全球主机交流论坛

标题: 一般cdn是怎么判断那个网站被D的？ [打印本页]

作者: KID 时间: 2017-6-27 23:10
标题: 一般cdn是怎么判断那个网站被D的？
被D都是直接打IP的。

像cf这种cdn一个IP里面有N个站。

他们是怎么判断那个站被打，并且统计到被打网站的流量。

作者: feixuenet 时间: 2017-6-27 23:11
= =看错了..

作者: domin 时间: 2017-6-27 23:31
把部分切到另外一个IP, 再切部分, 这样切来切去确定.

作者: KID 时间: 2017-6-27 23:37

domin 发表于 2017-6-27 23:31
把部分切到另外一个IP, 再切部分, 这样切来切去确定.

原来还有这样的操作

作者: 椰子 时间: 2017-6-28 01:53

domin 发表于 2017-6-27 23:31
把部分切到另外一个IP, 再切部分, 这样切来切去确定.

真的是这样操作的？

作者: domin 时间: 2017-6-28 02:23

椰子发表于 2017-6-28 01:53
真的是这样操作的？

是啊还能假不。Cf就是这样

作者: dream7758521 时间: 2017-6-28 07:15
提示: 作者被禁止或删除内容自动屏蔽

作者: Emkqson 时间: 2017-6-28 08:09
提示: 作者被禁止或删除内容自动屏蔽

作者: domin 时间: 2017-6-28 08:18

dream7758521 发表于 2017-6-28 07:15
cf不能统计被d吧

不能但是它以上面的方法来知道是哪个被D.

作者: yunran 时间: 2017-6-28 08:19

被打以后会有专门的员工检查

作者: 62900015 时间: 2017-6-28 14:19
2分法不停的分，一会就出来了。

作者: 58php 时间: 2017-6-28 15:08

还能这样检测？

作者: aboutyj 时间: 2017-6-28 15:53

62900015 发表于 2017-6-28 14:19
2分法不停的分，一会就出来了。

比如100个站，切50个到另一个IP，看哪边被D，就把另一边排除
然后再把被D那堆再切25个到另外的IP，然后又看哪边被D，又再排除...是这样？

作者: etotakeo 时间: 2017-6-28 16:10
提示: 作者被禁止或删除内容自动屏蔽

作者: gundaoao 时间: 2017-6-28 16:50
CDN会给你域名一个内部别名域，所有流量都从这个别名统计了

作者: 62900015 时间: 2017-6-28 18:09

aboutyj 发表于 2017-6-28 15:53
比如100个站，切50个到另一个IP，看哪边被D，就把另一边排除
然后再把被D那堆再切25个到另外的IP，然后又 ...

15年有在乌云讨论过，当时楼主提问“一些计算流量的CDN厂商(比如加速乐)是怎么计算域名流量的”

不是http的流量
是计算纯流量的
比如骇客A 使用UDP碎片攻击了加速乐保护的网站，结果流量太大回源
那么加速乐是怎么知道这个域名流量很大呢?

