一、基础概念：DDoS 与 CC 到底是什么？
- DDoS（分布式拒绝服务攻击）
全称Distributed Denial of Service，中文分布式拒绝服务攻击。攻击者控制海量肉鸡（被病毒入侵的电脑、手机、摄像头等物联网设备）组成僵尸网络，同步向目标服务器发送海量无效数据包 / 请求，耗尽带宽、CPU、内存、连接池等资源，让正常用户无法访问网站、游戏、小程序等业务。
通俗比喻：一条双向两车道马路，成千上万无关车辆同时涌入，彻底堵死道路，合法车辆寸步难行。 - CC 攻击（Challenge Collapsar，挑战黑洞）
CC 属于应用层 DDoS，是 DDoS 的细分变种。它不依靠超大流量堵带宽，而是模拟普通人正常网页访问行为，高频访问搜索、登录、订单、查询等高耗数据库接口，持续压榨应用程序与数据库算力。
特征：流量看起来不大，但服务器 CPU、数据库负载直接拉满，页面加载缓慢、接口超时，隐蔽性极强，普通防火墙很难识别区分人机请求。
二者核心区别
维度 传统四层 DDoS（流量 / 协议攻击）CC 七层应用攻击
攻击层级 网络层、传输层（3/4 层斜体样式）应用层（7 层 HTTP/HTTPS）
消耗资源 带宽、TCP 连接队列 CPU、内存、数据库、接口算力
流量特征 GB 级超大流量，流量曲线暴涨流量平稳、数值接近正常访问量
识别难度 简单，靠流量阈值判断困难，请求格式和正常用户高度相似
典型受害场景 游戏服务器、直播、高带宽业务 网站、商城、小程序、后台管理系统
二、DDoS 主流攻击类型（3/4 层流量攻击）
（一）流量泛洪攻击（耗尽出口带宽）
UDP 洪水（UDP Flood）
利用 UDP 无连接、无需握手的特性，向服务器随机端口疯狂发送空数据包。服务器收到后必须回复 “端口不可达” 报文，双向流量瞬间占满带宽，所有网络访问中断，是最常见的基础 DDoS 攻击。
ICMP 洪水（Ping Flood）
批量发送超大 ping 包，强制服务器持续回复应答报文，占用带宽，早期机房最易中招，现在基础防火墙可简单拦截。
反射放大攻击（DNS/NTP/SSDP 放大）
当前破坏力最强的 DDoS 手段。攻击者伪造目标 IP 向公共 DNS、NTP 服务器发送极小请求，服务器会返回几十至几百倍体积的数据包涌向目标，几十 M 原始请求能放大成上百 G 攻击流量，极易打穿普通服务器带宽上限。
（二）协议攻击（耗尽服务器 TCP 连接资源）
SYN 洪水（SYN Flood，经典老牌攻击）
利用 TCP 三次握手漏洞：攻击者伪造大量虚假 IP 发送 SYN 连接请求，服务器回复 SYN+ACK 报文后，虚假 IP 永远不返回确认包，大量半开连接堆积占满服务器连接表，新用户无法建立任何网络连接。
ACK/RST/FIN 洪水
批量发送异常 TCP 控制报文，迫使服务器持续校验、回收无效连接，消耗内核算力，配合 SYN 洪水形成混合攻击。
三、CC 攻击常见细分类型（7 层应用攻击）
- HTTP Get/Post 洪水（标准 CC）
肉鸡批量高频访问动态页面、搜索接口、商品查询接口，每次请求都会触发数据库查询、缓存读写，短时间打满数据库连接池，页面卡顿、502 报错。 - 慢速 CC（慢速 loris）
攻击者建立少量长连接，极缓慢分段发送请求，持续占用 Web 服务连接不释放，耗尽 Nginx/Apache 并发连接数，少量 IP 即可瘫痪中小型网站。 - 资源消耗型 CC（重度危害）
专门针对高消耗接口：批量提交表单、重复查询大数据报表、循环调用支付 / 登录鉴权接口，数据库 CPU 持续 100%，后台完全无法操作。 - 分布式代理 CC
攻击者使用大量代理 IP、手机流量节点分散发起请求，单 IP 请求频次不高，规避简单 IP 限流规则，隐蔽性最强，普通防护规则很难拦截。 - 爬虫式 CC
伪装搜索引擎、正常用户爬虫，持续遍历全站页面，长期占用服务器资源，属于低频长效消耗攻击。
四、全方位防护方案：四层 DDoS + 七层 CC 分层防御
第一部分：针对 3/4 层 DDoS 流量攻击防护
