CC攻擊（Challenge Collapsar）是DDOS（分布式拒絕服務(wù)）的一種，前身名為Fatboy攻擊，也是一種常見(jiàn)的網(wǎng)站攻擊方法。攻擊者借助代理服務(wù)器生成指向受害主機的合法請求，實(shí)現DDOS和偽裝就叫：CC(ChallengeCollapsar)。
CC主要是用來(lái)攻擊頁(yè)面的。攻擊者通過(guò)代理服務(wù)器或者肉雞向向受害主機不停地發(fā)大量數據包，造成對方服務(wù)器資源耗盡，一直到宕機崩潰。相比其它的DDOS攻擊CC似乎更有技術(shù)含量一些。這種攻擊你見(jiàn)不到真實(shí)源IP，見(jiàn)不到特別大的異常流量，但造成服務(wù)器無(wú)法進(jìn)行正常連接。最讓站長(cháng)們憂(yōu)慮的是這種攻擊技術(shù)含量低，利用更換IP代理工具和一些IP代理一個(gè)初、中級的電腦水平的用戶(hù)就能夠實(shí)施攻擊。
CC攻擊的原理
CC攻擊的原理就是攻擊者控制某些主機不停地發(fā)大量數據包給對方服務(wù)器造成服務(wù)器資源耗盡，一直到宕機崩潰。CC主要是用來(lái)攻擊頁(yè)面的，每個(gè)人都有這樣的體驗：當一個(gè)網(wǎng)頁(yè)訪(fǎng)問(wèn)的人數特別多的時(shí)候，打開(kāi)網(wǎng)頁(yè)就慢了，CC就是模擬多個(gè)用戶(hù)（多少線(xiàn)程就是多少用戶(hù)）不停地進(jìn)行訪(fǎng)問(wèn)那些需要大量數據操作（就是需要大量CPU時(shí)間）的頁(yè)面，造成服務(wù)器資源的浪費，CPU長(cháng)時(shí)間處于100%，永遠都有處理不完的連接直至就網(wǎng)絡(luò )擁塞，正常的訪(fǎng)問(wèn)被中止。
1. 利用Session做訪(fǎng)問(wèn)計數器：利用Session針對每個(gè)IP做頁(yè)面訪(fǎng)問(wèn)計數器或文件下載計數器，防止用戶(hù)對某個(gè)頁(yè)面頻繁刷新導致數據庫頻繁讀取或頻繁下載某個(gè)文件而產(chǎn)生大額流量。（文件下載不要直接使用下載地址，才能在服務(wù)端代碼中做CC攻擊的過(guò)濾處理）
2. 把網(wǎng)站做成靜態(tài)頁(yè)面：大量事實(shí)證明，把網(wǎng)站盡可能做成靜態(tài)頁(yè)面，不僅能大大提高抗攻擊能力，而且還給駭客入侵帶來(lái)不少麻煩，至少到現在為止關(guān)于HTML的溢出還沒(méi)出現，看看吧！新浪、搜狐、網(wǎng)易等門(mén)戶(hù)網(wǎng)站主要都是靜態(tài)頁(yè)面，若你非需要動(dòng)態(tài)腳本調用，那就把它弄到另外一臺單獨主機去，免的遭受攻擊時(shí)連累主服務(wù)器。
3. 增強操作系統的TCP/IP棧：Win2000和Win2003作為服務(wù)器操作系統，本身就具備一定的抵抗DDOS攻擊的能力，只是默認狀態(tài)下沒(méi)有開(kāi)啟而已，若開(kāi)啟的話(huà)可抵擋約10000個(gè)SYN攻擊包，若沒(méi)有開(kāi)啟則僅能抵御數百個(gè)，具體怎么開(kāi)啟，自己去看微軟的文章吧！《強化 TCP/IP 堆棧安全》。也許有的人會(huì )問(wèn)，那我用的是Linux和FreeBSD怎么辦？很簡(jiǎn)單，按照這篇文章去做吧！《SYN Cookies》。
4. 在存在多站的服務(wù)器上，嚴格限制每一個(gè)站允許的IP連接數和CPU使用時(shí)間，這是一個(gè)很有效的方法。CC的防御要從代碼做起，其實(shí)一個(gè)好的頁(yè)面代碼都應該注意這些東西，還有SQL注入，不光是一個(gè)入侵工具，更是一個(gè)DDOS缺口，大家都應該在代碼中注意。舉個(gè)例子吧，某服務(wù)器，開(kāi)動(dòng)了5000線(xiàn)的CC攻擊，沒(méi)有一點(diǎn)反應，因為它所有的訪(fǎng)問(wèn)數據庫請求都必須一個(gè)隨機參數在Session里面，全是靜態(tài)頁(yè)面，沒(méi)有效果。突然發(fā)現它有一個(gè)請求會(huì )和外面的服務(wù)器聯(lián)系獲得，需要較長(cháng)的時(shí)間，而且沒(méi)有什么認證，開(kāi)800線(xiàn)攻擊，服務(wù)器馬上滿(mǎn)負荷了。代碼層的防御需要從點(diǎn)點(diǎn)滴滴做起，一個(gè)腳本代碼的錯誤，可能帶來(lái)的是整個(gè)站的影響，甚至是整個(gè)服務(wù)器的影響!
5. 服務(wù)器前端加CDN中轉(免費的有百度云加速、360網(wǎng)站衛士、加速樂(lè )、安全寶等)，如果資金充裕的話(huà)，可以購買(mǎi)高防的盾機，用于隱藏服務(wù)器真實(shí)IP，域名解析使用CDN的IP，所有解析的子域名都使用CDN的IP地址。此外，服務(wù)器上部署的其他域名也不能使用真實(shí)IP解析，全部都使用CDN來(lái)解析。
另外，防止服務(wù)器對外傳送信息泄漏IP地址，最常見(jiàn)的情況是，服務(wù)器不要使用發(fā)送郵件功能，因為郵件頭會(huì )泄漏服務(wù)器的IP地址。如果非要發(fā)送郵件，可以通過(guò)第三方代理(例如sendcloud)發(fā)送，這樣對外顯示的IP是代理的IP地址。
總之，只要服務(wù)器的真實(shí)IP不泄露，10G以下小流量DDOS的預防花不了多少錢(qián)，免費的CDN就可以應付得了。如果攻擊流量超過(guò)20G，那么免費的CDN可能就頂不住了。
聯(lián)系客服
