深度帶大家分析106短信管理平臺(tái)的驗(yàn)證碼有哪些？

　　本文深入分析了106短信管理平臺(tái)的運(yùn)行機(jī)制、破解驗(yàn)證碼和手機(jī)短信驗(yàn)證碼的原理、以及保護(hù)手機(jī)短信驗(yàn)證碼的風(fēng)險(xiǎn)和如何處理手機(jī)短信驗(yàn)證碼帶來的一些問題。

　　一、短信驗(yàn)證碼運(yùn)作機(jī)制

　　驗(yàn)證碼加密發(fā)送

　　1、在APP中點(diǎn)擊發(fā)送驗(yàn)證碼，向后臺(tái)發(fā)送一個(gè)發(fā)送驗(yàn)證碼請(qǐng)求;

　　2、后臺(tái)收到請(qǐng)求，生成一個(gè)驗(yàn)證碼A，并反編譯成短信驗(yàn)證碼A‘;

　　3、請(qǐng)求短信服務(wù)商發(fā)送短信驗(yàn)證碼A’至用戶手機(jī)，同時(shí)存儲(chǔ)驗(yàn)證碼A至后臺(tái)數(shù)據(jù)庫中

　　驗(yàn)證碼解密驗(yàn)證

　　1、用戶收到短信驗(yàn)證碼A’，填寫至APP中，點(diǎn)擊注冊(cè)，向后臺(tái)發(fā)送驗(yàn)證驗(yàn)證碼請(qǐng)求并提交短信驗(yàn)證碼;

　　2、后臺(tái)收到請(qǐng)求后后反編譯短信驗(yàn)證碼A‘，驗(yàn)證反編譯之后的結(jié)果是否是驗(yàn)證碼A，是則驗(yàn)證碼成功，此次用戶注冊(cè)申請(qǐng)成功，否則驗(yàn)證失敗，反饋給APP，此次注冊(cè)申請(qǐng)不成功。

　　二、破解驗(yàn)證碼、短信驗(yàn)證碼原理

　　1、暴力破解短信驗(yàn)證碼A’

　　假設(shè)短信驗(yàn)證碼A’只有四位，暴力破解只需要模擬調(diào)取接口10000次就能夠把短信驗(yàn)證碼A‘破解出來。假設(shè)調(diào)取一次接口耗時(shí)0.1秒，那么1000秒就能夠成功破解驗(yàn)證碼A’，即只有短短的1000/60=16.67分鐘。

　　2、暴力破解驗(yàn)證碼A

　　截取數(shù)據(jù)庫的數(shù)據(jù)包拿到驗(yàn)證碼A，對(duì)驗(yàn)證碼A執(zhí)行暴力破解，反推出短信驗(yàn)證碼A‘，相比直接暴力破解短信驗(yàn)證碼A’，時(shí)間會(huì)有點(diǎn)長，但可以減少驗(yàn)證次數(shù)。

　　三、短信驗(yàn)證碼未加防護(hù)存在的風(fēng)險(xiǎn)

　　當(dāng)黑客發(fā)現(xiàn)某個(gè)未加防護(hù)的短信發(fā)送接口后，按照某個(gè)手機(jī)號(hào)碼列表，循環(huán)發(fā)送短信驗(yàn)證碼，不斷變換ip地址，如果我們沒有做任何限制的話，會(huì)存在兩個(gè)方面的風(fēng)險(xiǎn)：

　　1、公司可能損失數(shù)以萬計(jì)甚至更高的短信費(fèi)用，發(fā)送驗(yàn)證碼是需要向運(yùn)營商付費(fèi)，如果發(fā)出的短信大多數(shù)都是沒有用的話，用戶注冊(cè)量越大資金支出越大，將讓公司在這一塊遭受不必要的損失;

　　2、流量攻擊，用戶無法登陸、注冊(cè);大批量的請(qǐng)求發(fā)送驗(yàn)證碼，會(huì)導(dǎo)致訪問流量大增，有可能使得發(fā)送驗(yàn)證碼的數(shù)據(jù)接口癱瘓，用戶無法繼續(xù)使用該功能(造成用戶無法登陸、注冊(cè))，必定會(huì)收到用戶的投訴，公司形象也會(huì)受損

　　四、應(yīng)對(duì)策略

　　為了防止黑客惡意刷取目標(biāo)網(wǎng)站短信驗(yàn)證碼，使用對(duì)短信發(fā)送次數(shù)、短信發(fā)送時(shí)間間隔進(jìn)行限制以及發(fā)送之前增加動(dòng)態(tài)驗(yàn)證。

　　手機(jī)號(hào)獲取短信驗(yàn)證碼次數(shù)限制是其中一種防攻擊策略，不過在設(shè)計(jì)這方面內(nèi)容時(shí)，需要根據(jù)自己公司的業(yè)務(wù)情況具體制定的。

　　五、需要回答3個(gè)問題

　　1、根據(jù)業(yè)務(wù)需要，短信驗(yàn)證碼發(fā)送次數(shù)設(shè)置的上限為多少合適?單次短信驗(yàn)證碼填寫錯(cuò)誤的次數(shù)?

　　2、一般超過這個(gè)上限，我們需要鎖定用戶手機(jī)號(hào)多長時(shí)間?6小時(shí)，12小時(shí)，還是24小時(shí)?

　　3、鎖定用戶手機(jī)號(hào)后，我們可以為用戶提供的后續(xù)方案是什么?需不需要提示對(duì)方，讓他打電話給客服，自己主動(dòng)申請(qǐng)解鎖?走郵箱的驗(yàn)證方式、增加語音驗(yàn)證碼也是一種可行的解決方案。

　　六、多次驗(yàn)證

　　1、設(shè)置短信發(fā)送時(shí)間間隔是其中的一種防攻擊策略，為了防止用戶重復(fù)獲取驗(yàn)證碼，一般設(shè)置60s左右的間隔獲取時(shí)間，但驗(yàn)證碼的有效期一般是5-30分鐘不等。一般來說，5分鐘有效的都是4位驗(yàn)證碼，30分鐘有效的都是6位驗(yàn)證碼。不過這方面手段不能防止黑客更換手機(jī)號(hào)進(jìn)行攻擊，防護(hù)等級(jí)較低。

　　2、發(fā)送驗(yàn)證碼之前需要填寫一次驗(yàn)證碼，不過此種傳統(tǒng)的方式利用機(jī)器學(xué)習(xí)的知識(shí)很容易破解。另外可以增加滑塊拼圖這種需要人為干預(yù)的動(dòng)態(tài)驗(yàn)證。

　　最后就是短信營銷看似很簡(jiǎn)單的一件事，很多人覺得就是簡(jiǎn)單的短信群發(fā)，但也就有很多人說短信群發(fā)沒有效果，其實(shí)短信營銷最主要需要注意的是營銷二字。萬商超信(www.584439.com)短信平臺(tái)--我們只專注于高品質(zhì)商務(wù)短信平臺(tái)，我們鄭重承諾：先使用后付款，按發(fā)送成功付費(fèi)，發(fā)送失敗不收1分錢，全國免費(fèi)400電話:400-688-9229。