接入高防 IP / 云 DDoS 流量清洗服务
最核心手段。业务域名解析至高防节点，所有流量先经过清洗中心，过滤 UDP 洪水、SYN 洪水、放大攻击等异常流量，干净流量再转发源站，支持抵御百 G 级大流量攻击，游戏、直播、企业官网必备。
机房硬件防火墙基础策略
关闭服务器闲置 UDP 端口，限制单 IP 并发 TCP 连接数；开启 SYN Cookies，缓解 SYN 洪水对半连接队列的占用。
隐藏源站真实 IP
不要直接暴露服务器公网 IP，通过高防、CDN 反向代理转发访问，避免攻击者直接定向攻击服务器底层网络。
运营商协同防护
遭遇超大流量攻击时，联系云服务商 / 机房运营商开启黑洞路由，临时屏蔽攻击流量，保障同机房其他业务正常运行。
第二部分：针对 7 层 CC 应用攻击防护（网站 / 小程序重点） - 部署 WAF Web 应用防火墙（核心防护工具）
云 WAF 或硬件 WAF 可实现：
单 IP 请求频率限流，超过阈值自动弹窗验证或封禁 IP；
识别异常 UA、恶意请求参数、高频重复 URL；
自动维护恶意 IP 黑名单，拦截代理肉鸡集群；
是区分正常用户与 CC 脚本的关键设备。 - CDN 全站静态资源加速防护
图片、JS、CSS、静态页面全部托管 CDN，由边缘节点承接访问压力，源站仅处理动态接口；开启 CDN 攻击防护模式，自动对访客进行人机校验，大幅减少 CC 请求直达源站。 - 前端人机验证机制（低成本有效手段）
登录、注册、搜索、查询、支付等敏感接口，添加滑块、拼图、数字验证码；
检测异常高频访问时，自动弹出 JS 验证页面，拦截自动化脚本；
避免全站强制验证码，兼顾用户体验与安全。 - Web 服务层限流配置（Nginx/OpenResty）
通过配置限制单 IP 每秒最大请求次数、单 IP 最大并发长连接，拦截慢速 CC；限制同一会话短时间重复访问同一接口。 - 业务与数据库优化（治本方案）
高频查询页面增加 Redis/Memcached 缓存，减少数据库重复查询；
限制数据库最大连接池，防止 CC 打满数据库；
拆分高耗资源接口，增加接口访问权限校验、单次查询数据量限制；
后台管理系统绑定办公 IP 白名单，外部网络禁止访问，杜绝针对后台的 CC 攻击。 - 访问行为风控策略
记录用户访问轨迹、页面停留时长、点击逻辑，批量无规律快速切换页面、无停留秒切页面的访问行为判定为肉鸡，直接拦截；封禁业务无关海外 IP 段，缩小攻击来源范围。
第三部分：通用长效安全规范（预防攻击爆发）
定期日志审计：监控带宽、服务器 CPU、数据库负载，出现异常上涨第一时间判断是否遭遇攻击；
禁止泄露服务器真实 IP、业务后台地址、内部接口；
关闭不必要端口，最小化服务器暴露攻击面；
物联网设备定期更新固件，防止被劫持加入僵尸网络成为肉鸡；
制定应急响应预案：攻击发生时快速切换至高防、临时限流、封禁攻击 IP，快速恢复业务；
混合攻击应对：同时开启四层高防清洗 + 七层 WAF，搭建 “流量清洗 - CDN-WAF - 源站” 纵深防护体系，抵御 DDoS+CC 混合攻击。
五、常见防护误区提醒
只做服务器防火墙，不接入高防：面对几十 G 流量 DDoS，服务器带宽会瞬间被打满，防火墙无力拦截；
仅靠 IP 封禁防御分布式 CC：肉鸡 IP 成千上万，封禁单一 IP 治标不治本，必须搭配行为识别、验证码；
全业务无缓存：每次请求直达数据库，极易被少量 CC 请求拖垮服务；
暴露源站 IP：攻击者绕过 CDN、WAF 直接攻击底层网络，所有上层防护全部失效。
六、总结
DDoS 与 CC 攻击是线上业务高频网络安全威胁：四层 DDoS 暴力堵带宽，七层 CC 悄悄耗应用，二者经常组合发起混合攻击。防护不能只依赖单一工具，必须搭建分层纵深防御：
底层用高防 IP / 流量清洗抵御大流量 DDoS；
中间依靠CDN+WAF拦截 CC 恶意请求；
前端搭配人机验证区分脚本与真人；
后端通过缓存、限流、数据库优化降低资源消耗。
多手段组合，才能最大程度降低攻击带来的业务中断、经济损失与品牌负面影响。
防护合作联系+