DDoS攻击与CC攻击的区别_百度文库
两大类热门资源免费畅读
续费一年阅读会员，立省24元！
DDoS攻击与CC攻击的区别
阅读已结束，下载文档到电脑
想免费下载本文？
定制HR最喜欢的简历
你可能喜欢网络安全（19）
作为站长或者公司的网站的网管，什么最可怕？
　　显然是网站受到的DDoS攻击。大家都有这样的经历,就是在访问某一公司网站或者论坛时,如果这个网站或者论坛流量比较大,访问的人比较多,打开页面的速度会比较慢,对不?!一般来说,访问的人越多,网站或论坛的页面越多,数据库就越大,被访问的频率也越高,占用的系统资源也就相当可观,。
　　CC攻击是DDoS(分布式拒绝服务)的一种，相比其它的DDoS攻击CC似乎更有技术含量一些。这种攻击你见不到虚假IP，见不到特别大的异常流量，但造成服务器无法进行正常连接，一条ADSL的普通用户足以挂掉一台高性能的Web服务器。由此可见其危害性，称其为“Web杀手”毫不为过。最让站长们忧虑的是这种攻击技术含量不是很高，利用工具和一些IP代理，一个初、中级的电脑水平的用户就能够实施DDoS 攻击。
　　那么怎样保证这些网站服务器的安全呢？冰盾DDoS防火墙专家认为，防护CC攻击大家有必要了解CC攻击的原理及如果发现CC攻击和对其的防范措施（参阅：）。
一、 CC攻击的原理：
　　CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。
二、CC攻击的种类：
　　CC攻击的种类有三种，直接攻击，代理攻击，僵尸网络攻击，直接攻击主要针对有重要缺陷的 WEB 应用程序，一般说来是程序写的有问题的时候才会出现这种情况，比较少见。僵尸网络攻击有点类似于 DDOS 攻击了，从 WEB 应用程序层面上已经无法防御，所以代理攻击是CC 攻击者一般会操作一批代理服务器，比方说 100 个代理，然后每个代理同时发出 10 个请求，这样 WEB 服务器同时收到 1000 个并发请求的，并且在发出请求后，立刻断掉与代理的连接，避免代理返回的数据将本身的带宽堵死，而不能发动再次请求，这时
WEB 服务器会将响应这些请求的进程进行队列，数据库服务器也同样如此，这样一来，正常请求将会被排在很后被处理，就象本来你去食堂吃饭时，一般只有不到十个人在排队，今天前面却插了一千个人，那么轮到你的机会就很小很小了，这时就出现页面打开极其缓慢或者白屏。
三、 攻击症状
　　CC攻击有一定的隐蔽性，那如何确定服务器正在遭受或者曾经遭受CC攻击呢?我们可以通过以下三个方法来确定。
　　(1).命令行法
　　一般遭受CC攻击时，Web服务器会出现80端口对外关闭的现象， 因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。我们可以通过在命令行下输入命令netstat -an来查看，如果看到类似如下有大量显示雷同的连接记录基本就可以被CC攻击了：
　　TCP 192.168.1.3:80 192.168.1.6:2205 SYN_RECEIVED 4
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4
TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4 ……
其中“192.168.1.6”就是被用来代理攻击的主机的IP，“SYN_RECEIVED”是TCP连接状态标志，意思是“正在处于连接的初始同步状态 ”，表明无法建立握手应答处于等待状态。这就是攻击的特征，一般情况下这样的记录一般都会有很多条，表示来自不同的代理IP的攻击。
(2).批处理法
　　上述方法需要手工输入命令且如果Web服务器IP连接太多看起来比较费劲，我们可以建立一个批处理文件，通过该脚本代码确定是否存在CC攻击。打开记事本键入如下代码保存为CC.bat：
