很多网站都有会员注册发送短信验证码的功能，但是由于程序的漏洞，可以在浏览器对短信接口任意进行调用，给任意的手机号发送验证码，同时可以利用代理服务器（大部分是肉鸡）来伪造他们的IP地址.
具体分析如下：
1.分析某网站的网页代码：图片是局部的截图
如果他是通过post方式提交的请求，则你可以在浏览器的地址栏中发送请求，填写好手机号等其他参数，这样就可以利用注册页的漏洞，直接调用这个短信接口来发送验证码。
2.编写shell脚本来调用接口，并且利用代理伪造IP地址：
curl -x 111.11.111.1:8118 -d "userAccount=13333333333&" http://*******.com/send******.do
其中-x 是代理对的IP地址和端口 ， -d 是提交的post请求的手机号
3.免费的代理地址：
网上随便就可以搜索到免费的代理IP，如下图：
4.shell脚本定时任务：
crontab -e
*/5 * * * * /tmp/duanxin.sh
设置定时任务，每5分钟执行一次。
以上就是发送短信的基本思路和过程 。随着网站知名度的逐步提高，逐步会遇到各种各样的外部的扫描攻击等，我们所要做的，就是不断完善程序，抵御各种各样的攻击。