CC攻擊（Challenge Collapsar）是DDOS（分布式拒絕服務(wù)）的一種，也是一種常見的網(wǎng)站攻擊方法，攻擊者通過代理服務(wù)器或者肉雞向向受害主機不停地發(fā)大量數(shù)據(jù)包，造成對方服務(wù)器資源耗盡，一直到宕機崩潰。

CC攻擊的攻擊技術(shù)含量低，利用工具和一些IP代理，一個初、中級的電腦水平的用戶就能夠?qū)嵤┕簟２贿^，如果了解了CC攻擊的原理，那就不難針對CC攻擊實施一些有效的防范措施。

通常防止CC攻擊的方法有幾種，一個是通過防火墻，另外一些網(wǎng)絡(luò)公司也提供了一些防火墻服務(wù)，例如XX網(wǎng)站衛(wèi)士和XX寶，還有一種方法是自己寫程序預(yù)防，昨天網(wǎng)站遇到CC攻擊，這也讓我嘗試了一下各種防止CC攻擊方法的有效性。

一開始我想使用某某網(wǎng)站衛(wèi)士來預(yù)防攻擊，從界面上看，似乎是防止了大量的CC攻擊，但登錄網(wǎng)站后發(fā)現(xiàn)，流量依舊異常，攻擊還是依舊，看起來這個網(wǎng)站衛(wèi)士的效果并沒有達到。

從原理上看，基本上所有的防火墻都會檢測并發(fā)的TCP/IP連接數(shù)目，超過一定數(shù)目一定頻率就會被認為是Connection-Flood。但如果IP的數(shù)量足夠大，使得單個IP的連接數(shù)較少，那么防火墻未必能阻止CC攻擊。

實際上，通過分析網(wǎng)站日志，還是很容易分辨出哪個IP是CC攻擊的，因為CC攻擊畢竟是通過程序來抓取網(wǎng)頁，與普通瀏覽者的特性區(qū)別還是很大的，例如普通瀏覽者訪問一個網(wǎng)頁，必定會連續(xù)抓取網(wǎng)頁的HTML文件、CSS文件、JS文件和圖片等一系列相關(guān)文件，而CC攻擊者僅僅只會抓取一個URL地址的文件，不會抓取其他類型的文件，其User Agent也大部分和普通瀏覽者不同，這就可以在服務(wù)器上很容易分辨出哪些訪問者是CC攻擊了，既然可以判斷出攻擊者的IP，那么預(yù)防措施就很簡單，只需要批量將這些IP屏蔽，即可達到防范CC攻擊的目的。

最終，我花了半個小時寫了一段小程序，運行之后自動屏蔽了數(shù)百個IP，網(wǎng)站才算正常，從而證明，防火墻對于CC攻擊的防御并不有效，最有效的方法還是在服務(wù)器端通過程序自動屏蔽來預(yù)防。

看來CC攻擊的門檻還真低啊，搞個幾百個代理或者肉雞就能攻擊別人了，其成本非常低，但效果比較明顯，如果攻擊者流量巨大的話，通過耗費帶寬資源的方式都可以進行攻擊。但是，CC攻擊也有明顯的技術(shù)缺陷，就是攻擊者的IP并不是海量的，通常就是幾百數(shù)千的級別，并且是真實訪問了網(wǎng)站頁面，這就使得網(wǎng)站可以通過程序過濾的方式，輕松獲取到這些攻擊者IP，批量進行屏蔽，那么這種CC攻擊就會得到防。 