　　time /t &&log.log
　　netstat -n -p tcp |find &:80&&&Log.log
　　notepad log.log
上面的脚本的含义是筛选出当前所有的到80端口的连接。当我们感觉服务器异常是就可以双击运行该批处理文件，然后在打开的log.log文件中查看所有的连接。如果同一个IP有比较多的到服务器的连接，那就基本可以确定该IP正在对服务器进行CC攻击。
(3).查看系统日志
　　上面的两种方法有个弊端，只可以查看当前的CC攻击，对于确定Web服务器之前是否遭受CC攻击就无能为力了，此时我们可以通过Web日志来查，因为Web日志忠实地记录了所有IP访问Web资源的情况。通过查看日志我们可以Web服务器之前是否遭受CC攻击，并确定攻击者的IP然后采取进一步的措施。
　　Web日志一般在C:\WINDOWS\system32\LogFiles\HTTPERR目录下，该目录下用类似httperr1.log的日志文件，这个文件就是记录Web访问错误的记录。管理员可以依据日志时间属性选择相应的日志打开进行分析是否Web被CC攻击了。默认情况下，Web日志记录的项并不是很多，我们可以通过IIS进行设置，让Web日志记录更多的项以便进行安全分析。其操作步骤是：
　　“开始→管理工具”打开“Internet信息服务器”，展开左侧的项定位到到相应的Web站点，然后右键点击选择“属性”打开站点属性窗口，在“网站”选项卡下点击“属性”按钮，在“日志记录属性”窗口的“高级”选项卡下可以勾选相应的“扩展属性”，以便让Web日志进行记录。比如其中的“发送的字节数”、“接收的字节数”、“所用时间”这三项默认是没有选中的，但在记录判断CC攻击中是非常有用的，可以勾选。另外，如果你对安全的要求比较高，可以在“常规”选项卡下对“新日志计划”进行设置，让其“每小时”或者“每一天”进行记录。为了便于日后进行分析时好确定时间可以勾选“文件命名和创建使用当地时间”。
四、 CC攻击防御策略
确定Web服务器正在或者曾经遭受CC攻击，那如何进行有效的防范呢?
(1).取消域名绑定
　　一般cc攻击都是针对网站的域名进行攻击，比如我们的网站域名是“”，那么攻击者就在攻击工具中设定攻击对象为该域名然后实施攻击。
对于这样的攻击我们的措施是在IIS上取消这个域名的绑定，让CC攻击失去目标。具体操作步骤是：打开“IIS管理器”定位到具体站点右键“属性”打开该站点的属性面板，点击IP地址右侧的“高级”按钮，选择该域名项进行编辑，将“主机头值”删除或者改为其它的值(域名)。
经过模拟测试，取消域名绑定后Web服务器的CPU马上恢复正常状态，通过IP进行访问连接一切正常。但是不足之处也很明显，取消或者更改域名对于别人的访问带来了不变，另外，对于针对IP的CC攻击它是无效的，就算更换域名攻击者发现之后，他也会对新域名实施攻击。
(2).域名欺骗解析
　　如果发现针对域名的CC攻击，我们可以把被攻击的域名解析到127.0.0.1这个地址上。我们知道127.0.0.1是本地回环IP是用来进行网络测试的，如果把被攻击的域名解析到这个IP上，就可以实现攻击者自己攻击自己的目的，这样他再多的肉鸡或者代理也会宕机，让其自作自受。
另外，当我们的Web服务器遭受CC攻击时把被攻击的域名解析到国家有权威的政府网站或者是网警的网站，让其网警来收拾他们。
现在一般的Web站点都是利用类似“新网”这样的服务商提供的动态域名解析服务，大家可以登录进去之后进行设置。
(3).更改Web端口
　　一般情况下Web服务器通过80端口对外提供服务，因此攻击者实施攻击就以默认的80端口进行攻击，所以，我们可以修改Web端口达到防CC攻击的目的。运行IIS管理器，定位到相应站点，打开站点“属性”面板，在“网站标识”下有个TCP端口默认为80，我们修改为其他的端口就可以了。
