nginx限制IP恶意调用短信接口处理方法
真实案例：
查看nginx日志，发现别有用心的人恶意调用API接口刷短信：
30966487115.213.229.38"-"[05/Jun/2018:14:37:29+0800]0.003xxxxxx.com"POST/xxx/sendCheckCodeHTTP/1.1"40120046xx.xx.xx.xx:00000.003200"Mozilla/5.0(WindowsNT6.1;WOW64;rv:27.0)Gecko/20100101Firefox/27.0""https://xxxxxx/sendCheckCode" 3096398560.181.111.140"-"[05/Jun/2018:14:37:29+0800]0.004xxxxxx.com"POST/xxx/sendCheckCodeHTTP/1.1"40120046xx.xx.xx.xx:00000.004200"Mozilla/5.0(WindowsNT6.1;WOW64;rv:27.0)Gecko/20100101Firefox/27.0""https://xxxxxx/sendCheckCode" 30959954220.190.18.25"-"[05/Jun/2018:14:37:29+0800]0.003xxxxxx.com"POST/xxx/sendCheckCodeHTTP/1.1"40120046xx.xx.xx.xx:00000.003200"Mozilla/5.0(WindowsNT6.1;WOW64;rv:27.0)Gecko/20100101Firefox/27.0"https://xxxxxx/sendCheckCode
思考了几种方案，最终考虑使用ip黑名单的方式：
处理方法：
一、nginx黑名单方式：
1、过滤日志访问API接口的IP，统计每10分钟调用超过100次的IP，直接丢进nginx的访问黑名单
2、具体步骤：
编写shell脚本：
vim/shell/nginx_cutaccesslog.sh
#!/bin/bash
log_path=/xxx/nginx/logs
date=`date-d"10minago"+%Y%m%d-%H:%M:%S`
nginxpid=`cat${log_path}/nginx.pid`
cd${log_path}
#过滤access.log中正常访问API接口并在10分钟（下面是日志切割，再做个定时任务每10分钟执行一次，就可以实现了）内访问量最高的30个IP，取值如果此IP访问量大于100次，则把此IP放入黑名单
cataccess.log|grepsendCheckCode|grep-v403|awk'{print$2}'|sort|uniq-c|sort-k1-n|tail-30|awk'{if($1>100)print"deny"$2";"}'>../conf/denyip.conf
#日志切割，做定时任务，每10分钟执行一次
mv${log_path}/access.log${log_path}/accesslog.bak/access_${date}.log
../sbin/nginx-sreload
可自己定义时间间隔和访问量，也可取消筛选访问量最高的30个，直接取值每10分钟访问接口超过100次的
其中："grep-v403"是把已经禁止访问的IP给过滤掉，只筛选正常访问的
3、修改nginx.conf
在http模块加入：
include denyip.conf;
重新加载nginx生效。
4、添加计划任务：
*/10****/bin/bash/shell/nginx_cutaccesslog.sh>/dev/null2>&1
5、验证：
[root@xxxlogs]#llaccesslog.bak/ -rw-r--r--1rootroot2663901Jun515:10access_20180605-15:00:01.log -rw-r--r--1rootroot13696947Jun515:20access_20180605-15:10:01.log -rw-r--r--1rootroot13265509Jun515:30access_20180605-15:20:01.log -rw-r--r--1rootroot13846297Jun515:40access_20180605-15:30:01.log [root@xxxlogs]#cat../conf/denyip.conf ………… ………… deny112.12.137.28; deny183.167.237.229; deny111.41.43.58; deny115.217.117.159; deny219.133.100.133; deny171.221.254.115; deny60.184.131.6; ………… …………
再查看已经禁用IP的访问日志，则会返回403错误：
[root@xxxlogs]#tail-faccess.log|grep"60.184.131.6" 3126862260.184.131.6"-"[05/Jun/2018:15:47:34+0800]0.000xxxxxx.com"POST/xxxxxx/sendCheckCodeHTTP/1.1"377403168---"Mozilla/5.0(WindowsNT6.1;WOW64;rv:27.0)Gecko/20100101Firefox/27.0""https://xxxxxx/sendCheckCode" 3126862260.184.131.6"-"[05/Jun/2018:15:47:35+0800]0.000xxxxxx.com"POST/xxxxxx/sendCheckCodeHTTP/1.1"377403168---"Mozilla/5.0(WindowsNT6.1;WOW64;rv:27.0)Gecko/20100101Firefox/27.0""https://xxxxxx/sendCheckCode" 3126862260.184.131.6"-"[05/Jun/2018:15:47:35+0800]0.000xxxxxx.com"POST/xxxxxx/sendCheckCodeHTTP/1.1"377403168---"Mozilla/5.0(WindowsNT6.1;WOW64;rv:27.0)Gecko/20100101Firefox/27.0"https://xxxxxx/sendCheckCode
二、限制IP请求数：
处理这种情况的方法还有一种是限制单IP单位时间的请求数，以及单IP的并发连接数
此方法没有实际运用，因为感觉这种方法会误杀正常的访问用户
写一下此方法的大概配置，http模块加入：
http{
limit_req_zone$binary_remote_addrzone=one:10mrate=8r/s;
server{
location/search/{
limit_reqzone=oneburst=5;
}
如何估算limit_req_zonesize：
一兆字节区域可以保持大约1万6064字节的状态。
那么10M就可以存储16万的IP统计信息,这个对普通应用足够了，16万每秒的UV，已经超级厉害了。
如果size的大小如果设置小了,例如设置成1M，那么当一秒内的请求IP数超过16000的时候，超出的IP对应的用户看到的均为503ServiceTemporarilyUnavailable页面了。参考,漏桶算法LeakyBucket。同时，rate的单位用r/s非常合适，如果换成按天，按小时计数，10M的内存肯定不够用。
如何估算limit_req_zonerate：
首先需要知道的是，普通浏览器的同时并发数量。按照Dropbox技术博客里所谈到的，目前主流浏览器限制AJAX对同一个子域名的并发连接数是6个。IE6，IE7是两个。
大多数浏览器每个主机名都有6个并发连接的限制。
总结
以上所述是小编给大家介绍的nginx限制IP恶意调用短信接口处理方法，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对毛票票网站的支持！