每天晚上 20~23 时准点被山西联通 IP 刷流量现象的分析和猜测

现象

最近 CDN 平台下，每天都有新增数十个不同用户的域名受到来自山西太原联通的几个固定 IP 网段的刷流量攻击。

每天 20:00 左右开始，23:00 准时结束。

攻击者会事先人为挑选体积较大的静态文件，例如音视频 mp4 、安装包 exe/apk 、体积较大的图片等，然后在攻击期间，不断请求这个文件，消耗流量。

攻击者会将请求的 Referer 头设置为文件链接本身，User-Agent 则有时是随机的，有时为空。

其实数月前就有体量较大的用户遇到这个问题，我们封死之后消停了一会儿，

但最近开始无差别攻击，大站小站只要被它扫到的站，都会在这个时间段内开始高频请求。

分析

攻击者似乎并不想要将网站打死，而是慢慢地刷流量，每个域名刷的流量也不多，3 个小时内最多几百 GB 。

一开始我们以为是普通的竞对行为，后来发现互联网上有蛮多类似案例反馈，来自不同 CDN 厂商平台，在 V2EX 上也看到几个类似的帖子：

https://v2ex.com/t/1055422#r_14960872

https://v2ex.com/t/1045318

可以认为这个是一个比较广泛的现象。

另外我们分析这些被攻击的网站的日志，发现攻击开始前的几天内，都会出现一个 153.101.*.* 的 IP （江苏联通），使用 Java/1.8.0_91 的 User-Agent 访问被攻击的网站里的资源，我们不确定这是否与攻击有关，但也没查到这是哪家的爬虫信息，也没搜到过前人关于这个 IP 的日志，如果你也遇到了这个攻击，可以检查下日志。

猜测

攻击者没有把哪个网站当成必须要拿下的目标，甚至你把它 IP 屏蔽之后，它也不在乎，仍旧到点继续刷同一个地址，即使这个地址会被拦截...

根据时间、攻击者行为特征，我感觉与省间结算政策或者该政策推开后运营商加速封杀高上传家宽（比如 PCDN 之类的）有关系。

至于到底是运营商自身拉平省际带宽差距的需要，还是政策导致的高上传家宽用户需要拉低上传下载比例来避开运营商的封杀？

我感觉是后者，观察日志发现，攻击者大部分情况下，请求的还是山西联通网内的 CDN 节点，这是达不到拉平省际带宽差异的效果的。

为什么要广撒网拿中小网站下手？我感觉是怕流量过于集中引起对方报警之类的，这样每个网站 1~200 GB 分摊下来，对于单个网站主来说，损失不大也不好立案。

本段所述只是我个人的猜测，未经证实，也未有其它证据佐证，仅供参考。

应对

我们监控到异常的 CDN 域名后，会主动屏蔽相关 IP 访问，你也可以尝试屏蔽下列 IPv4 网段：

221.205.168.0/23
60.221.231.0/24
211.90.146.0/24

后续不知道会不会更换 IP ，但如果上述的猜测正确，攻击者自己频繁更换 IP 应该是不利于他所要实现的目的的。

另外，CDN 端开启限流措施，例如 IP 访问频率限制、流量封顶限制等访问控制功能，也是非常有必要的，可以有效减少恶意攻击产生的流量，也能在发生攻击后尽快提醒你做出应对。

somsne

67 天前

@ShiroSekai 后续是帽子叔叔认为没有办法认定他的违法行为。
理由是虽然那边流量异常，但是这个人可以说闲的无聊，不停手工点我的链接，并不违法。我用计算器帮他算了一下，要达到这么大的流量，这个人必须每秒点一下，不间断点 4 个小时。他依旧认为从理论角度这是可以做到的，所以不能给我立案。哪怕对我们已经造成损失了，导致我们腾讯云其他服务因为欠费而下线了，他也认为这个应该是我们公司运营必须面对的问题。
跟帽子叔叔聊了一个多小时，虽然没解决问题，但聊得也算愉快的。要给他上破坏计算机信息系统罪，必须是故意绕开我们的防护体系。CDN 的流量限制规则不算，IP 封禁不算，必须要我拿出直接的证据才行。而从实践的角度看，我就算拿出来了，也有可能无法证明他是故意的，认定为是咱们的 BUG 。
说白了，我认为是涉案金额太小了，我们小公司声音不够大。
联通那边我也找过人工，意思是有能力配合，但只能跟帽子叔叔配合。
说一句让大家失望的话，目前这个问题是无解的。
下一步我准备从 EdgeOne 重新切换回普通的 CDN 了，下载链接全部挂鉴权配置，自己写个后台做些简单的限制