在 7 月 10 日下午 18 点左右，站点遭遇恶意盗刷流量事件，导致 CDN 流量包超出触发限制紧急停止服务，FRP 节点流量也惨遭影响，最重点的是回源至公司的小主机可能连接数过多可能被公司防火墙限制了网络接入直至主机重启后恢复，人都麻了。

一直以来平平稳稳，怎么会炸到我这小破站。想来想去也没得罪啥人吧？
一到放假就经常有这些烦人的问题，又产生了些不必要的支出，搞不懂搞个人这些小网站有啥意思呢，也没多少成就感。

同时，也对于攻击源地域的运营商的不作为表示谴责。

恶刷报告

124.163.207.20： 60,959 个请求
124.163.207.80： 37,668 请求
124.163.208.20： 19,200 个请求
124.163.208.100： 16,355 请求
124.163.208.60： 16,298 请求
124.163.207.40： 15,032 个请求

攻击源基本匹配上了多吉云提供的黑名单列表的 ip 段。

对同一图片进行高频访问下载，好在图片是处理过的只有 400 k，但凡是原图 6 m 以上，明早都得为这次攻击付巨额流量账单。
126 / s 高频率刷流量

遭遇恶意流量事件说明

以下内容点击可展开查看。

多吉云：【融合CDN】近期部分加速域名晚间遭遇恶意流量事件说明
尊敬的多吉云用户：
多吉云运维团队观测到，自 2024 年 3 月至今，中国境内有大量各类网站，在每天晚上固定时间，受到 IP 来自山西联通、江苏联通、安徽联通等地的固定网段的恶意流量攻击。

现象
这类流量攻击时间规律，每天 19:50 左右开始，23:00 准时结束。

受害网站来源广泛，有多吉云 CDN 用户，也有阿里、腾讯、七牛、又拍等国内其他 CDN 服务商的用户。攻击者会挑选体积较大的静态文件，例如视频、安装包、体积较大的图片或脚本等，在攻击期间，不断请求这个文件，消耗受害网站的 CDN 流量。

一开始此类攻击只针对体量稍大一些的网站，被多吉云的流量激增监测系统发现并提醒用户，用户自主或在我们协助下针对性封禁后，问题即解决。自本月初开始，攻击者开始无差别针对中小网站进行攻击，每晚都有大量中小网站新增为受害者，在不设置访问控制措施的情况下，小型网站每晚可受到约 50 ~ 300GB 的恶意流量。

我们推测此类攻击可能与运营商省间结算政策施行后，某些地区的高上传家宽用户（例如 PCDN 等）为了躲避运营商封杀，降低“上传/下载”比例，人为刷下载流量的行为有关。

应对
如果您是多吉云用户，目前您无需过于担心，多吉云运维团队已对这类流量攻击采取针对性行动。前几天受到攻击的用户应该能明显感觉到这两天的晚上流量小了很多。

但我们仍然建议您可以为 CDN 加速域名设置访问控制措施，例如开启 CDN 域名配置中的 IP 访问频率限制、流量封顶限制等功能，实践表明，开启这些配置并合理设置封顶阈值的域名，在本次攻击中损失都非常小。

另外，您也可以提前添加下列 IPv4 网段至 IP 黑白名单配置 功能的黑名单中，防患于未然（这可能会影响极少数正常用户访问，请谨慎评估）：

221.205.168.0/23
60.221.231.0/24
211.90.146.0/24
122.195.22.0/24
118.81.184.0/23
124.163.207.0/24
124.163.208.0/24
183.185.14.0/24

如果您有任何疑问，请及时与在线客服或对接商务人员沟通。

信息更新：
2024-07-10 添加建议屏蔽 IPv4 网段。