CC攻击原理学习笔记 - CSDN博客
CC攻击原理学习笔记
作为站长或者公司的网站的网管，什么最可怕？
　　显然是网站受到的DDoS攻击。大家都有这样的经历,就是在访问某一公司网站或者论坛时,如果这个网站或者论坛流量比较大,访问的人比较多,打开页面的速度会比较慢,对不?!一般来说,访问的人越多,网站或论坛的页面越多,数据库就越大,被访问的频率也越高,占用的系统资源也就相当可观,。
　　CC攻击是DDoS(分布式拒绝服务)的一种，相比其它的DDoS攻击CC似乎更有技术含量一些。这种攻击你见不到虚假IP，见不到特别大的异常流量，但造成服务器无法进行正常连接，一条ADSL的普通用户足以挂掉一台高性能的Web服务器。由此可见其危害性，称其为“Web杀手”毫不为过。最让站长们忧虑的是这种攻击技术含量不是很高，利用工具和一些IP代理，一个初、中级的电脑水平的用户就能够实施DDoS 攻击。
　　那么怎样保证这些网站服务器的安全呢？冰盾DDoS防火墙专家认为，防护CC攻击大家有必要了解CC攻击的原理及如果发现CC攻击和对其的防范措施（参阅：）。
一、 CC攻击的原理：
　　CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。
二、CC攻击的种类：
　　CC攻击的种类有三种，直接攻击，代理攻击，僵尸网络攻击，直接攻击主要针对有重要缺陷的 WEB 应用程序，一般说来是程序写的有问题的时候才会出现这种情况，比较少见。僵尸网络攻击有点类似于 DDOS 攻击了，从 WEB 应用程序层面上已经无法防御，所以代理攻击是CC 攻击者一般会操作一批代理服务器，比方说 100 个代理，然后每个代理同时发出 10 个请求，这样 WEB 服务器同时收到 1000 个并发请求的，并且在发出请求后，立刻断掉与代理的连接，避免代理返回的数据将本身的带宽堵死，而不能发动再次请求，这时
WEB 服务器会将响应这些请求的进程进行队列，数据库服务器也同样如此，这样一来，正常请求将会被排在很后被处理，就象本来你去食堂吃饭时，一般只有不到十个人在排队，今天前面却插了一千个人，那么轮到你的机会就很小很小了，这时就出现页面打开极其缓慢或者白屏。
三、 攻击症状
　　CC攻击有一定的隐蔽性，那如何确定服务器正在遭受或者曾经遭受CC攻击呢?我们可以通过以下三个方法来确定。
　　(1).命令行法
　　一般遭受CC攻击时，Web服务器会出现80端口对外关闭的现象， 因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。我们可以通过在命令行下输入命令netstat -an来查看，如果看到类似如下有大量显示雷同的连接记录基本就可以被CC攻击了：
　　TCP 192.168.1.3:80 192.168.1.6:2205 SYN_RECEIVED 4
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4
TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4 ……
其中“192.168.1.6”就是被用来代理攻击的主机的IP，“SYN_RECEIVED”是TCP连接状态标志，意思是“正在处于连接的初始同步状态 ”，表明无法建立握手应答处于等待状态。这就是攻击的特征，一般情况下这样的记录一般都会有很多条，表示来自不同的代理IP的攻击。
(2).批处理法
　　上述方法需要手工输入命令且如果Web服务器IP连接太多看起来比较费劲，我们可以建立一个批处理文件，通过该脚本代码确定是否存在CC攻击。打开记事本键入如下代码保存为CC.bat：
　　time /t &&log.log
　　netstat -n -p tcp |find &:80&&&Log.log
　　notepad log.log
上面的脚本的含义是筛选出当前所有的到80端口的连接。当我们感觉服务器异常是就可以双击运行该批处理文件，然后在打开的log.log文件中查看所有的连接。如果同一个IP有比较多的到服务器的连接，那就基本可以确定该IP正在对服务器进行CC攻击。
(3).查看系统日志
