阿里 CDN 被恶意刷流量!

[lthero]

说明

本人在 github 部署了静态网页博客，使用阿里云的 cdn 进行加速，最近发现 cdn 流量异常

异常表现：晚上 20 点到 2 点期间刷了 4GB 流量，访问 10w+次；并不是每天都有，最近是隔一周左右发生一次

处理

好在阿里云提供了查询 ip 的接口（接口还被藏起来了）

https://next.api.aliyun.com/api/Cdn/2018-05-10/DescribeDomainTopClientIpVisit

返回结果如下

仅一天内的访问情况

  "ClientIpList": [
    {
      "Acc": 172871,
      "Traffic": 1932827800, #Byte,大概 2GB
      "Rank": 1,
      "ClientIp": "1.202.114.36"
    },

坏蛋 ip

1.202.114.36

1.202.114.242

北京电信的

[summerwar]

前一段不是好多刷 cdn 流量的吗？尤其是组团刷下载的那些，这个问题无解。

我个人是把网站都扔 cloudflare pages 了，国内随缘打开，但是可以睡个安稳觉，啥都不用管

[TwilightCool]

终于撞了一个头像了~

[skallz]

查 ip 没用的，极大概率查不到是谁，首先云服务商自己就会刷流量，其次很多其他用途也会刷流量（只要你的域名暴露），最稳妥的方式还是用服务器，大不了被刷到服务器带宽瘫痪，好过被刷到欠费！

[lucasdev]

https://ping0.cc/ip/1.202.114.36

[duzhuo]

刷的什么 图片吗

[lthero]

@lucasdev #4 好工具，收藏了🥰

[lthero]

@duzhuo #5 对，对着图片一直刷🤡

[sggggy]

可以切换到 dcdn ，然后用边缘脚本自定义策略，尝试是否能判断指定 url 的请求来源（请求头 referer ），
用正则表达式匹配 URL 路径。

策略：如果路径匹配，脚本会接着检查请求来源是否来自预期的域名地址，如果不是就拒绝请求。

这个遇到过，之前被刷了 18 个 T ，用边缘脚本来做策略，彻底解决了，如果只用 dcdn 默认的规则不能彻底封杀，只要 对方 IP 足够多，还是能够一直刷流量。

[gitdoit]

哼~ 坏蛋

[lthero]

@sggggy #8 哇靠 18TB ，畜生啊；谢谢！我可以尝试下这方案

[proxychains]

PCDN 刷下行量的

[duzhuo]

@lthero https://developers.cloudflare.com/r2/pricing/ 直接跑了得了，惹不起哈哈

[moro]

只有运营商才有这个动机。

[googlefans]

@skallz 我是把配置弄得很低，一访问就 down 机。

[lupus721]

真是不明白，这些人图啥

[yuzo555]

https://www.dogecloud.com/announcement/26
供参考。
建议设置好流量封顶，设置到自己能接受的流量值，比如每天最多 10GB 、20GB 之类的，另外也可以定期查看访问 IP 排行进行封禁，高频率攻击的话可以设置 IP 访问频率 QPS 限制。
异常流量时间段可以下载日志文件，查看攻击者的访问特征（比如 UA 特征等），精准屏蔽。

[lthero]

@yuzo555 #16 谢谢！刚刚设置了流量封顶和带宽限制，过阵子看看效果

[lthero]

@lupus721 #15 听说是 PCDN 刷下行流量的，和上行流量对冲，避免被运营商查水表

[lambdaq]

问题，cdn 如果缺收入了，业务员随机挑一个受害者扔给 pcdn 或者 ddos 组织吗？

[liuidetmks]

@lambdaq 不是没可能。

这环境，所有绑卡的都不搞

[AEnjoyable]

我觉得北京电信 1.202/16 和 1.203/16 这两个 IP 段特别脏
我们公司的电信出口在这里面，打开好些网站都是 403 一查 公司 IP 高风险

然后就是这个网段里还有不少电信机房的机器，老是扫我的 vps

[xmumiffy]

卖房 CDN 的日常😂

[liuzimin]

@sggggy 我也是用 dcdn 的 waf 策略解决的。不过我是按流量阈值的。短时间内超过一定流量就把 ip 拉黑。

[tjiaming99]

之前 VPS 被刷了一个 T 心疼的要死，你这赶上大出血了/haha

[Gilfoyle26]

阿里云对这种情况也熟视无睹？？？这么做生意也能赚到钱，真是神奇。

[MagmaBlock]

https://www.dogecloud.com/announcement/26

今年我也遇到了，一个十八线不知名小博客都有被刷
好在设置了流量上限，没造成啥损失

对互联网提供服务，就要想好被恶意攻击的情况，前几年没 PCDN 的时候也遇见过恶意刷流量的。网线对面什么人都有

[macaodoll]

记得前几个月也有老哥说过这个事情，下面评论说是阿里自己用山西的 IP 批量刷的，参考下

[mrzzoxo]

博客？
如果没涉及商业的话
建议丢 cloud flare 好了，又不影响访问

[lthero]

@macaodoll #27 对！也搜到了那篇帖子，我估计我的也是被拿去刷 pcdn 了

[lthero]

@Gilfoyle26 #25 阿里云的 cdn 上倒是发了一条提醒，说最近有这种情况出现，警惕用户要处理

[lthero]

@AEnjoyable #21 好！这网段全禁了先👀

[lthero]

@MagmaBlock #26 哎，小博客都被抓着刷，挺难受的

[realpg]

@summerwar #1
所以有没有渠道介绍点这种需要刷下行流量的给我
我有一些 cdn 需要别人帮我刷点下行流量做业绩

[lthero]

各位新年快乐

[AEnjoyable]

@lthero #31 这里面还有少量的北京电信移动网络...

[buildops]

建议可以收集好证据，然后到工信部平台投诉（ IP 对应的运营商）查处这些涉嫌违法的 IP： https://ts.isc.org.cn 或 https://yhssglxt.miit.gov.cn

[buildops]

有个向工信部投诉成功的 case： https://www.idcbuy.net/talk/3242.html

[summerwar]

@realpg 直接写个脚本一直循环请求大文件就是了，不需要别人，自己都能搞

[kele999]

开 refer 限制，开下行速率限制，开 IP 请求频率限制

[realpg]

@summerwar #38
自己的那点带宽远远不够

[iorilu]

我怎么记得国内 cdn 必须都要使用备案的域名

[summerwar]

@realpg #40 去人多的地方，发点很嚣张的帖子，挂上网址，一会就够了

[lthero]

@iorilu #41 域名已经备案了的

[realpg]

@summerwar #42
如果我是想整别人，那这样是可以的
问题是我并不是想整别人 是纯纯的业务需要 我甚至可以付点钱

[summerwar]

@realpg #44 不了解这方便的业务，帮不上忙

[iorilu]

国内几个 cdn 都有很详细的设置的

比如你设置每天 5G 流量封顶, 预防被刷钱

[Emma24]

好家伙这么大网站部设置封顶的吗

[misty8873]

@lucasdev 这个网站怎么和 ipip 那么像。。。。