機器多次惡意提交攻擊簡單防範

先說背景：機器不斷的發送請求或惡意提交，會對伺服器造成很大壓力；針對這種攻擊最優的策略是判斷提交次數，產生動態驗證碼，即判斷ip規定時間內重複發送達到N次彈出驗證碼。下面是小拽在實踐過程中一個簡單的辨識ip，利用session記錄和防禦的過程。

辨識與校驗ip

流程如下；

• 辨識ip

• ip屬於白名單直接透過[白名單策略：內網使用指定的請求時間戳

• 校驗規定時間內ip的請求次數

• 採取相應的措施

• <code>/**
   * 获取和校验ip；同时防止短时间内多次提交
   *
   * @notice        ：弹出验证码，需要替换掉echo $echo_str 即可。
   * @return string ：返回校验成功的ip
   */
  protected function getAndCheckIP()
  {
  
      // 获取环境ip
      if (getenv("HTTP_CLIENT_IP") && strcasecmp(getenv("HTTP_CLIENT_IP"), "unknown"))
          $ip = getenv("HTTP_CLIENT_IP");
      else if (getenv("HTTP_X_FORWARDED_FOR") && strcasecmp(getenv("HTTP_X_FORWARDED_FOR"), "unknown"))
          $ip = getenv("HTTP_X_FORWARDED_FOR");
      else if (getenv("REMOTE_ADDR") && strcasecmp(getenv("REMOTE_ADDR"), "unknown"))
          $ip = getenv("REMOTE_ADDR");
      else if (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], "unknown"))
          $ip = $_SERVER['REMOTE_ADDR'];
      else
          $ip = "unknown";
  
      // check 环境ip
      if (!$this->isWhiteList($ip)) {
          $echo_str = "提交过于频繁,请稍后再试！";
          // 构建ip的时间栈数据
          if (!is_array($_SESSION[$ip])) {
              $_SESSION[$ip] = array();
          }
  
          if (isset($_SESSION[$ip][0])) {
              $_SESSION[$ip][] = time();
  
              // session 保存时间为6小时。清理session
              $post_interval_first = time() - $_SESSION[$ip][0];
              if ($post_interval_first > 21600) {
                  $_SESSION[$ip] = array();
              }
  
              // 两次提交小于1s，禁止提交
              $post_interval_pre = time() - $_SESSION[$ip][count($_SESSION[$ip]) - 3];
              if ($post_interval_pre < 1) {
                  echo $echo_str;
                  exit;
              };
  
              // 您在10s内已经提交了3请求，禁止提交
              $post_interval_third = time() - $_SESSION[$ip][count($_SESSION[$ip]) - 3];
              if (isset($_SESSION[$ip][3]) && ($post_interval_third < 10)) {
                  echo $echo_str;
                  exit;
              }
  
              // 您在1分钟期间已经提交了5请求，禁止提交
              $post_interval_fifth = time() - $_SESSION[$ip][count($_SESSION[$ip]) - 3];
              if (isset($_SESSION[$ip][5]) && ($post_interval_fifth < 60)) {
                  echo $echo_str;
                  exit;
              }
  
              // 6小时内提交10次，禁止提交
              if (isset($_SESSION[$ip][10])) {
                  echo $echo_str;
                  exit;
              }
          } else {
              $_SESSION[$ip][] = time();
          }
      }
  
      return ($ip);
  }
  </code>

  白名單策略

白防攻擊策略

小拽採用的比較簡單的策略，如上面程式碼，實際過程中可以結合業務需求。

1s內禁止重複提交

5s內提交上限3次
60s內提交上限5次提交上限機器多次惡意提交攻擊簡單防範| 靠譜崔小拽】

• 以上就介紹了機器多次惡意提交攻擊簡單防範，包括了方面的內容，希望對PHP教程有興趣的朋友有所幫助。