‌验证码轰炸是指攻击者通过自动化工具短时间内向目标手机或邮箱发送大量验证码短信/邮件，导致信息淹没或系统瘫痪的恶意行为。‌ 常见手段包括 ‌利用漏洞接口、伪造IP轮询、购买接码平台服务‌ 以及 ‌恶意脚本攻击‌ 等。

常见手段解析

1. ‌接口滥用攻击‌
   攻击者抓取网站或APP未设限的验证码发送接口，通过脚本高频调用，触发海量验证码下发。例如直接伪造请求参数批量提交手机号。

2. ‌动态IP轮询‌
   使用代理IP池或VPN切换不同IP地址，绕过同一IP的发送频率限制。部分工具甚至模拟正常用户行为（如间隔数秒请求）以规避风控。

3. ‌接码平台协作‌
   黑产通过接码平台低价获取大量临时手机号，配合自动化工具分发验证码。这些平台提供“号码池”和API接口，大幅降低攻击成本。

4. ‌恶意脚本注入‌
   在目标网站嵌入JS脚本或利用XSS漏洞，诱导用户点击后自动循环触发验证码请求。常见于钓鱼页面或劫持的第三方服务中。

‌防范提示‌：企业需加固接口鉴权、增设行为验证（如滑块验证），个人应避免泄露手机号并开启短信过滤功能。