　　上面的两种方法有个弊端，只可以查看当前的CC攻击，对于确定Web服务器之前是否遭受CC攻击就无能为力了，此时我们可以通过Web日志来查，因为Web日志忠实地记录了所有IP访问Web资源的情况。通过查看日志我们可以Web服务器之前是否遭受CC攻击，并确定攻击者的IP然后采取进一步的措施。
　　Web日志一般在C:\WINDOWS\system32\LogFiles\HTTPERR目录下，该目录下用类似httperr1.log的日志文件，这个文件就是记录Web访问错误的记录。管理员可以依据日志时间属性选择相应的日志打开进行分析是否Web被CC攻击了。默认情况下，Web日志记录的项并不是很多，我们可以通过IIS进行设置，让Web日志记录更多的项以便进行安全分析。其操作步骤是：
　　“开始→管理工具”打开“Internet信息服务器”，展开左侧的项定位到到相应的Web站点，然后右键点击选择“属性”打开站点属性窗口，在“网站”选项卡下点击“属性”按钮，在“日志记录属性”窗口的“高级”选项卡下可以勾选相应的“扩展属性”，以便让Web日志进行记录。比如其中的“发送的字节数”、“接收的字节数”、“所用时间”这三项默认是没有选中的，但在记录判断CC攻击中是非常有用的，可以勾选。另外，如果你对安全的要求比较高，可以在“常规”选项卡下对“新日志计划”进行设置，让其“每小时”或者“每一天”进行记录。为了便于日后进行分析时好确定时间可以勾选“文件命名和创建使用当地时间”。
四、 CC攻击防御策略
确定Web服务器正在或者曾经遭受CC攻击，那如何进行有效的防范呢?
(1).取消域名绑定
　　一般cc攻击都是针对网站的域名进行攻击，比如我们的网站域名是“”，那么攻击者就在攻击工具中设定攻击对象为该域名然后实施攻击。
对于这样的攻击我们的措施是在IIS上取消这个域名的绑定，让CC攻击失去目标。具体操作步骤是：打开“IIS管理器”定位到具体站点右键“属性”打开该站点的属性面板，点击IP地址右侧的“高级”按钮，选择该域名项进行编辑，将“主机头值”删除或者改为其它的值(域名)。
经过模拟测试，取消域名绑定后Web服务器的CPU马上恢复正常状态，通过IP进行访问连接一切正常。但是不足之处也很明显，取消或者更改域名对于别人的访问带来了不变，另外，对于针对IP的CC攻击它是无效的，就算更换域名攻击者发现之后，他也会对新域名实施攻击。
(2).域名欺骗解析
　　如果发现针对域名的CC攻击，我们可以把被攻击的域名解析到127.0.0.1这个地址上。我们知道127.0.0.1是本地回环IP是用来进行网络测试的，如果把被攻击的域名解析到这个IP上，就可以实现攻击者自己攻击自己的目的，这样他再多的肉鸡或者代理也会宕机，让其自作自受。
另外，当我们的Web服务器遭受CC攻击时把被攻击的域名解析到国家有权威的政府网站或者是网警的网站，让其网警来收拾他们。
现在一般的Web站点都是利用类似“新网”这样的服务商提供的动态域名解析服务，大家可以登录进去之后进行设置。
(3).更改Web端口
　　一般情况下Web服务器通过80端口对外提供服务，因此攻击者实施攻击就以默认的80端口进行攻击，所以，我们可以修改Web端口达到防CC攻击的目的。运行IIS管理器，定位到相应站点，打开站点“属性”面板，在“网站标识”下有个TCP端口默认为80，我们修改为其他的端口就可以了。
(4).IIS屏蔽IP
　　我们通过命令或在查看日志发现了CC攻击的源IP，就可以在IIS中设置屏蔽该IP对Web站点的访问，从而达到防范IIS攻击的目的。在相应站点的“属性”面板中，点击“目录安全性”选项卡，点击“IP地址和域名现在”下的“编辑”按钮打开设置对话框。在此窗口中我们可以设置“授权访问”也就是“白名单”，也可以设置“拒绝访问”即“黑名单”。比如我们可以将攻击者的IP添加到“拒绝访问”列表中，就屏蔽了该IP对于Web的访问。
五、针对CC攻击的商业解决方案
　　很多的网站管理者是等到网站遭到攻击了，受到损失了，才去寻求解决的方案，在将来的互联网飞速发展的时代，一定要有安全隐患意识，不要等到损失大了，再去想办法来补救，这样为时已晚。
