内容摘要：凌晨三点，手机在床头柜上震了一下。我以为是外卖推送，翻过身没理。第二天早上打开电脑，发现网站后台的访问日志里多了将近四万条记录——全是来自同一个IP段的请求，时间集中在凌晨两点四十七分到三点十二分之间

凌晨三点，服务手机在床头柜上震了一下。器攻我以为是服务外卖推送，翻过身没理。器攻第二天早上打开电脑，服务发现网站后台的器攻访问日志里多了将近四万条记录——全是来自同一个IP段的请求，时间集中在凌晨两点四十七分到三点十二分之间。服务二十五分钟，器攻四万次请求。服务服务器没挂，器攻但CPU占用率飙到了97%，服务正常用户那段时间几乎打不开页面。器攻

这就是服务一次典型的CC攻击。没那么复杂，器攻攻击者不需要什么高深技术，服务写个脚本，控制一批“肉鸡”或者干脆用云函数，对着你的登录接口或者搜索接口猛发请求就行。成本低得离谱，几十块钱就能在暗网上买到一小时的攻击服务。

我后来查了一下那个IP段，归属地显示是东欧某国。有意思的是，攻击的User-Agent里混着大量老版本的浏览器标识，一看就是脚本伪造的。真正的用户不会用IE6来访问我的网站。

攻击者挑的时机很贼

凌晨三点。这个时间点，运维人员睡了，自动告警可能响了但没人看，CDN的流量清洗策略在夜间往往也调得比较宽松。攻击者赌的就是你的反应速度。我认识一个做电商的朋友，去年双十一前一周被DDoS打瘫了整整四个小时，直接损失了大概六十万的订单。他说那四个小时里，他一边给云服务商打电话，一边看着后台的实时成交额从每分钟几千块掉到零。

服务器攻击这件事，外行总觉得是电影里那种黑进系统、偷走数据的桥段。实际上大多数攻击根本不“黑”任何东西，就是硬砸。像拿锤子敲你家门，不撬锁，但敲到你受不了开门为止。DDoS是拿流量砸，CC是拿请求砸，还有一种是拿数据包碎片砸——专门攻击TCP握手过程的漏洞，让你的服务器把资源全耗在等待一个永远完不成的连接上。

防守这件事，钱和意识缺一不可

我那个小站后来上了Cloudflare的免费套餐，又写了个简单的限流规则：同一个IP，一分钟内超过三十次请求就临时封禁。效果立竿见影。但我知道这只是防住了最基础的那一层。真遇到大规模攻击，免费套餐那点防护能力跟纸糊的没区别。

大厂的做法完全不同。某支付平台的朋友告诉我，他们的安全团队日常维持着几十个G的带宽储备，专门用来“吸”攻击流量。同时部署了流量指纹识别，能在攻击流量到达真实服务器之前就把它引到清洗中心。这套东西一年烧掉的钱，够养活一个小型创业公司。

但钱不是唯一的门槛。我见过太多公司，服务器密码是admin123，数据库端口直接暴露在公网，员工用弱密码还到处复用。攻击者根本不需要打DDoS，直接猜密码就进去了。去年有个做在线教育的客户找我帮忙看日志，发现有人用他的服务器挖了三个月的门罗币，CPU长期跑满，他愣是没发现——因为那台服务器本来就慢，他以为是配置太低。

一个容易被忽略的细节

攻击日志里，我注意到一个有意思的现象：那四万次请求中，有大约八百次来自同一个IP，但请求路径全是随机生成的乱码。这说明攻击脚本里带了某种随机化逻辑，试图绕过基于URL模式的简单规则。但它的随机化写得很粗糙，生成的路径里频繁出现“%00”这样的空字节——正常URL里根本不会有的东西。

安全防护有时候就是拼细节。一个字符的异常，可能就是整个攻击链的突破口。

现在我的服务器上跑着一个自己写的监控脚本，每五分钟检查一次请求速率。超过阈值就发短信到我手机。虽然土，但管用。至少下次再有人在凌晨三点搞事，我能第一时间知道。