機器多次惡意提交攻擊簡單防範

先說背景：機器不斷的發送請求或惡意提交，會對伺服器造成很大壓力；針對這種攻擊最優的策略是判斷提交次數，產生動態驗證碼，即判斷ip規定時間內重複發送達到N次彈出驗證碼。下面是小拽在實踐過程中一個簡單的辨識ip，利用session記錄和防禦的過程。

辨識與校驗ip

流程如下；

• 辨識ip

• ip屬於白名單直接透過[白名單策略：內網使用指定的請求時間戳

• 校驗規定時間內ip的請求次數

• 採取相應的措施

• <code>/**
   * 获取和校验ip；同时防止短时间内多次提交
   *
   * @notice        ：弹出验证码，需要替换掉echo $echo_str 即可。
   * @return string ：返回校验成功的ip
   */
  protected function getAndCheckIP()
  {
  
      // 获取环境ip
      if (getenv("HTTP_CLIENT_IP") && strcasecmp(getenv("HTTP_CLIENT_IP"), "unknown"))
          $ip = getenv("HTTP_CLIENT_IP");
      else if (getenv("HTTP_X_FORWARDED_FOR") && strcasecmp(getenv("HTTP_X_FORWARDED_FOR"), "unknown"))
          $ip = getenv("HTTP_X_FORWARDED_FOR");
      else if (getenv("REMOTE_ADDR") && strcasecmp(getenv("REMOTE_ADDR"), "unknown"))
          $ip = getenv("REMOTE_ADDR");
      else if (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], "unknown"))
          $ip = $_SERVER['REMOTE_ADDR'];
      else
          $ip = "unknown";
  
      // check 环境ip
      if (!$this->isWhiteList($ip)) {
          $echo_str = "提交过于频繁,请稍后再试！";
          // 构建ip的时间栈数据
          if (!is_array($_SESSION[$ip])) {
              $_SESSION[$ip] = array();
          }
  
          if (isset($_SESSION[$ip][0])) {
              $_SESSION[$ip][] = time();
  
              // session 保存时间为6小时。清理session
              $post_interval_first = time() - $_SESSION[$ip][0];
              if ($post_interval_first > 21600) {
                  $_SESSION[$ip] = array();
              }
  
              // 两次提交小于1s，禁止提交
              $post_interval_pre = time() - $_SESSION[$ip][count($_SESSION[$ip]) - 3];
              if ($post_interval_pre </code>

  白名單策略

白防攻擊策略

小拽採用的比較簡單的策略，如上面程式碼，實際過程中可以結合業務需求。

1s內禁止重複提交

5s內提交上限3次
60s內提交上限5次提交上限機器多次惡意提交攻擊簡單防範| 靠譜崔小拽】

• 以上就介紹了機器多次惡意提交攻擊簡單防範，包括了方面的內容，希望對PHP教程有興趣的朋友有所幫助。