复制代码

以下内容转自乌云的@小熊饼干

复制代码

一般人我都不告诉他。
最基本的原理是二分法，当你ip足够多时，检测出那个域名正在被攻击不是很难。
CDN 厂商一般有很多个节点，分布在全球/全国各地，如果是攻击源很分散（如肉鸡），则由于智能调度的存在，这些攻击流量会被分散到各个节点，导致攻击效果会差很多，所以这种不在这里讨论。这种其实cdn最喜欢了，像cloudflare也是使用anycast等将攻击流量分散到全球节点，这样防御能力就相当于将各个节点的带宽加起来。
另外，有个基础，检测某个目的IP（CDN的ip）的流量大小是很简单的。
先以国内的为例，国内的CDN就比较苦逼，anycast实施起来很贵，只能使用unicast，这样，智能调度只能在dns解析上做文章了。比如电信的用户调度到电信的节点，河南的调度到河南的节点。
先来分析一个简单的攻击例子，比如你有一个20G的攻击带宽，syn/udp flood 某个域名时，可能你的攻击目标会集中到少数几个（如2个，记为ip1，ip2）。
这样，我们来看下，如果我是cdn我会怎么做：
0.  上面说了，CDN检测到了自己的这两个ip流量异常是很easy的。
1.  这两个ip上的域名是‘嫌疑人’，但是可能多达N个。
2.  那我们就将这N个二分，分到2个新的ip上，ip3， ip4，这样ip3， ip4 各有N/2个域名。
3.  如果攻击不会跟随dns解析，即攻击还傻傻打ip1，ip2，那我大不了放弃这两个ip，或者将其引入黑洞。（此时找不出谁被打）
4.  如果攻击跟随dns解析，那么好玩的来了，或者打ip3，或者打ip4（注意，我们先只考虑同一时间只有一个域名）
5.  假设打ip3，我们就继续二分，将N/2 个域名解析到ip5，ip6，这也ip5，ip6上只有N/4个域名。
6.  以此下去，就可以找到是哪个倒霉鬼被打。
7.  当逻辑梳理清楚，其实这些都是可以自动化的。
cloudflare 使用了anycast，如果定位到某个ip被攻击，很方便的可以将此ip的流量分散到全球节点，或者放到黑洞类的设备。
上面只是简单的原理说明，大家可以自己想下更复杂的场景：
1.  多个域名同时被打怎么办。
2.  攻击不跟随，把ip1，ip2 所在机房打卦怎么办。
3.  cdn 应该怎么把客户分配到不同的ip上去
4.  国内没有anycast，即每个节点都是独立作战，这时候该怎么办。

