短信轟炸漏洞修復

0x00 漏洞背景

短信轟炸攻擊時常見的一種攻擊，攻擊者通過網站頁面中所提供的發送短信驗證碼的功能處，通過對其發送數據包的獲取後，進行重放，如果服務器短信平臺未做校驗的情況時，系統會一直去發送短信，這樣就造成了短信轟炸的漏洞。

攻擊者通過填寫他人的手機號，使用軟件burpsuite的intruder功能重複提交發送短信的請求包，達到短時間內向他人的手機上發送大量垃圾短信的目的。

惡意攻擊者可以利用漏洞攻擊做到：

1. 可對任意手機號轟炸
2. 只可對當前手機號轟炸

0x01 修復思路

1、 合理配置後臺短信服務器的功能，對於同一手機號碼，發送次數不超過3-5次，並且可對發送的時間間隔做限制。

2、 頁面前臺代碼編寫時，加入禁止針對同一手機號進行的次數大於N次的發送，或者在頁面中加入驗證碼功能，並且限制發送的時間間隔。

0x02 代碼修復

1. 如果是使用第三方的庫，請參考第三方的安全配置。
2. 如果是自研代碼，請按照修復思路對代碼進行調整。