(4).IIS屏蔽IP
　　我们通过命令或在查看日志发现了CC攻击的源IP，就可以在IIS中设置屏蔽该IP对Web站点的访问，从而达到防范IIS攻击的目的。在相应站点的“属性”面板中，点击“目录安全性”选项卡，点击“IP地址和域名现在”下的“编辑”按钮打开设置对话框。在此窗口中我们可以设置“授权访问”也就是“白名单”，也可以设置“拒绝访问”即“黑名单”。比如我们可以将攻击者的IP添加到“拒绝访问”列表中，就屏蔽了该IP对于Web的访问。
五、针对CC攻击的商业解决方案
　　很多的网站管理者是等到网站遭到攻击了，受到损失了，才去寻求解决的方案，在将来的互联网飞速发展的时代，一定要有安全隐患意识，不要等到损失大了，再去想办法来补救，这样为时已晚。
　　然而当网站受到攻击时，大多数人想到的是-----快点找硬防，基本上都步了一个误区，就是认为网站或者服务器被攻击，购买硬件防火墙，什么事都万事大吉了，实际上这样的想法是极端错误的。多年的统计数据表明，想彻底解CC攻击是几乎不可能的，就好比治疗感冒一样，我们可以治疗，也可以预防，但却无法根治，但我们若采取积极有效的防御方法，则可在很大程度上降低或减缓生病的机率，防治DDOS攻击也是如此， 实际上比较理想解决方案应该是“软件+硬件”的解决方案。此方案对于资金较为充足的企业网站来说，这个方案适合他们；硬件在DDOS防护上有优势，软件CC防护上有优势；
　　相对于一些对于ICP内容网站、论坛社区BBS、电子商务eBusiness、音乐网站Music、电影网站File等网站服务器越来越普及，但由于种种原因往往会遭受竞争对手或打击报复者的恶意DDOS攻击，持续的攻击会导致大量用户流失，严重的甚至因人气全失而被迫关闭服务器，为了最大程度的保护运营者的利益，冰盾科技结合多年抗DDOS的实践经验给出了最少的安全投资可获得最大安全回报的抗DDOS解决方案。 &
首先攻击者拥有一个流量巨大的网站，这个网站的流量，很可能是他花钱买回来的，当然也可能是他控制的肉鸡，在控制的肉鸡上面访问他的网站。黑客的网站首页非常简单，但是在他的源代码中，却隐藏了达到上百个&iframe&标签。对！聪明的你，应该想得出他的&iframe&标签里面放的是什么了吧？没错！他的&iframe&里面，放的就是他要攻击的网站的地址。
&&&&&&& 举一个例子来说明一下攻击者的威力，假设黑客的网站是，你的网站是。如果有人在163的首页代码中，有这么一段：&iframe src=&& border=&0& width=&0& height=&0&&&/iframe&，那么在所有人访问163的主页时，也会不知不觉的访问。然后的首页中可能有100个如下的代码：&iframe src= border=&0&
width=&0& height=&0&&&/iframe&，当然他还可能放上这个网站十个甚至更多不同的地址。那就表明：凡是有一个人访问了163，就可能会访问十次。以每秒300个请求来说，一天就是个请求，再加上页面上的图片和其它文件等，估计就是上亿个请求了。1天上亿个请求，普通的网站受得了吗？有很多被攻击的网站用的是虚拟主机，每秒不到100个连接可能就无法提供服务了。即使是那种单独几台服务器的网站，也根本就无法承受！即使WEB Server可以承受，那带宽呢？即使带宽可以承受，那么Db
Server呢？
&&&&&&& 朋友的网站就受到此种攻击，他试着将网站转移到他朋友的服务器上面，当然最后的结果还是照样拖累他朋友的服务器瘫痪。
&&&&&&& 这种就是是典型的CC攻击。CC攻击比DDOS攻击更可怕的就是，CC攻击一般是硬防很难防止住的。为什么呢？一、因为CC攻击来的IP都是真实的，分散的；二、CC攻击的数据包都是正常的数据包；三、CC攻击的请求，全都是有效的请求，无法拒绝的请求。
