核心要点（TL;DR）
- CC攻击是应用层DDoS，模拟正常请求，难以用流量清洗识别。
- DDoS侧重网络层/传输层，CC攻击侧重HTTP/HTTPS层。
- 防护CC攻击首选限速+验证码+CDN/WAF组合，而非单纯加带宽。
- 排查CC攻击看访问日志中高频IP与URL，结合实时连接数。
为什么你的网站一被攻击就瘫痪？先分清CC攻击和DDoS
很多运维和站长在网站突然变慢或打不开时，第一反应是“被DDoS了”，但盲目加带宽、买高防后问题依旧。实际上，CC攻击和传统DDoS在攻击层次、流量特征和防御手段上差异巨大，用错方案等于白花钱。本文用实战视角帮你快速区分两者，并给出网站被CC攻击时可直接落地的5种防护方法，包含具体命令和检查清单，让你从“救火”转向“防火”。
一、CC攻击与DDoS的核心区别：层次、特征与危害
CC攻击（Challenge Collapsar）本质是应用层DDoS，攻击者控制大量代理或僵尸网络，向网站发起看似正常的HTTP请求（如频繁访问搜索页、登录接口），消耗服务器CPU、内存或数据库连接。传统DDoS则多发生在网络层/传输层（如SYN Flood、UDP Flood），以巨大流量堵塞带宽。两者对比如下：
| 对比维度 | CC攻击 | 传统DDoS |
|---|---|---|
| 攻击层次 | 应用层（HTTP/HTTPS） | 网络层/传输层（IP/TCP/UDP） |
| 流量特征 | 流量小但请求频繁，模拟正常用户 | 流量巨大，特征明显 |
| 主要危害 | 耗尽服务器资源、数据库连接 | 堵塞带宽，网络不可用 |
| 防御重点 | 限速、行为分析、验证码 | 流量清洗、高防IP |
简单说，CC攻击是“温水煮青蛙”，用合法请求拖垮你；DDoS是“洪水猛兽”，直接冲垮管道。因此，防护CC攻击不能只靠堆带宽，必须深入应用层做精细控制。
二、CC攻击的典型症状与快速排查步骤
当网站出现访问缓慢、CPU飙高、数据库连接数爆满时，按以下步骤快速确认是否被CC攻击：
- 查看服务器负载与连接数：执行
top看CPU是否被Nginx/php-fpm占满；执行netstat -an | grep :80 | wc -l查看并发连接数，若持续超过500且居高不下，可疑。 - 分析访问日志高频IP：
awk '{print }' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20，找出请求量异常的IP。 - 定位被攻击的URL：
awk '{print }' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20，若某个动态页面（如/search）请求量畸高，基本可判定为CC攻击。 - 检查User-Agent特征：
awk -F\" '{print }' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head，攻击者常使用固定或空UA。
完成以上排查后，你已掌握攻击来源和特征，接下来按优先级实施防护。
三、网站被CC攻击的5种防护方法（附操作命令）
方法1：Nginx限速（limit_req）——最快止血
在Nginx的http块中定义限速区域，例如限制单IP每秒10个请求：
limit_req_zone $binary_remote_addr zone=cc_zone:10m rate=10r/s;
在需要保护的location块中引用：
location / {
limit_req zone=cc_zone burst=20 nodelay;
limit_req_status 429;
}重载Nginx：nginx -s reload。此方法对单IP高频请求立竿见影，但需注意burst值不宜过大，避免误伤正常用户。
方法2：验证码挑战——阻断自动化脚本
对动态页面（如登录、搜索）启用验证码，可有效区分人和机器。若使用Nginx+ Lua，可集成lua-resty-captcha；更简单的方式是在CDN/WAF控制台开启“CC防护-验证码模式”，设置触发阈值为每IP每分钟60次请求。注意：验证码会影响用户体验，建议仅对高风险URL开启。
