某网站被恶意攻击的解决过程

客户遇到的问题如下：




最开始用的是240M内存的RDS，CPU截图如下：



后来升级到1200M内存的RDS，CPU截图如下：



登录到主机后，检查日志，发现的情况如下：

可以看到，同一IP在不断的请求搜索页面，基本可以确定是恶意攻击了。


在后来由客户提供的RDS慢查询日志也同样印证了上面的判断：

日志中大量的带有t.subject like这样内容的查询，是搜索标题产生的查询。
判断出问题原因后，封掉了恶意攻击的IP，负载恢复正常。



问题已经在11月3日晚解决，为了能更清楚的看到整体情况，这是在二天后的截图。
图上可以看到，从10月14日开始出现问题，10月20日转移到了1200M内存的RDS型号，所以期间图表空表。
在10月3日晚解决问题后，RDS迁移回这台240M内存的RDS，之后CPU占用恢复到了正常情况。


同时也提醒大家，网站对未登录访客开放程序自带的搜索功能需谨慎，搜索几乎是网站中最消耗资源的功能，也是CC攻击者首先会选择的攻击页面。


原创文章，转载请以超链接注明出处： http://www.yundaiwei.com/post/153.html