&&&&&&& 其实只要仔细研究了一下这种攻击的模式，发现这种攻击，理论上是可以防止的，即只要通过有效的手段，完全可以将危害降低到最轻。因为这种攻击有一个致命的弱点。它致命的弱点在哪里呢？当然就是在&iframe&上面。通过&iframe&进行CC攻击，攻击者的想法和创意，确实很让人惊叹，但这正好造成了他的完美失败。熟悉网页程序的朋友应该都知道，用&iframe&嵌入的网页，自然都会有HTTP_REFERER值，而有了这个值，从这个值上面屏蔽或是转发掉来源的网站即可。也就是说，你可以访问我，但是我不将真实的页面返回给你，我可以把你随意打发掉，或是将你随意转到另外一个网站上去（如：公安部？哈哈，我就见过有人类似这样做的），这样我就可以大量的节省我的带宽、我的DB
Server资源、我的Web Server资源。你最多就是占用了我大量的TCP连接罢了。
&&&&&&& 下面贴一段Web server的配置代码，用于解决此类攻击：
&&&&&&& valid_referers none blocked server_
*. *.你自己的域名(在这里还可以加入其他的，比如说SOSO，YAHOO，SOGOU YOUDAO等);
if ($invalid_referer) {
&&&&&&& return&& 404;
&&&&&&& 上面的代码，很简单的设置了，只要不是HTTP_REFERER来源于上面设置网址来源的请求，通通转发至404。
CC攻击大家都懂的，就是消耗服务器资源，资源，可以是哪些？
1.CPU，2.内存，3.网络，4.连接，5.数据库资源，6.服务应用池，7.。。。。
CC攻击，就是伪造N多请求，瞬间同时访问。可以造成服务端溢出、报错、系统崩溃、硬盘烧坏、网卡发热、数据库不能连接、查询、内存溢出。
另外，32位系统最多占用4G内存也是一个瓶颈【所以建议大内存VPS/独服装64BIT】。
解决办法：
烧钱，砸硬防。
如果资金不充裕，或者处于创业成长期，可以考虑下面几处：
1.升级服务器（哪是瓶颈就升哪里）。
2.优化程序，数据库使用NOSQL【非查询式数据库】，比如memcached。
3.前端使用一部分防火墙规则，注意最好使用被动防御【有攻击了再启动规则】。
别信啥CDN可防C的。除非他家是GOV开的，否则他砸不起这钱。
我们公司用的CHINACACHE，可是有屁防C的功能。
这里主要讲解一下针对数据库瓶颈的CC攻击。
比如一search.php?keyword=1992year，查询一次需要0.01秒，那么查询100次就可以占满1秒 CPU时间，如果再加大并发量，
比如加大10倍，那么这些请求就得排队让CPU处理 10秒钟。
这就是一种CC攻击。当然也可以有大便那种60万并发的CC，静态页面都能C死，当然这除了砸钱是无解的，我们讨论也没意义。
传统CC针对的瓶颈主要就是数据库查询瓶颈。
应对：memcached【内存缓存】
比如，查询 search.php?keyword=1992year，就可以
$mem-&set(&search_keyword_&.md5($_GET['keyword']),$mysql_data,600)将查询得到的数据缓存在内存中，
600是指过期时间，是指在10分钟过后，缓存可能会被新插入的缓存覆盖。
这样，如果内存不出现瓶颈，数据库压力可以被分担很多。
但。。。新的问题又来了，每个请求keyword不同，那么不也同样可以C死？
所以，必需限制总的处理量
用nginx_limit_req，将seach.php为key，把search.php总的【非单IP】并发限制在5个/秒。
超时弹回一个php js算法验证【有效期一次】，
这样，就算SEARCH.PHP被C住，也影响不大。
最重要的，还是那句话：千万别装B，装B遭雷P。
转自：/thread--2.html
& & & & & & /article/695.shtml
