MyException - 我的异常网
当前位置:我的异常网» 信息/网络安全 » 简析短信空袭给平台注册场景带来的交互安全威胁

简析短信空袭给平台注册场景带来的交互安全威胁

www.MyException.Cn  网友分享于:2013-11-16  浏览:0次
简析短信轰炸给平台注册场景带来的交互安全威胁

大部分的网站和移动应用在注册时使用手机号码作为平台账号,利用短信验证来鉴别手机号是否属于用户本人。因此,我们在各类平台的注册场景经常见到短信验证。然而,这种验证工具背后却暗藏许多安全隐患。其中最主要的一种就是黑产利用各类平台的短信验证接口进行短信轰炸。

短信轰炸造成短信通道阻塞、企业品牌形象受损、短信费用被大量恶意消耗等负面影响,若被用户投诉,还将导致短信接口封禁,直接影响网站正常业务。

下面将详细给大家介绍短信轰炸的流程以及几种应对方式的分析:

 

何为短信轰炸

短信轰炸是通过各平台获取短信验证码,达到恶意发送垃圾短信的工具。这种“短信炸弹”主要是通过特制的软件不断往一个手机号码发重复的垃圾短信,以达到骚扰目标用户的效果。

一个强大的短信轰炸机能做到每秒发送上百条短信。

 

短信轰炸原理

1.恶意攻击者在前端页面输入被攻击者的手机号

2.短信轰炸后台服务器,将该手机号与互联网收集的可不需要经过认证即可发送动态短信的URL进行组合,形成可发送动态短信的URL请求

3.通过后台请求页面,伪造用户的请求发给不同的业务服务器

4.业务服务器收到该请求后,发送动态短信到被攻击用户的手机上

 

利用短信接口的攻击方式

1.针对某个网站短信接口集中恶意攻击

2.短信轰炸机调用接口

 

短信轰炸实例

以下为下载轰炸软件后多次亲测效果图

APP端轰炸机

Web端轰炸机

 

轰炸结果

攻击之后在5分钟之内连续收到70条信息(部分截图省略)

 

短信轰炸价格

某宝上价格为:

500条20元

1200条50元

2500条100元

开通会员无限制次数150元一年

 

目前解决方式

1.针对单个手机号码每天限定短信发送次数 

解决思路:

每个手机号码每天只允许发送固定数量的短信,那么短信接口就不会被滥用了。

实际效果:

短信轰炸机的工作原理是攻击某个手机号时,攻击程序同时请求无数的短信接口,绝大部分情况下,每个网站的接口都只请求一两次,并不会触发短信发送数量上限。因此这种防护方式并没有什么效果,对于网站来说,看到的仍然是无数的手机号,每个都发送一两条短信,但是无法区分,哪些手机号是真正的用户,哪些是被攻击的号码。

 

2.针对来源ip限制接口请求次数或频率

解决思路:

限定单个ip地址的请求,即使一次攻击多个号码,也可以有效识别。

实际效果:

获取一个ip实在太廉价了,普通家用宽带都可以分分钟通过断开再拨号获取多个ip。网上各种提供代理ip的网站上都有无数的代理ip可以使用,甚至淘宝上还有提供随时拨号的动态vps服务器。

 

3.每条短信发送之前都加上验证码校验

解决思路:

提供正确的验证码,才发送短信,彻底解决脚本问题

实际效果:

普普通通的验证码,通过OCR识别的方式可以瞬间转成文本。稍复杂的验证码也可通过OCR+简单机器学习破解。

 

结语

注册场景作为每个平台的入口,是非常核心的交互场景。保障注册场景的交互安全与交互体验也是每个平台需要不断思考和优化的课题。实际上,各大运营商也专门规定短信验证码必须加上图形验证码的保护。但是传统的图形验证已经不再安全,同时又非常影响用户的交互体验。网站与应用管理者,需要探寻更佳优质的解决方案。而极验的基于深度学习验证安全服务无疑是当下最合适的一种。

文章评论

60个开发者不容错过的免费资源库
60个开发者不容错过的免费资源库
5款最佳正则表达式编辑调试器
5款最佳正则表达式编辑调试器
总结2014中国互联网十大段子
总结2014中国互联网十大段子
为啥Android手机总会越用越慢?
为啥Android手机总会越用越慢?
做程序猿的老婆应该注意的一些事情
做程序猿的老婆应该注意的一些事情
10个调试和排错的小建议
10个调试和排错的小建议
如何成为一名黑客
如何成为一名黑客
2013年美国开发者薪资调查报告
2013年美国开发者薪资调查报告
那些性感的让人尖叫的程序员
那些性感的让人尖叫的程序员
2013年中国软件开发者薪资调查报告
2013年中国软件开发者薪资调查报告
写给自己也写给你 自己到底该何去何从
写给自己也写给你 自己到底该何去何从
老程序员的下场
老程序员的下场
 程序员的样子
程序员的样子
聊聊HTTPS和SSL/TLS协议
聊聊HTTPS和SSL/TLS协议
程序员周末都喜欢做什么?
程序员周末都喜欢做什么?
程序员都该阅读的书
程序员都该阅读的书
每天工作4小时的程序员
每天工作4小时的程序员
我的丈夫是个程序员
我的丈夫是个程序员
10个帮程序员减压放松的网站
10个帮程序员减压放松的网站
程序员和编码员之间的区别
程序员和编码员之间的区别
我跳槽是因为他们的显示器更大
我跳槽是因为他们的显示器更大
那些争议最大的编程观点
那些争议最大的编程观点
当下全球最炙手可热的八位少年创业者
当下全球最炙手可热的八位少年创业者
不懂技术不要对懂技术的人说这很容易实现
不懂技术不要对懂技术的人说这很容易实现
什么才是优秀的用户界面设计
什么才是优秀的用户界面设计
为什么程序员都是夜猫子
为什么程序员都是夜猫子
程序员眼里IE浏览器是什么样的
程序员眼里IE浏览器是什么样的
程序员的鄙视链
程序员的鄙视链
Java 与 .NET 的平台发展之争
Java 与 .NET 的平台发展之争
老美怎么看待阿里赴美上市
老美怎么看待阿里赴美上市
Java程序员必看电影
Java程序员必看电影
一个程序员的时间管理
一个程序员的时间管理
旅行,写作,编程
旅行,写作,编程
程序猿的崛起——Growth Hacker
程序猿的崛起——Growth Hacker
“懒”出效率是程序员的美德
“懒”出效率是程序员的美德
编程语言是女人
编程语言是女人
中美印日四国程序员比较
中美印日四国程序员比较
程序员最害怕的5件事 你中招了吗?
程序员最害怕的5件事 你中招了吗?
团队中“技术大拿”并非越多越好
团队中“技术大拿”并非越多越好
我是如何打败拖延症的
我是如何打败拖延症的
如何区分一个程序员是“老手“还是“新手“?
如何区分一个程序员是“老手“还是“新手“?
科技史上最臭名昭著的13大罪犯
科技史上最臭名昭著的13大罪犯
十大编程算法助程序员走上高手之路
十大编程算法助程序员走上高手之路
代码女神横空出世
代码女神横空出世
亲爱的项目经理,我恨你
亲爱的项目经理,我恨你
Google伦敦新总部 犹如星级庄园
Google伦敦新总部 犹如星级庄园
程序员必看的十大电影
程序员必看的十大电影
“肮脏的”IT工作排行榜
“肮脏的”IT工作排行榜
程序员的一天:一寸光阴一寸金
程序员的一天:一寸光阴一寸金
软件开发程序错误异常ExceptionCopyright © 2009-2015 MyException 版权所有