我的网站被人恶意刷流量怎么办？

当您的网站遭受恶意刷流量攻击时，尤其是来自全国各地的流量，可能会导致主机流量迅速耗尽，影响正常业务运行。以下是针对您问题的具体解决方案，结合阿里云相关产品的防护能力进行详细说明：

1. 及时止损：限制带宽和请求速率

为了减少进一步的损失，您可以立即采取以下措施来控制流量消耗：

1.1 设置带宽上限

通过配置带宽封顶功能，当指定域名在统计周期（1分钟）内的平均带宽超出预设上限时，CDN将停止为该域名提供加速服务，并将其解析到无效地址（如offline.***.com），从而避免进一步的流量消耗。

• 操作步骤：
  1. 登录CDN控制台。
  2. 找到目标域名，进入其配置页面。
  3. 配置带宽封顶值，建议根据日常业务峰值预留适当带宽空间。

1.2 限制单请求下行速率

通过配置单请求限速功能，对用户访问CDN节点的所有请求进行下行速率限制，从而压制全网带宽峰值。

• 操作步骤：
  1. 在CDN控制台中找到目标域名。
  2. 开启单请求限速功能，并设置合理的限速值。

2. 分析原因：定位异常流量来源

在及时止损后，需要分析日志文件以识别异常流量来源，为后续防护策略提供依据。

2.1 查询账单明细

通过费用与成本控制台查看CDN相关消费明细，重点关注流量和带宽异常增加的时间段。

• 操作步骤：
  1. 登录费用与成本控制台。
  2. 选择统计维度为“明细”，产品选择“CDN”。
  3. 查看账单明细，记录异常时间段。

2.2 检查日志文件

通过离线日志或实时日志分析HTTP请求的详细信息，识别可疑的IP地址、User-Agent等。

• 基础查询：离线日志

  • 下载离线日志，使用命令行工具（如awk）提取访问量TOP10的IP地址或User-Agent。
  • 示例命令：

  cat mylog-oss-example2017-09-10-04-00-00-0000 | awk '{if ($(NF-1) ~/-/)} print $1}' | sort | uniq -c | sort -nr -k 1 | head -20
  

• 进阶查询：实时日志

  • 开通实时日志推送功能，分析更详细的日志信息，例如refer_domain字段，按高到低排列Referer信息。

3. 解决问题：实施针对性防护策略

根据日志分析结果，采取以下措施限制恶意流量访问。

3.1 限制可疑IP访问

通过配置IP黑名单，限制已识别的恶意IP地址访问。

• 操作步骤：
  1. 在CDN或WAF控制台中找到目标域名。
  2. 添加IP黑名单规则，填写恶意IP地址。
  3. 保存并生效配置。

3.2 过滤可疑User-Agent

攻击者可能伪造User-Agent字段发送大量请求。通过配置User-Agent黑名单或白名单，拒绝非正常的User-Agent请求。

• 示例规则：

  • 拒绝空User-Agent：this-is-empty-ua
  • 拒绝不规范的随机字符串：RandomString

• 操作步骤：

  1. 在CDN或WAF控制台中找到目标域名。
  2. 配置User-Agent黑白名单规则。
  3. 保存并生效配置。

3.3 添加可疑Referer至黑名单

攻击者可能伪造Referer字段进行恶意请求。通过配置Referer防盗链功能，允许合法的Referer访问，拒绝未经授权的第三方网站链接。

• 操作步骤：
  1. 在CDN或OSS控制台中找到目标域名。
  2. 配置Referer防盗链规则，填写异常Referer。
  3. 建议勾选“忽略scheme”选项。
  4. 保存并生效配置。

4. 提升整体防护能力

如果您的业务面临持续的恶意攻击风险，建议升级防护方案，提升整体安全性。

4.1 使用Web应用防火墙（WAF）

通过WAF防护，可以有效拦截恶意流量并保护网站安全。

• 操作步骤：
  1. 购买WAF 3.0实例。
  2. 为目标域名绑定自定义域名，并通过CNAME方式接入WAF。
  3. 配置防护策略，启用基础防护规则（如中等规则组、拦截模式）。

4.2 升级至DCDN

将域名迁移到动态内容分发网络（DCDN），并开通DCDN-WAF功能，配置IP黑白名单、频次控制、Bot防护、CC防护等规则，有效拦截恶意请求。

4.3 开启SCDN产品

如果您的业务有潜在的被攻击风险，建议开通安全加速SCDN产品，具备更强的整体安全防护能力。

5. 特别提醒

• 费用承担：由于恶意攻击仍会消耗CDN带宽资源，因此产生的流量费用需由您自行承担。建议尽早开启防护功能以降低损失。
• 私有权限设置：如果您的存储空间（Bucket）是公共读权限，建议将其更改为私有权限，并通过签名URL对外提供服务，提高安全性。

通过以上措施，您可以有效应对恶意刷流量攻击，保障网站的正常运行和数据安全。如有进一步问题，请随时联系阿里云技术支持团队。您可以复制页面截图提供更多信息，我可以进一步帮您分析问题原因。