& & & & & & /cc/1158.htm
&&相关文章推荐
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
访问：76406次
积分：1952
积分：1952
排名：第19944名
原创：95篇
转载：195篇网站老是被DDOS、CC攻击，请问有什么办法可以防护么？
公司的dz论坛老是被攻击，目前只有1台服务器在运作。机房有硬件防护。但是屏蔽了一些IP之后，不去释放掉（具体是不是攻击有待确认~）。导致很多用户无法访问论坛。
我的思路：多机房的硬件防护，用dns轮询做负载均衡。不去屏蔽IP。
大家觉得这样可行么？有没有更好的解决思路，求指导~
你这就不是攻击，攻击一般就不会一直持续的。你这就是有一些恶意的访问，写个脚本实时解析访问的ip，发现有异常的就自动屏蔽它。也可以安装个安全狗，能过滤掉一些代理方面的请求。
现在很多云厂商都提供防ddos服务啊，比如腾讯云
云加速，牛盾，青松
如果你只是想解决问题，可以转到云平台上。
小站怕啥啊&简单的处理下就好了，比如暂时转去别的网站
看你用户量，以及综合成本的考虑， &比如： 迁移到腾讯，或者阿里 云 上，ddos 以及 cc 攻击，出钱 让他们帮你扛， 你要自己解决的话，可以考虑加cdn ，多台服务器负载均衡， 以及现有的服务器漏洞修复好，上个安全狗，360卫士之类的防护软件，防web应用漏洞攻击工具。 &有钱的话，买个防ddos 的硬件架上。 & &
有安全问题需要解决的话，可以联系我们
以及需要对网站进行安全评估，渗透测试都可以联系我们
用阿里云的弹性网络吧，一个月900块9个IP，按流量收费，攻击流量不算。
ddos这没啥好方法吧，拼带宽问题对人有帮助，内容完整，我也想知道答案
问题没有实际价值，缺少关键内容，没有改进余地
如题，静态文件可以正常访问，PHP无响应看nginx日志同一个某个php url被大量请求，目前弄了5台负载均衡在扛，每台每天都有数百万个请求，并且IP地址都不同。暂时只能手动在nginx配置里边对请求的URL屏蔽，但攻击者更换地址就得手动重新改配置了，有啥好办法可以自动预防阻挡这种攻击？
答案对人有帮助，有参考价值
答案没帮助，是错误的答案，答非所问
如果只是访问并不是实质cc攻击的，实质的cc攻击还需要这些主机还反复且间隔极短的请求这个页面，这才构成DDOS。而防护来说的话最好不要在Web服务器或者脚本程序里做防护（即使做也只能做简单防护），因为这也并不比处理页面所消耗的资源少多少。这种攻击最好交由专门的防火墙程序去防护，这样才是有效且高效的。
答案对人有帮助，有参考价值
答案没帮助，是错误的答案，答非所问
没找到比较好的办法，最终通过多架了几台服务器做负载均衡硬抗下来...
分享到微博？
你好！看起来你挺喜欢这个内容，但是你还没有注册帐号。 当你创建了帐号，我们能准确地追踪你关注的问题，在有新答案或内容的时候收到网页和邮件通知。还能直接向作者咨询更多细节。如果上面的内容有帮助，记得点赞 (????)? 表示感谢。
明天提醒我
关闭理由：
删除理由：
忽略理由：
推广（招聘、广告、SEO 等）方面的内容
与已有问题重复（请编辑该提问指向已有相同问题）
答非所问，不符合答题要求
宜作评论而非答案
带有人身攻击、辱骂、仇恨等违反条款的内容
无法获得确切结果的问题
非开发直接相关的问题
非技术提问的讨论型问题
其他原因（请补充说明）
我要该，理由是：什么是cc攻击？什么是Web漏洞攻击？_360社区
绑定手机号
应国家法规对于账号实名的要求，请您在进行下一步操作前，需要先完成手机绑定。
暂不绑定绑定手机号
应国家法规对于账号实名的要求，如不绑定手机号，则只能浏览论坛，无法进行发帖、评论、回复、点赞等相关操作。
确定绑定手机号
