再谈“ASP.NET网站限制恶意访问”-优快云博客

采用Cookie记录验证码是最方便的方式，无论是从开发成本还是从维护、运营成本来看，都是性价比最高的。在不至于太严格要求的网站中，建议采用Cookie的方式。

验证码如果需要存入Cookie中，需要加密。加密方式有很多，最普通的是md5。但是现在网上已有很多md5密码数据库（如 http://www.cmd5.com/），有的甚至提供API，所以单纯只使用md5是靠不住的。在我的加密中，我将传统生成md5的方式做了一些修改，基本能够保证恶意访问者无法通过加密的Cookie来获取到真实验证码。

public  static string GetMd5(string str)
    {
    string cl =DateTime.Now.Month+ str + DateTime.Now.Day;//将真实验证码加上前缀与后缀后再加密；
    string pwd = "";
    MD5 md5 = MD5.Create();//实例化一个md5对像
    // 加密后是一个字节类型的数组，这里要注意编码UTF8/Unicode等的选择
    byte[] s = md5.ComputeHash(Encoding.UTF8.GetBytes(cl));
    s.Reverse();    //翻转生成的MD5码
    // 通过使用循环，将字节类型的数组转换为字符串，此字符串是常规字符格式化所得
    for (int i = 3; i < s.Length-1; i++) //只取MD5码的一部分；恶意访问者无法知道我取的是哪几位。
    {
    // 将得到的字符串使用十六进制类型格式。格式后的字符是小写的字母，如果使用大写（X）则格式后的字符是大写字符
    pwd = pwd + (s[i]<198?s[i]+28:s[i]).ToString("X"); // 进一步对生成的MD5码做一些改造。
    }
    return pwd;
    }

限制频繁访问是一定要做的。
在我的网站中，正常访问的用户不可能在4小时内访问200次以上。这是有统计来源的。根据我采用的一些统计代码，我发现访问最频繁的用户，在4小时内访问的最大值仅为76次，而且这是一个最特殊的特例而已。
所以如果我一旦发现有用户在4小时内访问太多次数，几乎就可以判断他为恶意用户。
这不是一个最绝对的判断方式，但仍然是可行性最高、成本最低的。
限制频繁访问的方式，使用Cache最好，使用XML最次。
在ASP.NET网站限制访问频率一文中，我提出了使用Cache来记录用户的IP、访问方式、访问次数。这也是参考了很多大型网站防止DoS攻击的方式。
有朋友提出，使用Cache或许会造成服务器资源开销，建议使用XML；如果XML太大，可以分成零碎模块。
我的观点是，XML文件的效率确实太差。以前我测试过，十万行数据的XML文件，一次读写操作就接近1秒，更不用说网站的频繁访问、需要频繁操作XML文件了。然后同样的十万条Cache数据，占用内容仅为几十M(如一条数据占用1k内存，十万条占用100M；然后实际操作中，1条数据远没有1k)，处理速度在10毫秒内。
不仅如此，就算我们把访问记录到XML文件中，我们对它进行读写操作，也是要将它载入内存的。而十万行数据的XML文件，与十万行Cache中的KeyValue对，占用的内存也是不能同日而语的。
综上所述，使用XML文件进行记录，不仅不能够减少服务器压力(内存、硬盘、CPU计算次数)，反而还增加了服务器压力、大大增加了请求响应时间。最好的方式仍然是使用Cache。