　　然而当网站受到攻击时，大多数人想到的是-----快点找硬防，基本上都步了一个误区，就是认为网站或者服务器被攻击，购买硬件防火墙，什么事都万事大吉了，实际上这样的想法是极端错误的。多年的统计数据表明，想彻底解CC攻击是几乎不可能的，就好比治疗感冒一样，我们可以治疗，也可以预防，但却无法根治，但我们若采取积极有效的防御方法，则可在很大程度上降低或减缓生病的机率，防治DDOS攻击也是如此， 实际上比较理想解决方案应该是“软件+硬件”的解决方案。此方案对于资金较为充足的企业网站来说，这个方案适合他们；硬件在DDOS防护上有优势，软件CC防护上有优势；
　　相对于一些对于ICP内容网站、论坛社区BBS、电子商务eBusiness、音乐网站Music、电影网站File等网站服务器越来越普及，但由于种种原因往往会遭受竞争对手或打击报复者的恶意DDOS攻击，持续的攻击会导致大量用户流失，严重的甚至因人气全失而被迫关闭服务器，为了最大程度的保护运营者的利益，冰盾科技结合多年抗DDOS的实践经验给出了最少的安全投资可获得最大安全回报的抗DDOS解决方案。 &
首先攻击者拥有一个流量巨大的网站，这个网站的流量，很可能是他花钱买回来的，当然也可能是他控制的肉鸡，在控制的肉鸡上面访问他的网站。黑客的网站首页非常简单，但是在他的源代码中，却隐藏了达到上百个&iframe&标签。对！聪明的你，应该想得出他的&iframe&标签里面放的是什么了吧？没错！他的&iframe&里面，放的就是他要攻击的网站的地址。
&&&&&&& 举一个例子来说明一下攻击者的威力，假设黑客的网站是，你的网站是。如果有人在163的首页代码中，有这么一段：&iframe src=&& border=&0& width=&0& height=&0&&&/iframe&，那么在所有人访问163的主页时，也会不知不觉的访问。然后的首页中可能有100个如下的代码：&iframe src= border=&0&
width=&0& height=&0&&&/iframe&，当然他还可能放上这个网站十个甚至更多不同的地址。那就表明：凡是有一个人访问了163，就可能会访问十次。以每秒300个请求来说，一天就是个请求，再加上页面上的图片和其它文件等，估计就是上亿个请求了。1天上亿个请求，普通的网站受得了吗？有很多被攻击的网站用的是虚拟主机，每秒不到100个连接可能就无法提供服务了。即使是那种单独几台服务器的网站，也根本就无法承受！即使WEB Server可以承受，那带宽呢？即使带宽可以承受，那么Db
Server呢？
&&&&&&& 朋友的网站就受到此种攻击，他试着将网站转移到他朋友的服务器上面，当然最后的结果还是照样拖累他朋友的服务器瘫痪。
&&&&&&& 这种就是是典型的CC攻击。CC攻击比DDOS攻击更可怕的就是，CC攻击一般是硬防很难防止住的。为什么呢？一、因为CC攻击来的IP都是真实的，分散的；二、CC攻击的数据包都是正常的数据包；三、CC攻击的请求，全都是有效的请求，无法拒绝的请求。
&&&&&&& 其实只要仔细研究了一下这种攻击的模式，发现这种攻击，理论上是可以防止的，即只要通过有效的手段，完全可以将危害降低到最轻。因为这种攻击有一个致命的弱点。它致命的弱点在哪里呢？当然就是在&iframe&上面。通过&iframe&进行CC攻击，攻击者的想法和创意，确实很让人惊叹，但这正好造成了他的完美失败。熟悉网页程序的朋友应该都知道，用&iframe&嵌入的网页，自然都会有HTTP_REFERER值，而有了这个值，从这个值上面屏蔽或是转发掉来源的网站即可。也就是说，你可以访问我，但是我不将真实的页面返回给你，我可以把你随意打发掉，或是将你随意转到另外一个网站上去（如：公安部？哈哈，我就见过有人类似这样做的），这样我就可以大量的节省我的带宽、我的DB
Server资源、我的Web Server资源。你最多就是占用了我大量的TCP连接罢了。
&&&&&&& 下面贴一段Web server的配置代码，用于解决此类攻击：
&&&&&&& valid_referers none blocked server_
*. *.你自己的域名(在这里还可以加入其他的，比如说SOSO，YAHOO，SOGOU YOUDAO等);
if ($invalid_referer) {
&&&&&&& return&& 404;
&&&&&&& 上面的代码，很简单的设置了，只要不是HTTP_REFERER来源于上面设置网址来源的请求，通通转发至404。