& & CC = Challenge Collapsar，意为“挑战黑洞”，其前身名为Fatboy攻击，是利用不断对网站发送连接请求致使形成拒绝服务的目的。业界赋予这种攻击名称为CC（Challenge Collapsar，挑战黑洞），是由于在DDOS攻击发展前期，绝大部分都能被业界知名的“黑洞”（Collapsar）抗拒绝服务攻击系统所防护，于是在黑客们研究出一种新型的针对http的DDOS攻击后，即命名ChallengeCollapsar，声称黑洞设备无法防御，后来大家就延用CC这个名称至今。CC攻击是DDOS（分布式拒绝服务）的一种，其攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户（多少线程就是多少用户）不停地进行访问那些需要大量数据操作（就是需要大量CPU时间）的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。
Web漏洞攻击：
& & Web应用攻击是攻击者通过浏览器或攻击工具，在URL或者其它输入区域（如表单等），向Web服务器发送特殊请求，从中发现Web应用程序存在的漏洞，从而进一步操纵和控制网站，查看、修改未授权的信息。
1、信息泄露漏洞
& & 信息泄露漏洞是由于Web服务器或应用程序没有正确处理一些特殊请求，泄露Web服务器的一些敏感信息，如用户名、密码、源代码、服务器信息、配置信息等。造成信息泄露主要有以下三种原因:
Web服务器配置存在问题，导致一些系统文件或者配置文件暴露在互联网中；
Web服务器本身存在漏洞，在浏览器中输入一些特殊的字符，可以访问未授权的文件或者动态脚本文件源码；
Web网站的程序编写存在问题，对用户提交请求没有进行适当的过滤，直接使用用户提交上来的数据。
2、目录遍历漏洞
& & 目录遍历漏洞是攻击者向Web服务器发送请求，通过在URL中或在有特殊意义的目录中附加“../”、或者
3、命令执行漏洞
& & 命令执行漏洞是通过URL发起请求，在Web服务器端执行未授权的命令，获取系统信息，篡改系统配置，控制整个系统，使系统瘫痪等。 命令执行漏洞主要有两种情况：
通过目录遍历漏洞，访问系统文件夹，执行指定的系统命令；
攻击者提交特殊的字符或者命令，Web程序没有进行检测或者绕过Web应用程序过滤，把 用户提交的请求作为指令进行解析，导致执行任意命令。
4、文件包含漏洞
& & 文件包含漏洞是由攻击者向Web服务器发送请求时，在URL添加非法参数，Web服务器端程序变量过滤不严，把非法的文件名作为参数处理。这些非法的文件名可以是服务器本地的某个文件，也可以是远端的某个恶意文件。由于这种漏洞是由PHP变量过滤不严导致的，所以只有基于PHP开发的Web应用程序才有可能存在文件包含漏洞。
5、SQL注入漏洞
& & SQL注入漏洞是由于Web应用程序没有对用户输入数据的合法性进行判断，攻击者通过Web页面的输入区域(如URL、表单等) ，用精心构造的SQL语句插入特殊字符和指令，通过和数据库交互获得私密信息或者篡改数据库信息。SQL注入攻击在Web攻击中非常流行，攻击者可以利用SQL注入漏洞获得管理员权限，在网页上加挂木马和各种恶意程序，盗取企业和用户敏感信息。
6、跨站脚本漏洞XSS
& & 跨站脚本漏洞是因为Web应用程序时没有对用户提交的语句和变量进行过滤或限制，攻击者通过Web页面的输入区域向数据库或HTML页面中提交恶意代码，当用户打开有恶意代码的链接或页面时，恶意代码通过浏览器自动执行，从而达到攻击的目的。跨站脚本漏洞危害很大，尤其是目前被广泛使用的网络银行，通过跨站脚本漏洞攻击者可以冒充受害者访问用户重要账户，盗窃企业重要信息。
根据前期各个漏洞研究机构的调查显示，SQL注入漏洞和跨站脚本漏洞的普遍程度排名前两位，造成的危害也更加巨大。
热门推荐最新主帖
360社区客户端下载