IIS專家CC防御系統(tǒng) 這是一款針對CC防御效果還是不錯的軟件，現(xiàn)在推薦給大家

IIS專家

下載地址：http://www.dbjr.com.cn/softs/43858.html

以下對IIS專家CC防御功能進行演示

CC攻擊，與DDOS、UDP、SYN Flood并為當(dāng)今最流行的四大攻擊方式，硬件防火墻防御UDP等效果較好，但對于CC這種全連接攻擊，軟件防御更占優(yōu)勢；
CC防御的原理概括：利用代理或者肉雞的方式，對某服務(wù)器某個（某些）消耗資源較大的處理過程（文件）進行大量請求，遠遠超出服務(wù)器的處理能力，導(dǎo)致服務(wù)器癱瘓，無法響應(yīng)正常請求；
基本特征：可以通過cmd命令：netstat –an查看當(dāng)前TCP連接數(shù)，如果發(fā)現(xiàn)許多重復(fù)的等待連接數(shù)，如“TCP 211.87.147.4:80 220.10.69.67:2205 SYN_RECEIVED 4”，并且服務(wù)器CPU一直100%，帶寬使用也很高，停止網(wǎng)絡(luò)服務(wù)后CPU使用恢復(fù)正常，這種情況基本可以斷定為CC攻擊。
IIS專家的CC防御，相比其它軟件的防御，有著智能防御的優(yōu)勢，不影響正常用戶的訪問，我們接下來進行演示：

一、 CC防御基本信息設(shè)置

 我們先設(shè)置CC防御后發(fā)送到客戶端瀏覽器的提示信息，如圖1：

圖1 設(shè)置CC攻擊攔截提示信息

接下來對CC防御基本參數(shù)進行設(shè)置，圖2：

圖2 CC防御基本參數(shù)設(shè)置

關(guān)于防御性能指數(shù)，如果不能防御CC，我們可以設(shè)置的更低一些，比如8-15之間即可。
設(shè)置好后，讓我們繼續(xù)：

二、 拒絕代理訪問：

1、 普通CC利用代理發(fā)動攻擊，我們選中圖2中的【拒絕所有代理訪問】就可以很好的防止代理訪問的攻擊。設(shè)置好瀏覽器的代理，打開測試頁面，如圖3：

圖3 禁止代理訪問服務(wù)器示意圖

三、 防御惡意刷新演示：

1、 圖2中，設(shè)置單IP連接數(shù)訪問上限為15（表示每個IP一秒內(nèi)允許對某個頁面進行15次請求），超過該上限即認為惡意刷新，系統(tǒng)進行攔截，如圖4：

圖4 攔截單IP惡意刷新示意圖

該IP被攔截后，根據(jù)圖2的【防御解鎖時間】，該時間過后該IP自動解封，如果繼續(xù)發(fā)動攻擊，則繼續(xù)重新攔截！攔截后，能立即生產(chǎn)攔截日志：blacklist_ip.log

四、 防御肉雞攻擊演示（以半自動過濾為例）：

比較高級的CC攻擊，除了使用代理，也使用肉雞的方式進行攻擊，導(dǎo)致服務(wù)器不堪重負，IIS專家如果發(fā)現(xiàn)肉雞攻擊，立即會要求訪問該頁面的用戶輸入驗證，驗證后用戶可以正常訪問，同時，服務(wù)器其他未被攻擊的頁面可以照常訪問，絲毫無影響，圖5：

圖5 輸入驗證碼后即可正常訪問

該頁面被防護后，根據(jù)圖2的【防御解鎖時間】，該時間過后該頁面的防御自動解除，如果繼續(xù)被攻擊，則IIS專家將對該頁面繼續(xù)重新防護！攔截后，能立即產(chǎn)生日志：blacklist_cc.log

五、 IP黑名單：

對于不信任的IP，可以將其直接加入黑名單，阻止對服務(wù)器進行訪問，如圖6：

圖6 設(shè)置IP黑名單

設(shè)置IP“127.0.0.1”到黑名單，通過該IP訪問的用戶就會被攔截，如圖7：

圖7 攔截IP示意圖

CC防御后，IIS專家會記錄攻擊日志，如圖5：

圖5 在主控端看到的CC防御日志

六、 總結(jié)：

1、 IIS專家測試過成功防御8000TCP連接攻擊；
2、 CC防御效果與很多因素有關(guān)系，包括防御規(guī)則設(shè)置、服務(wù)器本身參數(shù)、非法用戶攻擊對象、非法用戶攻擊方式等；
3、 為了更加人性化，IIS專家不會魯莽地對正常用戶進行拒絕， 而白名單制度很好的解決了這個問題；

最新評論