网站被刷流量：CC 与正常高峰的区分

区分 CC 攻击和业务高峰，看三个指标就够了：URL 集中度、IP 分布、会话特征。三个都异常，基本可以定性。CC 攻击指通过大量看似合法的请求耗尽服务器资源的攻击方式。 URL 集中度 正常高峰的流量分散在首页、列表、详情各页面；CC 常集中打一两个动态页，比如搜索、登录或某个带数据库查询的接口。统计一下： awk '{print $7}' access.log | sort | uniq -c | sort -rn | head -10 榜首 URL 占比超过一半，且恰好是重查询页面，攻击嫌疑很大。统计范围限定在可疑时段，全天统计会被正常流量稀释。按小时切片看请求量也有用： awk '{print substr($4,14,2)}' access.log | sort | uniq -c 攻击时段一目了然。统计 URL 时把问号后的参数去掉再聚合，集中度更清楚。 IP 分布 少量 IP 高频请求是低级 CC，直接封禁即可；大量分散 IP 各自低频请求，是更高级的打法。代理池和肉鸡（被攻陷的机器）网络是分散 IP 的来源，识别它们靠会话和行为，不靠名单，单封 IP 没用。来源地区异常集中的也要留意，海外占比突然暴涨时多看一眼。 会话特征 攻击请求多数不带 cookie、Referer 为空、User-Agent 单一或缺失；正常用户带着完整会话信息在页面间跳转。统计日志里空 Referer 的占比，异常偏高就是信号。前提是日志格式里带 Referer 和 UA，不然统计无从谈起。把正常时段的这三项指标存成基线，出事时对比差异，比拍脑袋靠谱。 确认后的应对 应用层先做限制：被攻击的 URL 加访问频率控制，异常会话返回验证码或直接拒绝；低级 CC 用防火墙封来源。流量规模超出单机承受能力时，迁移到带防御的机型，顺云高防云服务器 S2 标配 60G DDoS 防御，适合个人站长与小网站，更大业务量对应 S4 系列。被集中的动态页临时静态化，也是争取时间的办法。处理期间不要重启服务器，会话重建解决不了问题，攻击还在继续。防御动作以日志数据为依据，关键统计结果留档，复盘和举证都用得上。