请教防止恶意注册的方法，急！！！

[yzn]

发现网站有恶意的注册，可以基本肯定不是人手动恶意注册。

采取过的手段：
1、修改注册页面的文件名。（可保短暂的安宁）
2、更换了N个图片验证码、计算形式的验证码、也都用了，也只能短暂平静。
3、利用cookies、session记录IP，限制一个IP一天只能注册一次，我自己测试完全可以限制住，第一次注册可以正常完成，第二次就注册不了，但不知道为什么这限制对于这次的恶意注册一个点用都没

我也想过会不会是直接SQL的注入，但从我的处理方法中可以得出结论，必须要通过那个页面才能注册的，而且我这边在代码中直接限制谁都不能注册，结果也可以限制住。

希望高手们帮忙分析下这问题是怎么回事，要怎么样解决下，折腾了两天了，还是没弄好，着急上火了，大家帮帮忙，跪谢了！

[blaboy]

语音验证码，下拨到用户手机。

[kn007]

语音验证码+1

[branchzero]

语音验证码 +10086
图形验证码的话，市面上一堆打码平台可破。。。

[binyuJ]

话说用那种传说中的“汉字顺序并不影响阅读”来做验证码的话效果如何？验证码是乱序的让用户输正常顺序的

[learnshare]

邮箱邮件验证，手机短信验证

[timor]

短信验证防不住.
语音验证码靠谱.
www.yuntongxun.com
一直在用这家.

[clino]

要不用户输入邮箱以后点击收到的邮箱链接才能注册,链接只针对此邮箱用户可用
这样稍微会麻烦点哈

[elyamen]

要不您学学12306，整个请选出以下图中所有的蔬菜？

[Imyssed]

@elyamen 太反非人类就不用了,我觉得百度的验证码系统就挺不错的...

[liuhaotian]

session是没有用的，session依赖cookie在本地存储session ID，那么我只需要随意修改session ID甚至禁用cookie就可以肆意注册

[chairuosen]

弄个公众号机器回复下发邀请码。一个openID只给一个

[lightening]

你确定你的系统没办法绕过验证码吗？

[akira]

session 和 cookie都是可以随便伪造的。
验证码有打码平台。
短信验证有短信验证平台。
IP限制有虚拟拨号/VPN/代理。

任何限制都只是增加成本，只要他的收益大于成本，依然是会有人去做。
所以，要么你加大他的成本，要么你降低他的收益，从这个角度出发去做吧。

[mrjoel]

手机语音验证码 简直无解。。。。23333333

[fyooo]

@chairuosen 弄个公众账号，从公众账号下发语音邀请码，哈哈

[Desert]

可以问下什么网站吗？这么多用户想注册

[zcbenz]

在服务器端记录IP地址，用redis几十行代码的事。

[picasso250]

假设楼主不是钓鱼贴。

在不能打击到攻击者肉体（如报警）的情况下，有一个很好抗攻击方法——让攻击的成本高于修复的成本。
具体到楼主提到的这件事，如果楼主可以判断是谁注册的，做个脚本，每个小时删除一次数据库，就行了。

[ko]

用微信加二次验证

[em70]

暂停注册看看是不是还会写入，从而排除注入问题