使用ThinkPHP5做的网站被注册机轰炸

Question

使用Thinkphp5 做的一个网站，最近搞促销，送5元代金券的样子吧..
使用邮箱验证码验证，注册页面有图片验证码
可惜一点用都没有

    一个晚上，被刷了400个用户，最终阿里云邮箱服务爆炸（无法继续注册），才停止注册
注册机操作猛如虎啊！。到底是怎么做到的？？

thinkphp自带的验证码一下就破解了

这个可以说是吧..，但是邮箱是需要验证的，他注册的也全部秒验证了
接下来会把验证码替换成 geetest 的吧..

Answer 1

老套路了，自古以來所有前端的input全都不安全，所有的安全性防範應該都在後端進行。

2種取巧思路:

1.. 計算'從頁面載入' 至 '表格提交' 的時間
機器提交的速度很快，人手是很難達到機器的速度，因此可以在後端判斷提交時間的可接受時間範圍。

2.. 表格裏加一個不可見且不必要的input
機器的特性是把所有input都會自動填上，假如在表格裏加上一個input name="gender"，用css把該input放在用戶看不到的地方(非隱藏，機器可識別隱藏)，這代表用戶不用填寫這個input，但是機器又填上了，在後端判斷一下，假如$_POST['gender'] 有值，不註冊。

Answer 2

换一个验证码插件,不要太简单,推荐极验证 ,网易的,或者你换一种验证机制,比如说用手机号接收验证码,限制ip,加上身份证等手段,

Answer 3

换第三方的验证码服务呗，或者限制一个IP24小时内只能注册一次

Answer 4

thinkphp自带的验证码一下就破解了

Answer 5

可以试试 www.geetest.com/
另外再限制每个IP每日只能注册次数

验证码作用大于IP限制， 因为网上有大量代理IP

Answer 6

邮件验证做点手脚，验证码搞复杂点，增加作案成本

Answer 7

tp5内置的验证码默认的种子就是大小写字母加数字 这种被机器人轰炸 破解验证码的方式应该是跑字典这种最原始也是最暴力的方法

Answer 8

验证码可以换个接口，极验验证什么的

Answer 9

这就是接入了 打码平台验证码识别而已！你那个邮箱验证你也看到了他都是qq邮箱注册的！他也可以批量登录qq邮箱访问你发的那个激活链接！这些都是很好就能实现的 除非你现在把验证码换成滑动验证码 或者换成手机验证码

Answer 10

使用手机短信验证码咯或者邮箱验证， 会自己动测试或者会爬虫的 分分钟给你注册上百个账号

Answer 11

接入一个语音验证码，让他用机器刷

Answer 12

可以使用手机验证码或者语音验证码，不过这样成本高了。可以考虑自己开发一个图片文字点选的验证码，之前我们团队开发过。后端渲染出图片，并将文字在图中的坐标保存到缓存中；前端用户按顺序点选文字，前端提交用户点选的坐标位置给后端，后端验证坐标是否准确（可设置一定的偏差范围）。可参考网易的做法http://dun.163.com/trial/pict...

Answer 13

我先说下你们说的轰炸原理:
1.这个验证码问题

验证码可以做识别库 = 自动识别验证码
你用的是 比较简单的 验证码 不需要验证打码平台 就可以做的

2.验证邮箱问题

我也可以做一个软件 自动收取邮件 去获取邮件内容 自动验证

3.你不要只想着 我只能从你前端传递数据过来

我可以做软件 模拟发包
你如果加token 我也可以先取到你的token作为下一次发送的token

4.防护

升级验证码
限制IP 注册数量(不过有代理IP 此方法基本没有太大用处)
增加手机验证码(还是有短信接收平台)

Answer 14

我擦，还有这种操作