移动应用：让每台设备成为智能生态的神经末梢

　　去年十月那阵子，我原以为只是普通的高并发，结果半夜被运维的电话震醒——移动端的设备心跳包突然涨了十倍，监控大屏上全是红点，像有人往屏幕上泼了血。我翻出手机看，自己的测试机也在疯狂弹通知，「设备离线」「数据异常」的提示音混着窗外雨声，吵得人脑仁疼。当时第一反应是，哪个业务方又偷偷改接口了？结果登录后台一看，嚯，好家伙，所有设备的最后登录IP都指向三个海外节点，全是之前没见过的段。

　　运维在群里喊：「WAF规则全触发了，但流量还在涨！」我盯着日志里一阵一阵的POST请求，突然想起上周业务方非要开放一个「设备快速注册」的接口，说是为了提升用户体验——现在好了，这接口连token校验都没做全，直接成了CC攻击的跳板。我抓起电话打给产品经理，那边还在睡梦中，迷迷糊糊说「不可能啊，我们测过压力的」，我直接吼：「你们测的是正常用户，现在来的全是机器人！」挂电话时发现泡面凉了，汤面上浮着一层油，像极了监控屏上那些跳动的红点。

　　其实最让我头疼的不是攻击本身，是业务方的态度。第二天开复盘会，他们还在纠结「为什么用户会投诉设备离线」，我指着日志说：「因为你们的弱口令设备被扫干净了，现在全在别人手里！」结果技术总监来了句：「可我们之前没遇到过这种情况啊。」我差点把键盘摔了——没遇到过？去年六月那回CC攻击，你们说「下次一定改规则」；今年三月扫描器扫出弱口令，你们说「用户自己不改密码怪谁」；现在好了，移动端成了突破口，所有设备都成了智能生态的神经末梢，可这末梢现在被人掐着脖子，你们还在问「为什么脖子会疼」？

　　那天熬到凌晨三点，防火墙日志一直在刷，像有人用刷子在屏幕上刮。我盯着一条「POST /api/device/register HTTP/1.1」的请求，突然想起三年前做智能音箱项目时，测试组的小姑娘跟我说：「哥，这接口要是被滥用，别人能远程控制所有音箱放鬼故事。」当时我还笑她多虑，结果现在，攻击者不用放鬼故事，直接让所有设备报「离线」，就能让用户恐慌——这可比放音乐狠多了。窗外天亮了，运维发消息说流量终于降了，我点开外卖软件想点个粥，结果手机一直在震，原来是业务方在群里发工单：「用户要求赔偿设备离线期间的损失。」我盯着屏幕看了半天，回了句：「先查清楚哪些设备是被黑的，哪些是正常离线，别一锅端。」

文章配图，仅供参考

　　现在回头看，那回攻击其实没造成太大损失，就是折腾得人够呛。可最让我后怕的是，业务方到现在都没明白问题的根源——他们还在讨论「要不要给用户发补偿券」，却没人提「要不要把那个没校验的接口关了」。我原以为经过这事儿，他们会重视安全，结果昨天路过会议室，听见产品经理说：「下次注册流程再简化点，用户填信息太麻烦了。」我站在门口听了半天，最终没推门进去——有些苦，得自己尝过才知道疼，我说再多也没用。

　　下一步我打算补个移动端接口的专项审计，把所有暴露在外的API都过一遍。可其实我心里清楚，这事儿防不住——只要业务方还在追「快速上线」，只要用户还在用「123456」当密码，攻击就永远不会停。我现在唯一能做的，就是尽量让自己别成为那个「被优胜劣汰」的人。至于业务方？等他们哪天被攻击到影响KPI了，自然会改——可惜，那时候可能已经晚了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!