CC攻擊（Challenge Collapsar）是DDOS（分布式拒絕服務(wù)）的一種，也是一種常見的網(wǎng)站攻擊方法，攻擊者通過代理服務(wù)器或者肉雞向向受害主機(jī)不停地發(fā)大量數(shù)據(jù)包，造成對(duì)方服務(wù)器資源耗盡，一直到宕機(jī)崩潰。

CC攻擊的攻擊技術(shù)含量低，利用工具和一些IP代理，一個(gè)初、中級(jí)的電腦水平的用戶就能夠?qū)嵤┕?。不過，如果了解了CC攻擊的原理，那就不難針對(duì)CC攻擊實(shí)施一些有效的防范措施。

通常防止CC攻擊的方法有幾種，一個(gè)是通過防火墻，另外一些網(wǎng)絡(luò)公司也提供了一些防火墻服務(wù)，例如XX網(wǎng)站衛(wèi)士和XX寶，還有一種方法是自己寫程序預(yù)防，昨天網(wǎng)站遇到CC攻擊，這也讓我嘗試了一下各種防止CC攻擊方法的有效性。

一開始我想使用某某網(wǎng)站衛(wèi)士來(lái)預(yù)防攻擊，從界面上看，似乎是防止了大量的CC攻擊，但登錄網(wǎng)站后發(fā)現(xiàn)，流量依舊異常，攻擊還是依舊，看起來(lái)這個(gè)網(wǎng)站衛(wèi)士的效果并沒有達(dá)到。

從原理上看，基本上所有的防火墻都會(huì)檢測(cè)并發(fā)的TCP/IP連接數(shù)目，超過一定數(shù)目一定頻率就會(huì)被認(rèn)為是Connection-Flood。但如果IP的數(shù)量足夠大，使得單個(gè)IP的連接數(shù)較少，那么防火墻未必能阻止CC攻擊。

實(shí)際上，通過分析網(wǎng)站日志，還是很容易分辨出哪個(gè)IP是CC攻擊的，因?yàn)镃C攻擊畢竟是通過程序來(lái)抓取網(wǎng)頁(yè)，與普通瀏覽者的特性區(qū)別還是很大的，例如普通瀏覽者訪問一個(gè)網(wǎng)頁(yè)，必定會(huì)連續(xù)抓取網(wǎng)頁(yè)的HTML文件、CSS文件、JS文件和圖片等一系列相關(guān)文件，而CC攻擊者僅僅只會(huì)抓取一個(gè)URL地址的文件，不會(huì)抓取其他類型的文件，其User Agent也大部分和普通瀏覽者不同，這就可以在服務(wù)器上很容易分辨出哪些訪問者是CC攻擊了，既然可以判斷出攻擊者的IP，那么預(yù)防措施就很簡(jiǎn)單，只需要批量將這些IP屏蔽，即可達(dá)到防范CC攻擊的目的。

最終，我花了半個(gè)小時(shí)寫了一段小程序，運(yùn)行之后自動(dòng)屏蔽了數(shù)百個(gè)IP，網(wǎng)站才算正常，從而證明，防火墻對(duì)于CC攻擊的防御并不有效，最有效的方法還是在服務(wù)器端通過程序自動(dòng)屏蔽來(lái)預(yù)防。

看來(lái)CC攻擊的門檻還真低啊，搞個(gè)幾百個(gè)代理或者肉雞就能攻擊別人了，其成本非常低，但效果比較明顯，如果攻擊者流量巨大的話，通過耗費(fèi)帶寬資源的方式都可以進(jìn)行攻擊。但是，CC攻擊也有明顯的技術(shù)缺陷，就是攻擊者的IP并不是海量的，通常就是幾百數(shù)千的級(jí)別，并且是真實(shí)訪問了網(wǎng)站頁(yè)面，這就使得網(wǎng)站可以通過程序過濾的方式，輕松獲取到這些攻擊者IP，批量進(jìn)行屏蔽，那么這種CC攻擊就會(huì)得到防。 

