爬虫之验证码IP攻防心得——小总结

小前言:

一般来说,现在很多平台注册、登录的时候会涉及到验证码,这样做的目的是为了防止恶意程序恶意访问,从而给服务器造成一定的压力,会浪费一定的资源,大家也都知道,现在这种短信平台,邮箱平台等都是收费的,如果不做这种防范措施,可能你今晚对某短信平台充值,第二天早上醒来就会收到一条消费多少条短信让你去充值的信息。不是吹牛,我以前做过这种事的,我还专门去找这种网站,玩一玩短信轰炸,邮箱轰炸等。

 

 

言归正传,该怎么去防范这种措施呢? 

·验证码

·IP 

·更多 

当然,所有安全都不是绝对的,安全和方便自古以来都是相生相克,想安全点,就得麻烦一点,想方便一点,就没那么安全。 

 

 

验证码限制: 

 

 

 

现在网上都有很多jar包直接拿来用就行了,或者使用一些开源框架,比如Apache的jcaptcha等等。但是呢,验证码限制也是可以破解的,但是验证码的防范措施已经阻止了大概70%的恶意程序(本来搞恶意破坏的就不会太多,就算不太多,我们是不是也得防着点)。再说一个额外话题,别人怎么去破解验证码呢?验证码上面会布满几个数字、或者是几个字母、或者是字母数字的组合、也可能是几个汉字、等等。破解验证吗要用到投影直方图分割,卡壳法,二值化等技术,比如这张二维码是4个字母(一般都是这种),把这张图片分割成4份,每份一个字母,然后使用相应的技术破解验证码得到里面的value。所以平时大家所见的验证码的背景都会布满一些条条杠杠,这些不是想扰乱客户的视线,这是扰乱恶意程序的破解。好了,来说说IP怎么限制吧。 

 

IP限制:

 IP的限制当然是很重要的,当然,这也是可以破解的,这个留到后面说。 什么IP限制呢?你每访问一个网页或者网站,在后台都可以得到你的IP地址,然后在后台把这个IP记住,你连续给某个手机号 发送验证码吵过多少次,就禁止这个IP发送验证码。

 


一般情况,是把这个IP放到缓存里,你发一次短信,相应的值就+1,如果超过某个值,后台就不会给这个手机号或者邮箱发送验证码。如果做得次一点,那就把它放到session里,key的话就是你的ip,值得话就是你发短信的次数。

 

 

很多人很好奇,这个恶意程序怎么破击IP地址呢?IP地址不是唯一的吗? 不知道大家听说过代理没有,也就是恶意程序访问的是代理,然后代理去访问你的网站,然后频繁切换代理访问,所以代理是后台多级反向代理所得到的真实IP, 可能你知道这个IP攻击过你的网站,可是你根本找不到这个人,因为你根本无从下手去找。然后你拿着IP上网查一下,发现这个IP的地址是美国洛杉矶。。。

 

获得客户端真实IP地址的方法一:

public String getRemortIP(HttpServletRequest request) { 
  if (request.getHeader("x-forwarded-for") == null) { 
   return request.getRemoteAddr(); 
  } 
  return request.getHeader("x-forwarded-for"); 
 }

 

 获得客户端真实IP地址的方法二:

public String getIpAddr(HttpServletRequest request) { 
       String ip = request.getHeader("x-forwarded-for"); 
       if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) { 
           ip = request.getHeader("Proxy-Client-IP"); 
       } 
       if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) { 
           ip = request.getHeader("WL-Proxy-Client-IP"); 
       } 
       if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) { 
           ip = request.getRemoteAddr(); 
       } 
       return ip; 
   }

 

 以上方法还不行的话就采用如下方法:

/**
 * 获取当前网络ip
 * @param request
 * @return
 */
public String getIpAddr(HttpServletRequest request){
	String ipAddress = request.getHeader("x-forwarded-for");
	if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) {
		ipAddress = request.getHeader("Proxy-Client-IP");
	}
	if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) {
		ipAddress = request.getHeader("WL-Proxy-Client-IP");
	}
	if(ipAddress == null || ipAddress.length() == 0 || "unknown".equalsIgnoreCase(ipAddress)) {
		ipAddress = request.getRemoteAddr();
		if(ipAddress.equals("127.0.0.1") || ipAddress.equals("0:0:0:0:0:0:0:1")){
			//根据网卡取本机配置的IP
			InetAddress inet=null;
			try {
				inet = InetAddress.getLocalHost();
			} catch (UnknownHostException e) {
				e.printStackTrace();
			}
		ipAddress= inet.getHostAddress();
	}
	}
	//对于通过多个代理的情况,第一个IP为客户端真实IP,多个IP按照','分割
	if(ipAddress!=null && ipAddress.length()>15){ //"***.***.***.***".length() = 15
		if(ipAddress.indexOf(",")>0){
			ipAddress = ipAddress.substring(0,ipAddress.indexOf(","));
		}
	}
return ipAddress; 
}

 

 我以前搞过这些东西,还访问各种网站找网站的漏洞,给同学来一个说来就来的短信轰炸。

 

 

 因为以前翘过这些后门,所以给大家说说我的心路历程,我的爬虫经历,希望对大家有帮助。

 

posted @ 2017-07-18 13:07 技术猿生活高生活 阅读(...) 评论(...) 编辑 收藏