在上一篇《簡訊驗證碼介面攻擊（簡訊轟炸）原理分析》，我們瞭解了驗證碼簡訊介面遭受簡訊轟炸的原理，本篇將和大家介紹下具體的防護措施。我們知道簡訊轟炸形成的原因是因為非授權的動態簡訊獲取，如使用者註冊時的手機驗證簡訊，在使用者獲取驗證碼簡訊前系統並不能建立業務關聯。因此，在未建立業務關聯的情況下，需要進一步嚴格限制保證業務使用的安全性。我們可以綜合採用：增加圖片驗證碼、IP請求次數限制、單使用者請求間隔時長限制3個措施，來保障驗證碼簡訊介面的安全性。

措施一：使用安全的圖片驗證碼

採用圖片驗證碼可有效防止採用自動化工具呼叫驗證碼簡訊介面，即當用戶進行“獲取簡訊驗證碼”操作前，彈出圖片驗證碼，要求使用者輸入驗證碼後，伺服器端再發送驗證簡訊到使用者手機上。安全的圖片驗證碼必須滿足：

• 生成過程安全：圖片驗證碼必須在伺服器端進行產生與校驗；
• 使用過程安全：單次有效，且以使用者的驗證請求為準；
• 驗證碼自身安全：不易被識別工具識別，能有效防止暴力破解。

措施二：單IP對驗證碼簡訊介面的請求次數限定

使用了圖片驗證碼後，能防止攻擊者對驗證碼簡訊介面的自動化呼叫；但若攻擊者忽略圖片驗證碼驗證錯誤的情況，大量執行請求會給伺服器帶來額外負擔，影響業務使用。此時可以在伺服器端限制單個IP在單位時間內的請求次數，一旦使用者請求次數（包括失敗請求次數）超出設定的值，則暫停對該IP一段時間的請求；若情節特別嚴重，可以將IP加入黑名單，禁止該IP的訪問請求。該措施能限制一個IP地址的大量請求，避免攻擊者通過同一個IP對大量使用者進行攻擊，增加了攻擊難度，保障了業務的正常開展。

措施三：單使用者請求間隔時長限制

為進一步優化業務正常使用，可以採用限制重複傳送簡訊驗證碼的間隔時長，即當單個使用者請求傳送一次簡訊驗證碼之後，伺服器端鎖定如：30秒後，才能進行第二次請求。該功能可進一步保障使用者體驗，並避免包含手工攻擊惡意傳送大量驗證碼簡訊。