凌晨两点十七分，无限我的发短手机屏幕亮起，一条验证码短信。信验紧接着第二条，证码第三条，软件第四条——像一台失控的无限自动售货机在往外吐硬币。我数到第三十七条时，发短运营商终于启动了拦截机制。信验这不是证码恶作剧，是软件我在测试一款号称“无限发”的验证码轰炸软件。

这类工具的无限界面通常简陋得像十年前的外包项目。一个输入框，发短一个滑块控制发送速度，信验一个“开始轰炸”的证码按钮。核心逻辑直白得令人发指：调用公开的软件短信接口，循环提交手机号。没有加密，没有代理池，连基本的请求间隔都懒得做。有些版本甚至自带“绕过频率限制”的开关——不过是把同一个接口换几个参数反复打。

我见过最离谱的一个版本，代码注释里写着“本软件仅供学习，请勿用于非法用途”。但它的“学习”按钮需要付费解锁，价格从9.9到199不等。卖家在Telegram群里发着截图，证明能对同一个号码连续轰炸超过200条。评论区有人问“怎么防止被查”，管理员回复：“用虚拟号码注册的，怕什么。”

技术层面这东西毫无难度。短信验证码接口的验证逻辑普遍薄弱，图形验证码形同虚设，频率限制往往只针对同一IP。稍微改改User-Agent，换个X-Forwarded-For头，就能绕过大部分初级防护。真正麻烦的是如何获取大量可用接口——但这在暗网上花几十块钱就能买到打包好的“接口库”，里面躺着上千个注册页面。

运营商其实有能力拦截。我做过测试，同一号码在短时间内收到超过50条短信，运营商会自动触发风控。但问题在于，轰炸者会切换不同的接口源，每条短信来自不同的服务商，分散检测就很难奏效。有个做安全的朋友告诉我，他见过最狠的案例，受害者手机直接被短信塞满存储空间，导致系统崩溃。

这类软件最讽刺的地方在于它的“无限”是相对的。没有哪个接口能真正无限发，但攻击者不需要无限——只要让受害者在一小时内收到150条短信，就足够达到骚扰目的。现实中我见过一个外卖骑手被同行用这招整过，手机卡在午高峰时被轰炸，接不了单，损失了整天的收入。他报警了，但警察说“没有造成严重后果，立不了案”。

写那行“仅供学习”注释的程序员，大概清楚自己在做什么。他躲在某个论坛的匿名帖后面，用比特币收款，服务器架在海外。技术本身是中性的，但把骚扰能力包装成付费工具，这就不是技术问题了。我删掉那个测试用的虚拟机镜像时，屏幕上还残留着最后一条验证码的弹窗——来自某家银行的注册服务，提示我“如果不是本人操作，请忽略”。

我忽略不了。凌晨三点的手机屏幕依然发烫，像一块被反复锻打的铁。而制造这块铁的人，此刻正躺在某个城市的出租屋里，数着支付宝里的余额，准备明天更新一版“更稳定”的接口池。