防御 cron.php 惡意高頻訪問：GET 參數驗證 + 配置文件修改，零成本阻斷雲豆消耗攻擊

開源程序 `cron.php` 被惡意高頻訪問消耗雲資源？在 `cron.php` 入口加入 GET 密碼驗證，同步修改定時任務配置 `config.yaml` 帶上參數，攻擊者無參數訪問返回假象 `ok`，實際任務正常執行返回 `yes`，低成本有效防御。

核心代碼 (放在 cron.php 最頂部)

if (empty($_GET['password']) || $_GET['password'] != 'user@test') exit('ok'); 
// password 和 user@test 可自定義
// 合法訪問: 域名/cron.php?password=user@test

配置同步修改

- description: Task
  url: cron.php?password=user@test
  schedule: "*/1 * * * *"

若修改了驗證參數，此處必須同步更新。

原理與效果

• 攻擊者直接訪問 `cron.php` → 觸發 `exit('ok')`，**腳本未真執行**，返回 `ok` 迷惑攻擊者以為成功。
• 系統定時任務帶參數訪問 → 通過驗證 → **正常執行邏輯**，返回 `yes` (真實成功標識)。
• 攻擊者不知真實參數，且無法從返回值區分真假，成本極低。
• 適用於所有暴露在公網的定時任務/觸發端點。

安全建議

• 參數名稱 (`password`) 與值 (`user@test`) 應足夠複雜隨機，避免被猜解。
• 配合 Nginx/Apache 限制訪問頻率 (limit_req)、IP 白名單雙重防護。
• 定期審計訪問日志，發現異常 IP 封禁。

本文來自於【系統之家】 www.xp85.com