CC攻击大家都懂的，就是消耗服务器资源，资源，可以是哪些？
1.CPU，2.内存，3.网络，4.连接，5.数据库资源，6.服务应用池，7.。。。。
CC攻击，就是伪造N多请求，瞬间同时访问。可以造成服务端溢出、报错、系统崩溃、硬盘烧坏、网卡发热、数据库不能连接、查询、内存溢出。
另外，32位系统最多占用4G内存也是一个瓶颈【所以建议大内存VPS/独服装64BIT】。
解决办法：
烧钱，砸硬防。
如果资金不充裕，或者处于创业成长期，可以考虑下面几处：
1.升级服务器（哪是瓶颈就升哪里）。
2.优化程序，数据库使用NOSQL【非查询式数据库】，比如memcached。
3.前端使用一部分防火墙规则，注意最好使用被动防御【有攻击了再启动规则】。
别信啥CDN可防C的。除非他家是GOV开的，否则他砸不起这钱。
我们公司用的CHINACACHE，可是有屁防C的功能。
这里主要讲解一下针对数据库瓶颈的CC攻击。
比如一search.php?keyword=1992year，查询一次需要0.01秒，那么查询100次就可以占满1秒 CPU时间，如果再加大并发量，
比如加大10倍，那么这些请求就得排队让CPU处理 10秒钟。
这就是一种CC攻击。当然也可以有大便那种60万并发的CC，静态页面都能C死，当然这除了砸钱是无解的，我们讨论也没意义。
传统CC针对的瓶颈主要就是数据库查询瓶颈。
应对：memcached【内存缓存】
比如，查询 search.php?keyword=1992year，就可以
$mem-&set(&search_keyword_&.md5($_GET['keyword']),$mysql_data,600)将查询得到的数据缓存在内存中，
600是指过期时间，是指在10分钟过后，缓存可能会被新插入的缓存覆盖。
这样，如果内存不出现瓶颈，数据库压力可以被分担很多。
但。。。新的问题又来了，每个请求keyword不同，那么不也同样可以C死？
所以，必需限制总的处理量
用nginx_limit_req，将seach.php为key，把search.php总的【非单IP】并发限制在5个/秒。
超时弹回一个php js算法验证【有效期一次】，
这样，就算SEARCH.PHP被C住，也影响不大。
最重要的，还是那句话：千万别装B，装B遭雷P。
转自：/thread--2.html
& & & & & & /article/695.shtml
& & & & & & /cc/1158.htm
本文已收录于以下专栏：
相关文章推荐
简单点说如果这个论坛比较“大”，访问的人比较多，打开页面的速度会比较慢(暂时排除网络原因)。。。一般来说，访问的人越多，论坛的页面越多，数据库就越大，被访问的频率也越高，占用的系统资源也就相当的大
我们将要实现一个进行应用层DDoS攻击的工具，综合考虑，CC攻击方式是最佳选择，并用bash shell脚本来快速实现并验证这一工具，并在最后，讨论如何防御来自应用层的DDoS攻击。
第一步：获...
关注公众号
在公众号里回复“”秘密“”两个字
http://task.csdn.net/m/task/home?task_id=398 领取奖励
提示：根据公众号里的自动回复，完成...
观察者模式在实际项目中使用的也是非常频繁的，它最常用的地方是GUI系统、订阅——发布系统等。因为这个模式的一个重要作用就是解耦，使得它们之间的依赖性更小，甚至做到毫无依赖。以GUI系统来说，应用的UI...
LinearLayout xmlns:android=&/apk/res/android&
xmlns:app=&http://schema...
JavaEE 6及以上版本的web.xml问题？MyEclipse JavaEE 6版本开始web.xml突然消失不见？没这回事，只是不太必须而已，有需要的项目可以自行进行添加或在创建项目的时候点击n...
注：本文的高斯模糊只能显示，如果想要保存模糊后的图片，请参考另一篇文章：http://blog.csdn.net/fan7983377/article/details/
他的最新文章
讲师：吴岸城
您举报文章：
举报原因：
原文地址：
原因补充：
(最多只允许输入30个字)