居然还真有 macOS Server 这个系统，不过苹果已经在 2022 年宣布停止支持了。
https://support.apple.com/en-us/101601

应该是 favicon ，显示网站图标用的，加个 hash 会好一点

测了下你这个域名 clm37.click
联通移动没有这个现象，电信使用运营商 DNS 也正常，电信使用 114 DNS 全国大部分地区都 CNAME 到 abc.test.com

结合这个域名是 5.31 新注册的，我感觉某种缓存的可能性比较大

可以在：
chrome://extensions-internals/
中查看已安装扩展的 manifest_version

首页：
<link rel="shortcut icon" href="https://www.bilibili.com/favicon.ico?v=1" />

错误页：
<link rel="shortcut icon" href="//static.hdslb.com/images/favicon.ico">

第一个 ico 确实 404 了，不过想想这是 B 站，也就合理了。

有一个特点是它们似乎不在乎刷没刷成功，认定一个链接后我们运维把他 IP 封禁、响应 403 ，即使删除这个链接响应 404 或者其他错误，它们仍然继续刷。感觉可能是攻击范围太大，管不过来。

有几个客户遇到了这个事情，现象一样，19:30 之后准时开始，23:00 准时停。
不光是阿里云线路，我们这边其他包括腾讯云华为云线路都有遇到。

攻击者 IP 来自中国境内各地的联通，没有电信和移动。
个人赞成 #2 @someone0123 的判断。

提供侵入、非法控制计算机信息系统程序、工具罪
非法获取计算机信息系统数据罪
你还想用这个赚钱那妥妥坐实了

网易云音乐的图床没做类型验证，被人上传恶意网页拿来使用了。
网易云音乐的域名在 QQ 内肯定是白名单安全域名，这是用来防封的。

系统底层分工明确、逻辑合理的话，这其实不是什么麻烦事情。每个部分处理自己的职责范围就行。

阿里云的 Key 都直接收集也是够猛，如果是主账号的密钥，能直接白嫖你阿里云买各种服务器等产品

*纠正 GCP 应为 GCF

你这种 10G 流量的需求买服务器是浪费。
静态页用对象存储，动态的话用 GCP 这类 Serverless 服务。

服务商选择的话，分情况：
国内要求能访问就行，速度无所谓的话，用 AWS/Azure/Google Cloud ；
如果国内要求速度飞起的话，考虑阿里云腾讯云的美区对象存储，然后给对象存储开个全球加速，再套个对应厂商的国内 CDN （这个要备案，如果要求国内访问速度正常的话，最好是备案套国内 CDN ，不备案的话要搞个香港优质线路中转下也可以，按流量计费的那种）。

付费证书合法合规渠道里面，Sectigo 最便宜，如 #1 所说，单域名几十，通配符 2~300 ；
不合规渠道就是萌咖的 AlphaSSL 通配符，是利用服务器商的免费证书政策骗来的，申请时需要修改网站解析到指定服务器商的 IP ，价格是 30/年；
最白嫖当然是三个月证书的自动化部署，certbot/acme.sh/caddy/支持自动更新的厂商等。

惠州找 10~20 块一天的挂逼房

这个过程有 WPA 协议加密，一个四次握手的验证过程，AP （ WiFi 设备）不会知道你输入的密码原文，只能比对加密后的 PTK 。所以即使你输错了密码，AP 也不会知道你输错的内容。理论上是无法用于钓鱼获取邻居家的密码的。
这是我查到的，实际上是不是我不知道。

@Dnlyao 那就用 S3 协议搞一套上传啊，兼容性很强，所有云存储服务商，包括自建对象存储都支持。