阿里 CDN 被恶意刷流量!

[lthero]

说明

本人在 github 部署了静态网页博客，使用阿里云的 cdn 进行加速，最近发现 cdn 流量异常

异常表现：晚上 20 点到 2 点期间刷了 4GB 流量，访问 10w+次；并不是每天都有，最近是隔一周左右发生一次

处理

好在阿里云提供了查询 ip 的接口（接口还被藏起来了）

https://next.api.aliyun.com/api/Cdn/2018-05-10/DescribeDomainTopClientIpVisit

返回结果如下

仅一天内的访问情况

  "ClientIpList": [
    {
      "Acc": 172871,
      "Traffic": 1932827800, #Byte,大概 2GB
      "Rank": 1,
      "ClientIp": "1.202.114.36"
    },

坏蛋 ip

1.202.114.36

1.202.114.242

北京电信的

[summerwar]

前一段不是好多刷 cdn 流量的吗？尤其是组团刷下载的那些，这个问题无解。

我个人是把网站都扔 cloudflare pages 了，国内随缘打开，但是可以睡个安稳觉，啥都不用管

[TwilightCool]

终于撞了一个头像了~

[skallz]

查 ip 没用的，极大概率查不到是谁，首先云服务商自己就会刷流量，其次很多其他用途也会刷流量（只要你的域名暴露），最稳妥的方式还是用服务器，大不了被刷到服务器带宽瘫痪，好过被刷到欠费！

[lucasdev]

https://ping0.cc/ip/1.202.114.36

[duzhuo]

刷的什么 图片吗

[lthero]

@lucasdev #4 好工具，收藏了🥰

[lthero]

@duzhuo #5 对，对着图片一直刷🤡

[sggggy]

可以切换到 dcdn ，然后用边缘脚本自定义策略，尝试是否能判断指定 url 的请求来源（请求头 referer ），
用正则表达式匹配 URL 路径。

策略：如果路径匹配，脚本会接着检查请求来源是否来自预期的域名地址，如果不是就拒绝请求。

这个遇到过，之前被刷了 18 个 T ，用边缘脚本来做策略，彻底解决了，如果只用 dcdn 默认的规则不能彻底封杀，只要 对方 IP 足够多，还是能够一直刷流量。

[gitdoit]

哼~ 坏蛋

[lthero]

@sggggy #8 哇靠 18TB ，畜生啊；谢谢！我可以尝试下这方案

[proxychains]

PCDN 刷下行量的

[duzhuo]

@lthero https://developers.cloudflare.com/r2/pricing/ 直接跑了得了，惹不起哈哈

[moro]

只有运营商才有这个动机。

[googlefans]

@skallz 我是把配置弄得很低，一访问就 down 机。

[lupus721]

真是不明白，这些人图啥

[yuzo555]

https://www.dogecloud.com/announcement/26
供参考。
建议设置好流量封顶，设置到自己能接受的流量值，比如每天最多 10GB 、20GB 之类的，另外也可以定期查看访问 IP 排行进行封禁，高频率攻击的话可以设置 IP 访问频率 QPS 限制。
异常流量时间段可以下载日志文件，查看攻击者的访问特征（比如 UA 特征等），精准屏蔽。

[lthero]

@yuzo555 #16 谢谢！刚刚设置了流量封顶和带宽限制，过阵子看看效果

[lthero]

@lupus721 #15 听说是 PCDN 刷下行流量的，和上行流量对冲，避免被运营商查水表

[lambdaq]

问题，cdn 如果缺收入了，业务员随机挑一个受害者扔给 pcdn 或者 ddos 组织吗？

[liuidetmks]

@lambdaq 不是没可能。

这环境，所有绑卡的都不搞