下面的回复

复制代码

2#
Mujj (为何我的眼中饱含泪水？因为我装逼装的深沉) | 2015-10-13 01:00
这是一个难题，cloudflare、阿里云还有另外一些CDN商已经有方案出来了，但是都没公开过，或许谷歌专利上面能找到？
3#
huoji (有时候,想象力是突破技术瓶颈的关键！) | 2015-10-13 18:38
@Mujj  那有什么可能的方法呢
4#
小哲哥 | 2015-10-14 07:34
楼上说的涨姿势了，虽然我不懂
5#
感谢(1)
我是小号6 (互粉？我日怎么取消啊。。。。。) | 2015-10-14 08:19
楼上的楼上说的涨姿势了，虽然我不懂
6#
huoji (有时候,想象力是突破技术瓶颈的关键！) | 2015-10-14 10:41
@小熊饼干我是说这么计算被攻击的流量
7#
huoji (有时候,想象力是突破技术瓶颈的关键！) | 2015-10-14 10:42
@小熊饼干  怎么计算CDN节点上一个域名的流量呢
8#
小熊饼干 | 2015-10-14 10:57
找到了哪个域名被攻击，然后将其防到单个IP上，然后看下这个ip的流量多大，是不是就计算出来了？
BTW：你在加速乐面板上看到的流量大小根本不是syn／udp 流量的的大小。
如果是CC攻击，计算流量大小很简单是吧？
9#
%230CC (Who's Your Daddy ---lordi) | 2015-10-14 11:25
其次应该是CDN有标识吧。
你从哪来要到哪去
都会有标识和记录
所有你流量打站的时候
可能我不知道你从哪里来
但是我知道你是要到哪里去 ……
哎呦我去
10#
GaRY | 2015-10-14 12:44
基本是 @小熊饼干所说的那些方法。这是针对目前那种非应用层攻击的协议层攻击类型最普遍的查找方式。
这里补充一下，在很多云CDN厂商，很多情况下他也同时是被攻击网站的DNS服务者。在被攻击的时候，利用同时针对DNS的分析也能找到一些蛛丝马迹。如果不通过DNS解析的，说明并不是针对某一站点，通常就当作是针对节点进行攻击进行防御就OK了，这些攻击不会计入到单个站点的流量中。
至于协议层攻击，对于国外厂商，anycast的作用下，让他们其实不care究竟是哪个域名带来的。如何防御才是第一位的。在这个时候，屏蔽攻击来源更容易实现。
而对于国内厂商，没有anycast让他们没法发挥最大防御能力，因此才会经常用到二分法之类的方式，定位攻击站点，在实在无法防御的大型攻击情况下，才会剔除他来保其他。
顺带说下，绝大多数云CDN厂商在控制面板里显示的攻击流量，都单纯的是应用层攻击流量（CC+web攻击）。
11#
小熊饼干 | 2015-10-14 13:00
@GaRY 多谢大牛补充。
12#
huoji (有时候,想象力是突破技术瓶颈的关键！) | 2015-10-14 13:14
@小熊饼干  还有一个问题，某些免费cdn，比如360网站卫士。
当有udp攻击的时候，我服务器上的金盾会发现是360的节点发动了udp攻击，，看情况很像是360把“流量”转发到了我服务器上。。。这又是咋回事。
13#
小熊饼干 | 2015-10-14 13:41
@huoji UDP “转发”这个问题就要具体分析了。按说360也算一个‘正规’厂商，应该不会转发UDP的。怀疑是他们DNS服务器被利用放大攻击了？
只是猜测，需要你抓包分析下。
14#
Mujj (为何我的眼中饱含泪水？因为我装逼装的深沉) | 2015-10-14 13:56
国内这些厂商里面数电信的云堤有优势，来自电信的攻击基本上算全过滤了，近源压制、近源清洗，基本上来自电信的攻击源流量还没出省攻击源和流量就被处理了，X里云的X盾里面有他的影子。
15#
huoji (有时候,想象力是突破技术瓶颈的关键！) | 2015-10-14 18:43
@Mujj  晚点拿几个肉鸡试一下给你看看吧，我当时就很奇怪。
16#
huoji (有时候,想象力是突破技术瓶颈的关键！) | 2015-10-14 20:16
@Mujj  你可以无视我的回复。
17#
huoji (有时候,想象力是突破技术瓶颈的关键！) | 2015-10-14 20:16
@小熊饼干  晚点我要试一下。。
18#
无敌L.t.H (‮……天百一爱恋考高：簿相色白产国) | 2015-10-18 23:06
分配的CNAME解析次数多、分布广也会被发现。
19#
无敌L.t.H (‮……天百一爱恋考高：簿相色白产国) | 2015-10-18 23:12
大多数CDN是禁止非HTTP流量通过的，一般UDP流量在上级网络中就被过滤掉了，所以很多“高防”服务器是禁止UDP流量通过的。
20#
Mujj (为何我的眼中饱含泪水？因为我装逼装的深沉) | 2015-10-19 02:22
@无敌L.t.H 哪来的撸哪

作者: 椰子 时间: 2017-6-29 14:59
二分法，用N 次二分，就可以识别2的N次方个网站里，谁被打了。
比如10次二分，就可以从1024个网站里识别。
十几二分就可以从几万个网站里找一个网站出来。

作者: yandere 时间: 2017-6-29 15:05

62900015 发表于 2017-6-28 18:09
15年有在乌云讨论过，当时楼主提问“一些计算流量的CDN厂商(比如加速乐)是怎么计算域名流量的”

現在在哪裡能看到WooYunZone的帖文了？dalao

作者: 椰子 时间: 2017-6-29 17:42

yandere 发表于 2017-6-29 15:05
現在在哪裡能看到WooYunZone的帖文了？dalao

有人用爬虫把乌云爬下来过。

作者: 62900015 时间: 2017-6-29 18:04

yandere 发表于 2017-6-29 15:05
現在在哪裡能看到WooYunZone的帖文了？dalao

别人爬了部分做备份，好不容易找到了。

欢迎光临全球主机交流论坛 (https://gebi.eu.org/)