IIS專家CC防御系統(tǒng) 這是一款針對(duì)CC防御效果還是不錯(cuò)的軟件，現(xiàn)在推薦給大家

IIS專家

下載地址：http://www.dbjr.com.cn/softs/43858.html

以下對(duì)IIS專家CC防御功能進(jìn)行演示

CC攻擊，與DDOS、UDP、SYN Flood并為當(dāng)今最流行的四大攻擊方式，硬件防火墻防御UDP等效果較好，但對(duì)于CC這種全連接攻擊，軟件防御更占優(yōu)勢(shì)；
CC防御的原理概括：利用代理或者肉雞的方式，對(duì)某服務(wù)器某個(gè)（某些）消耗資源較大的處理過程（文件）進(jìn)行大量請(qǐng)求，遠(yuǎn)遠(yuǎn)超出服務(wù)器的處理能力，導(dǎo)致服務(wù)器癱瘓，無(wú)法響應(yīng)正常請(qǐng)求；
基本特征：可以通過cmd命令：netstat –an查看當(dāng)前TCP連接數(shù)，如果發(fā)現(xiàn)許多重復(fù)的等待連接數(shù)，如“TCP 211.87.147.4:80 220.10.69.67:2205 SYN_RECEIVED 4”，并且服務(wù)器CPU一直100%，帶寬使用也很高，停止網(wǎng)絡(luò)服務(wù)后CPU使用恢復(fù)正常，這種情況基本可以斷定為CC攻擊。
IIS專家的CC防御，相比其它軟件的防御，有著智能防御的優(yōu)勢(shì)，不影響正常用戶的訪問，我們接下來(lái)進(jìn)行演示：

一、 CC防御基本信息設(shè)置

 我們先設(shè)置CC防御后發(fā)送到客戶端瀏覽器的提示信息，如圖1：

圖1 設(shè)置CC攻擊攔截提示信息

接下來(lái)對(duì)CC防御基本參數(shù)進(jìn)行設(shè)置，圖2：

圖2 CC防御基本參數(shù)設(shè)置

關(guān)于防御性能指數(shù)，如果不能防御CC，我們可以設(shè)置的更低一些，比如8-15之間即可。
設(shè)置好后，讓我們繼續(xù)：

二、 拒絕代理訪問：

1、 普通CC利用代理發(fā)動(dòng)攻擊，我們選中圖2中的【拒絕所有代理訪問】就可以很好的防止代理訪問的攻擊。設(shè)置好瀏覽器的代理，打開測(cè)試頁(yè)面，如圖3：

圖3 禁止代理訪問服務(wù)器示意圖

三、 防御惡意刷新演示：

1、 圖2中，設(shè)置單IP連接數(shù)訪問上限為15（表示每個(gè)IP一秒內(nèi)允許對(duì)某個(gè)頁(yè)面進(jìn)行15次請(qǐng)求），超過該上限即認(rèn)為惡意刷新，系統(tǒng)進(jìn)行攔截，如圖4：

圖4 攔截單IP惡意刷新示意圖

該IP被攔截后，根據(jù)圖2的【防御解鎖時(shí)間】，該時(shí)間過后該IP自動(dòng)解封，如果繼續(xù)發(fā)動(dòng)攻擊，則繼續(xù)重新攔截！攔截后，能立即生產(chǎn)攔截日志：blacklist_ip.log

四、 防御肉雞攻擊演示（以半自動(dòng)過濾為例）：

比較高級(jí)的CC攻擊，除了使用代理，也使用肉雞的方式進(jìn)行攻擊，導(dǎo)致服務(wù)器不堪重負(fù)，IIS專家如果發(fā)現(xiàn)肉雞攻擊，立即會(huì)要求訪問該頁(yè)面的用戶輸入驗(yàn)證，驗(yàn)證后用戶可以正常訪問，同時(shí)，服務(wù)器其他未被攻擊的頁(yè)面可以照常訪問，絲毫無(wú)影響，圖5：

圖5 輸入驗(yàn)證碼后即可正常訪問

該頁(yè)面被防護(hù)后，根據(jù)圖2的【防御解鎖時(shí)間】，該時(shí)間過后該頁(yè)面的防御自動(dòng)解除，如果繼續(xù)被攻擊，則IIS專家將對(duì)該頁(yè)面繼續(xù)重新防護(hù)！攔截后，能立即產(chǎn)生日志：blacklist_cc.log

五、 IP黑名單：

對(duì)于不信任的IP，可以將其直接加入黑名單，阻止對(duì)服務(wù)器進(jìn)行訪問，如圖6：

圖6 設(shè)置IP黑名單

設(shè)置IP“127.0.0.1”到黑名單，通過該IP訪問的用戶就會(huì)被攔截，如圖7：

圖7 攔截IP示意圖

CC防御后，IIS專家會(huì)記錄攻擊日志，如圖5：

圖5 在主控端看到的CC防御日志

六、 總結(jié)：

1、 IIS專家測(cè)試過成功防御8000TCP連接攻擊；
2、 CC防御效果與很多因素有關(guān)系，包括防御規(guī)則設(shè)置、服務(wù)器本身參數(shù)、非法用戶攻擊對(duì)象、非法用戶攻擊方式等；
3、 為了更加人性化，IIS專家不會(huì)魯莽地對(duì)正常用戶進(jìn)行拒絕， 而白名單制度很好的解決了這個(gè)問題；

最新評(píng)論