百度蜘蛛暴走!來自中國重慶的類DDoS網路攻擊


鷹眼觀察網站從昨日不曉得何時開始,突然變得很不穩定,連線狀況經常延宕,不斷出現代號500的連線錯誤(類似404)。俟經網管人員檢查系統後,發現CPU使用率暴增到以100%全速運轉,並且已經持續數個小時維持該高負載狀況。

為了解決這種異常狀況,我們首先重啟了網站服務,希望這能修復問題並讓網站恢復正常運行。然而,這個修復只是昙花一現,幾秒鐘後,網站再次崩潰。這使我開始懷疑是否有某種外力正在針對我們的網站。

經過一番對系統的檢查後發現,原來是好幾組來自中國大陸的重慶地區網段的 IP(列於下表),正在瘋狂地掃描我們伺服器的連接埠(Port)。也是因為如此,才導致系統的CPU使用率暴增,讓網站變得極不穩定。

  • 183.69.137.80
  • 183.69.137.71
  • 183.69.137.65
  • 183.69.137.91
  • 183.69.137.94
  • 其他族繁不及備載

使用防火牆解決伺服器 CPU 100%

在經歷了一系列的症狀後,網站管理員首先針對這起類似 DDoS[1] 攻擊事件採取了最粗暴的簡單應對措施,先將來源 IP 進行防火牆級別的封鎖。

但是一檢查後發現,封鎖了一組 IP 還有千千萬萬個 IP 仍持續瘋狂掃描伺服器。為此只能放大絕招了,將整個網段全部進行封鎖,於是採用 CIDR 標記法[2]寫作「183.69.137.0/24」。

在使用防火牆封鎖後,本來只想順便觀測一下到底有多少惡意 IP 流量。不看還好,一看不得了,最高峰時期可以達到每5分鐘就阻斷高達2000次,即使是低谷期也有高達平均每五分鐘1000次的造訪量。等於每一分鐘都有連續200~400個IP試圖掃描伺服器。

Baidu spiders web attack
百度搜尋引擎網路蜘蛛的爬蟲次數

雖然這種數量還稱不上是惡意 DDoS 組斷式攻擊,但確實對於我們這種小型伺服器來說已經達到了相同效果。甚至如此高的訪問量,消耗掉的頻寬量,累積下來也是一筆不小的成本支出啊。

後來趁著防火牆發揮作用,伺服器 CPU 總算降至正常水準後,筆者也試著查詢一下到底是哪來的 IP 在這樣惡搞我們。

結果發現了一個令人尷尬的事實,原來這些 IP 還真不是什麼惡意網路攻擊事件,最多只能稱作是「善意」網路攻擊事件(?)。

這些 IP 原來全都出自中國大陸的知名搜尋引擎「百度(Baidu)」的蜘蛛(Spider,又稱網路爬蟲),原意是為了掃描網站內容以提供搜尋引擎建檔使用,但不知道是什麼原因,導致這群蜘蛛像是打了雞血一樣興奮暴走起來。

甚至,苦主還不是只有我們一個。

在網路上搜尋一下,就能發現對岸的網站管理者經常都在抱怨這個問題。更糟糕的是,如果封鎖該網段 IP,還會被百度搜尋引擎「處罰」,也就是降低排名,這對一個依賴搜尋引擎進行導流的內容網站來說,幾乎算是滅頂之災了。

所以,您如果是來自大陸內地的朋友,建議您趕快訂閱我們鷹眼觀察網!因為我們很可能也快要從百度引擎上「被消失了」(淚)。

附錄

  1. DDoS(Distributed Denial of Service)是指分散式阻斷服務攻擊,是一種常見的網絡攻擊方式。在DDoS攻擊中,攻擊者利用多個受感染的計算機或裝置(稱為「僵屍機」)向目標網站或服務器發起大量的請求,以超過其處理能力,從而導致網站或服務器無法正常運作,讓合法用戶無法訪問該網站或服務。這種攻擊方式通常使用分散的資源和來源,使得攻擊難以防禦和追蹤,對網絡和線上業務造成嚴重影響。
  2. CIDR(Classless Inter-Domain Routing)標記法是一種用於表示IP位址和網絡前綴的簡潔和彈性的方法。它通過使用斜線符號(/)後面跟著的數字,表示網絡前綴中有效的位數,以指定網絡的大小。
分享這篇文章:

留言

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *