ...

阿里云短信通道被人恶意刷了几万条短信，怎么办？（短信接口被盗刷系列3）

阿里云短信通道被人恶意刷了几万条短信，怎么办？（短信接口被盗刷系列3）相关推荐

最新文章

热门文章