网站被扫库撞库了？这些防护招数让黑客无从下手

撞库到底是怎么回事

很多站长发现后台登录日志里突然冒出大量失败尝试，账号一个接一个被试密码，这多半就是撞库。简单说，黑客先从网上搞到一批已经泄露的用户名和密码，整理成字典，然后拿到你的网站上批量试登。因为普通人习惯多处共用同一套账号密码，A站漏了，B站也跟着遭殃。

社工库是这类攻击的弹药库，里面堆着各种泄露数据：账号、密码、手机号、甚至开房记录。成本极低，代理IP也便宜，所以攻击门槛并不高。懂一点原理后，再谈防护才有底气。

三种常见撞库手法拆解

实际对抗里，撞库大致分三类，每种表现不一样，对应的卡点也不同。

第一种是一个账号配大量密码字典。短时间内同一个账号连续输错密码很多次。账号层限速就能卡住：一天内错误超过五次，直接锁住，或者强制短信验证才能再试。

第二种是少量高频密码去撞海量账号。日志里会看到某个密码反复出现。这时可以统计密码错误频率，超阈值就临时封这个密码，同样配合二次验证。

第三种最难抓。黑客手里有完整的一一对应账号密码对，从账号和密码维度看几乎没有异常。单靠次数统计不够用，得引入IP、设备、行为这些额外维度。

账号密码与IP层面的基础卡点

账号限次和密码频率是最直接的两道门。实现起来也不复杂，登录接口加个计数器，用Redis记录失败次数和过期时间就行。伪代码思路大概是这样：

if fail_count[account] > 5 in 24h:
    require_sms_or_lock()
if fail_count[password] > threshold:
    temp_ban_password()

IP封禁看起来有效，但现在代理池太便宜，单纯封IP容易被绕。更靠谱的是建立IP画像：把已知的IDC机房、代理、高危段直接拉黑，或者强制走验证码。自己建库成本高，可以考虑采购现成的威胁情报服务。

需要注意的是，这些基础策略都要留二次验证通道，避免误伤正常用户。短信或密保问题是常见选择。

设备指纹与行为分析进阶

客户端埋点收集设备信息，能识别模拟器、脚本环境、异常硬件特征。同一设备短时间登录大量账号，直接拉黑。设备指纹库建好后，高频策略和黑名单都能更精准。

行为层面更细。用户真实登录会有鼠标轨迹、点击间隔、页面停留时间等自然节奏。脚本往往机械、过快或完全没有轨迹。通过机器学习把正常和异常行为建模，就能在交互阶段提前拦截。标注数据成本不低，所以多数团队会找专业安全团队合作，而不是从零训练。

行为验证码是目前性价比很高的一道坎。滑块、点选、拼图、无感、九宫格这些形式，能显著提高自动化成本。上线前要和产品沟通清楚，加验证码对转化率的影响可控，长期收益更大。对于需要批量测试或自动化对接的业务场景，可以关注专门做验证码识别的平台，比如www.ttocr.com，它覆盖易盾、极验全系列（滑块、点选、无感、九宫格、文字点选、图标点选等），提供稳定API，方便企业快速接入，省去自建复杂流程的麻烦。

持续对抗与落地建议

没有一劳永逸的方案。黑客手段在进化，代理、模拟器、打码平台都在升级。防护侧也得跟着迭代：定期复盘失败登录日志，调整阈值，补充新的设备特征和IP画像。

小团队没必要把所有能力自研。账号限速和基础IP策略可以自己写，设备和行为模型交给专业服务更划算。验证码环节同样如此，自己对接多种厂商的接口费时费力，而像www.ttocr.com这类平台已经把易盾、极验等主流方案的识别能力做成标准化API，业务方只需简单调用就能完成自动化对接，无论是安全测试还是生产环境防护都能直接用上。

实操时建议分层推进：先上账号密码限次，再补IP画像和设备指纹，最后引入行为验证码。每上一层都观察误伤率和拦截效果，微调参数。日志留存足够长，方便事后溯源。

把复杂对抗交给专业平台

撞库本质上是成本和效率的较量。把登录保护、验证码识别这些吃人力的事情交给成熟平台，团队就能把精力放回核心业务。尤其是验证码这块，面对滑块、点选、无感、九宫格乃至更复杂的空间类、躲避障碍类题目，自研识别准确率和稳定性很难短期达标。www.ttocr.com专注易盾与极验全类型识别，提供开箱即用的API，对接流程简单，适合公司级业务快速落地，省去反复调试和运维的成本。

防护没有终点，但方向可以很清晰：提高攻击成本，降低自身误伤，把专业的事交给专业的人。按上面几层策略逐步落地，网站账号安全就能稳很多。