爬虫之验证码IP攻防心得——小总结
小前言:
一般来说,现在很多平台注册、登录的时候会涉及到验证码,这样做的目的是为了防止恶意程序恶意访问,从而给服务器造成一定的压力,会浪费一定的资源,大家也都知道,现在这种短信平台,邮箱平台等都是收费的,如果不做这种防范措施,可能你今晚对某短信平台充值,第二天早上醒来就会收到一条消费多少条短信让你去充值的信息。不是吹牛,我以前做过这种事的,我还专门去找这种网站,玩一玩短信轰炸,邮箱轰炸等。
言归正传,该怎么去防范这种措施呢?
·验证码
·IP
·更多
当然,所有安全都不是绝对的,安全和方便自古以来都是相生相克,想安全点,就得麻烦一点,想方便一点,就没那么安全。
验证码限制:
![](https://images0.cnblogs.com/blog2015/624228/201508/141603054734443.jpg)
![](https://images0.cnblogs.com/blog2015/624228/201508/141608291602689.gif)
现在网上都有很多jar包直接拿来用就行了,或者使用一些开源框架,比如Apache的jcaptcha等等。但是呢,验证码限制也是可以破解的,但是验证码的防范措施已经阻止了大概70%的恶意程序(本来搞恶意破坏的就不会太多,就算不太多,我们是不是也得防着点)。再说一个额外话题,别人怎么去破解验证码呢?验证码上面会布满几个数字、或者是几个字母、或者是字母数字的组合、也可能是几个汉字、等等。破解验证吗要用到投影直方图分割,卡壳法,二值化等技术,比如这张二维码是4个字母(一般都是这种),把这张图片分割成4份,每份一个字母,然后使用相应的技术破解验证码得到里面的value。所以平时大家所见的验证码的背景都会布满一些条条杠杠,这些不是想扰乱客户的视线,这是扰乱恶意程序的破解。好了,来说说IP怎么限制吧。
IP限制:
IP的限制当然是很重要的,当然,这也是可以破解的,这个留到后面说。 什么IP限制呢?你每访问一个网页或者网站,在后台都可以得到你的IP地址,然后在后台把这个IP记住,你连续给某个手机号 发送验证码吵过多少次,就禁止这个IP发送验证码。
一般情况,是把这个IP放到缓存里,你发一次短信,相应的值就+1,如果超过某个值,后台就不会给这个手机号或者邮箱发送验证码。如果做得次一点,那就把它放到session里,key的话就是你的ip,值得话就是你发短信的次数。
很多人很好奇,这个恶意程序怎么破击IP地址呢?IP地址不是唯一的吗? 不知道大家听说过代理没有,也就是恶意程序访问的是代理,然后代理去访问你的网站,然后频繁切换代理访问,所以代理是后台多级反向代理所得到的真实IP, 可能你知道这个IP攻击过你的网站,可是你根本找不到这个人,因为你根本无从下手去找。然后你拿着IP上网查一下,发现这个IP的地址是美国洛杉矶。。。
获得客户端真实IP地址的方法一:
public String getRemortIP(HttpServletRequest request) { if (request.getHeader("x-forwarded-for") == null) { return request.getRemoteAddr(); } return request.getHeader("x-forwarded-for"); }
获得客户端真实IP地址的方法二:
public String getIpAddr(HttpServletRequest request) { String ip = request.getHeader("x-forwarded-for"); if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) { ip = request.getHeader("Proxy-Client-IP"); } if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) { ip = request.getHeader("WL-Proxy-Client-IP"); } if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) { ip = request.getRemoteAddr(); } return ip; }
以上方法还不行的话就采用如下方法:
/** * 获取当前网络ip * @param request * @return */ public String getIpAddr(HttpServletRequest request){ String ipAddress = request.getHeader("x-forwarded-for"); if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) { ipAddress = request.getHeader("Proxy-Client-IP"); } if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) { ipAddress = request.getHeader("WL-Proxy-Client-IP"); } if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) { ipAddress = request.getRemoteAddr(); if(ipAddress.equals("127.0.0.1") || ipAddress.equals("0:0:0:0:0:0:0:1")){ //根据网卡取本机配置的IP InetAddress inet=null; try { inet = InetAddress.getLocalHost(); } catch (UnknownHostException e) { e.printStackTrace(); } ipAddress= inet.getHostAddress(); } } //对于通过多个代理的情况,第一个IP为客户端真实IP,多个IP按照','分割 if(ipAddress!=null && ipAddress.length()>15){ //"***.***.***.***".length() = 15 if(ipAddress.indexOf(",")>0){ ipAddress = ipAddress.substring(0,ipAddress.indexOf(",")); } } return ipAddress; }
我以前搞过这些东西,还访问各种网站找网站的漏洞,给同学来一个说来就来的短信轰炸。
因为以前翘过这些后门,所以给大家说说我的心路历程,我的爬虫经历,希望对大家有帮助。