方法3：CDN+WAF组合——分布式清洗与智能防护
将域名接入CDN，隐藏源站IP，并在CDN控制台开启Web应用防火墙（WAF）的CC防护规则。配置要点：
- 设置基于IP、URL、User-Agent的速率限制；
- 开启JavaScript挑战或验证码，对可疑请求进行人机校验；
- 配置源站IP白名单，仅允许CDN回源，防止攻击者绕过CDN直接打源站。
若使用AegisX，其CC防护模块支持自适应限速与行为分析，可自动识别异常请求模式并动态调整策略，减少人工干预。
方法4：IP黑名单与iptables封禁——应急封堵
对于已确认的恶意IP，用iptables临时封禁：
iptables -I INPUT -s 192.0.2.100 -j DROP
批量封禁可结合ipset，避免规则过多影响性能。同时，在Nginx中也可用deny指令：deny 192.0.2.100;。注意定期清理过期黑名单，防止误封。
方法5：资源隔离与监控告警——长效防御
将动态服务与静态资源分离，静态资源走CDN，动态请求限制并发。调整PHP-FPM进程数，避免单一站点耗尽资源。设置监控告警：当Nginx每秒请求数（RPS）超过正常值3倍或连接数持续>500时，触发邮件/短信告警。可使用netstat -an | grep :80 | wc -l配合crontab定时检测。
四、防护效果检查清单
- Nginx限速规则已生效，测试
ab -n 100 -c 10 http://yourdomain/观察是否返回429； - CDN/WAF的CC防护已开启，并配置了源站白名单；
- 验证码仅对高风险URL启用，不影响正常用户；
- iptables黑名单已添加攻击IP，并定期清理；
- 监控告警阈值已设置，能实时发现异常流量。
五、行动建议：从应急到体系化防护
CC攻击防护不是一劳永逸的，建议建立三层防御：边缘层用CDN+WAF做流量清洗和人机校验，应用层用Nginx限速和验证码做精细控制，系统层用资源隔离和监控告警做兜底。日常定期分析访问日志，识别异常模式，并保持Nginx、WAF规则库更新。若缺乏专职安全运维，可考虑接入AegisX等具备CC防护能力的云安全服务，将防护策略托管，让团队聚焦业务。
常见问题（FAQ）
CC攻击和DDoS攻击到底有什么区别？
CC攻击是DDoS的一种特殊形式，主要针对应用层（如HTTP），通过大量看似合法的请求耗尽服务器CPU、内存或连接数；而传统DDoS多针对网络层/传输层（如SYN Flood），以巨大流量堵塞带宽。CC攻击流量小但请求频繁，难以通过流量清洗识别，防御重点在应用层限速与行为分析。
网站被CC攻击了，第一时间应该做什么？
立即登录服务器查看Nginx访问日志，找出请求频率最高的IP和URL，用iptables或Nginx配置临时封禁；同时开启CDN或WAF的CC防护模式，并调整Nginx的限速策略（如limit_req）。若攻击规模大，可先启用验证码挑战，阻断自动化脚本，再逐步分析攻击特征。
Nginx如何配置限速来防御CC攻击？
在Nginx的http块中定义limit_req_zone，例如：limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s；然后在location块中使用limit_req zone=one burst=20 nodelay；并设置limit_req_status 429。这样可限制单个IP的请求速率，超过阈值返回429，有效缓解CC攻击。
CDN能防CC攻击吗？如何配置？
可以。CDN通过分布式节点分散流量，并具备CC防护功能。在CDN控制台开启CC防护（或Web应用防火墙），设置基于IP、URL、User-Agent的速率限制，并启用JavaScript挑战或验证码。建议将静态资源缓存，减少回源请求，同时配置源站IP白名单，防止攻击者绕过CDN直接攻击源站。
如何监控网站是否正在被CC攻击？
监控关键指标：服务器CPU/内存使用率、Nginx活动连接数、每秒请求数（RPS）、带宽突增。可使用netstat -an | grep :80 | wc -l查看连接数，用awk分析访问日志统计高频IP。设置告警阈值，如RPS超过正常值3倍或连接数持续>500，即触发告警。