老师，请问如何防止这种攻击？

Question

老师，你好！
我公司的服务器最近被攻击了，在不到1个小时内，有300多个ip在频繁登录，并且，同一个ip登录了400多次，以及频繁下载应用程序（40M），算下来，一共下载了 40M * 400 = 16G 的流量了。
因为前端用的是类似QQ这种client的软件，而不是浏览器，所以登录时没有要求用户输入验证码？会不会是因为这个原因导致被攻击了？
请问一下老师，本课中后面的章节会有对应的技术点解决这种被攻击的问题吗？
具体是哪些技术点，都有哪些方法来解决这种被攻击的问题，购买阿里云的安全服务可以解决吗？
这门课------Spring cloud微服务安全实战 可落地的安全方案中提到的技术可以解决我说的那个问题吗？
谢谢老师解答！

Answer 1

甲蛙 2023-04-30 10:42:05

你这很明显有人写脚本了，1小时400次，不是人力干的事。我以前的课程介绍过，就是应该增加验证码，这个项目也会介绍。

另一种是你的用户名密码被拿去卖了，所以有300个不同的ip来登录。可以使用客户端限制来解决，比如一个账号同时只能有一台设备在线。

还有一种可能是软件被套壳拿去卖了，我在这课前面的小节也说到过，别人不用你的界面，直接用你的接口，自己写个界面，让别人来用，实际后端都用你的接口。就跟现在的chatgpt一样，很多国人就是开发了个界面，然后用自己的账号去调用chatgpt的接口。可以使用限流，比如1秒钟或1分钟只能调用N次API接口

• 提问者 慕神4535282 #1

  老师，早上好！
  1. 因为前端用的是类似QQ这种client的软件，而不是浏览器登录，需要在登录时要求用户输入验证码这一功能吗？（因为看到QQ，迅雷之类的这种客户端在登录时也没有要求验证码？）
  2. 另一种是你的用户名密码被拿去卖了，所以有300个不同的ip来登录。可以使用客户端限制来解决，比如一个账号同时只能有一台设备在线。 这个是属于单点登录的技术吗？在本课中会讲到这一技术吗？这一技术是不是也需要后端做代码修改，以支持该技术？
  3. 还有一种可能是软件被套壳拿去卖了，......可以使用限流，比如1秒钟或1分钟只能调用N次API接口，这里说的限流是不是使用您在第15章--“高并发抢票时，使用流行的Sentinal组件进行请求限流降级”所讲的技术点就可以解决了。
  麻烦老师逐一解答一下上述问题，非常感谢！！！

• 甲蛙 回复 提问者 慕神4535282 #2

  1. 加验证码会影响用户体验，所以现在会有这样的设计：第一次不用验证码，如果密码错了，第二次就需要。还有就是输错5次就锁定用户，1小时后自动解锁。
  2. 课程没涉及这块，我记得你之前问过踢下线的问题，将用户的登录token存到数据库里，而不是redis，登录成功后，将同个用户的其它token清空（踢下线）,保证库里一个用户只有一个token
  3. 课程会介绍sentinal，可以解决这个问题

• 提问者 慕神4535282 #3

  非常感谢！