網絡安全-API接口攻擊

原文

github.com/CodeLittleP…

前言

相信不少網站都會遇到也不知道是誰，毫無目的刷網站的接口的事情。 尤爲是短信接口，好像全部網站都會被人刷接口，十有八九都是短信接口的提供商找人乾的。。。 其次，登陸接口也是常常被刷地方，由於能夠被破壞者用來爆破用戶的密碼。 而後，註冊接口也是，不過由於國家強制要求手機號註冊的緣由，如今還好刷註冊接口很難了。

防護方式

一、監控異常ip，發現異常ip，直接封ip（這種方法要是遇到使用肉雞刷的人就沒什麼辦法了） 二、使用驗證碼（這種方法缺點就是下降用戶體驗） 在實際項目中，這兩種防護方式會一塊兒使用。

這兩種防護方式一樣應用在爬蟲的防護上。 因爲驗證碼這東西市面上有不少種，而好的交互和用戶的體驗息息相關，那麼，如今有哪些種類的驗證碼呢，咱們又該怎麼選擇呢？

驗證碼分類

一、圖形驗證碼（已淘汰）

缺點：用戶體驗差；攻擊者能夠用圖像識別算法識別字母

二、座標驗證碼（不推薦）

缺點：用戶體驗差；一樣能夠經過算法識別，而後模擬點擊定位

三、滑塊驗證碼

前幾年比較火，幾乎全部大網站都用了這種方法，可是也有問題 缺點：要是攻擊者有了整套的圖片資源，也能破解。極驗驗證碼以前就由於滑塊圖片泄露，致使不少用他們家服務的網站被攻擊了。後來他們緊急更新了滑塊包和SDK（偷偷地），當時咱們CTO打電話給他們纔給咱們說他們滑塊資源被盜了，竟然不也通知咱們，咱們問了才說，形成了公司的損失，浪費了人員的精力。

四、無感知驗證碼

最爲表明性的就是谷歌的reCAPTCHA了，可是畢竟是谷歌服務，國內用起來仍是很雞肋的。 不過，國內也有了這樣的解決方案，好比極驗就出了這項雲服務了，不過名字叫作「智能驗證碼」。

總結

無感知驗證碼能夠說是目前最好的驗證碼解決方案了。 然而不少公司仍是停留在圖形驗證碼的階段 ╮(╯_╰)╭