求助：开源项目 Demo 被人恶意攻击刷请求数量，导致被 Cloudflare 封号

[airka]

之前发布过一个开源项目： https://www.v2ex.com/t/909834

开源项目地址： https://github.com/cf-pages/Telegraph-Image

今天突然收到 Cloudflare 的邮件，账户被封了

该账号是用来部署开源项目：Telegraph-Image 的演示站的： https://im.gurl.eu.org/ （现在账号已被封了，无法访问）该账户下也没有其他的服务，只有一个演示站

看了下之前被 Cloudflare 发了很多封超出 Cloudflare Worker 用量的邮件，当时没去管它，估计应该是因为这个原因被封的吧？我一开始觉得奇怪，为啥这演示站会有这么多人用啊？每天 100,000 次的免费额度一下子就超了，真的有这么多人访问吗？于是查看了下 Cloudflare 的统计数据，发现应该是被人恶意攻击，刷请求数量了

真是不看不知道，一看吓一跳，这已经被连续刷了至少一个月了，真是有毅力，连续一个月足足刷了我２百万的请求

来自德国的流量一直居高不下，明显超出其他地区一大截，加上我这项目还是中文项目，也没有在德国宣传什么的，怎么可能有这么多来自德国的流量？而且是连续很多天都这样，和别的地区相比请求数量和流量不成正比，感觉大概率就是来刷请求数量的

这是 3 月 3 日到 3 月 5 日的统计数据

这是 3 月 6 日到 3 月 8 日的统计数据

唉，弄个开源项目也不容易，弄开源项目本来就没收入，还要被人刷流量，现在弄的 Cloudflare 账号也被封了，现在也不知道该怎么办，就算是创建一个新的账号，估计还是一样会被刷。。。真是难啊

[Rxianbei]

不用 cloudflare 呗, 都不是一定得用

[elmagnificogg]

我理一下：你应该是 demo 放出来了，但是没有定时清空 demo 的数据导致有人拿到生产环境里了吧，然后对方可能是灰产或者黑产，还被竞争对手恶意攻击，最终你被封了，剧情是不是这么演的

[jamosLi]

之前有开源项目被人当正式环境用的

[gam2046]

cloudflare waf 可以简单的限制请求频率，比如 1 次 /分钟 /IP ，这基本就刷不动了

[SenLief]

看过这个项目。

为何不再 cf 后台限制请求呢？而且我记得你写的 kv 不是有限制的，正常情况不应该是 kv 没额度了，不就停了吗？

[Felldeadbird]

demo 上传的图片是返回上传者的吗 ？还是一个 demo 示例图？ 要小心 demo 被人当生产环境用，或者做黑产之类。

[qwertty01]

就一个问题为什么不限制请求

[ZeroClover]

开源项目给 CF 写邮件 appeal 就好了，一般都可以解封。（其实你有这发帖的时间把同样的内容发给 CF 并且提醒他们的「 Unmetered DDoS Protection 」承诺说不定都已经解封了）

顺便开源项目可以申请 CF 赞助，不过你这是图床应该大概率过不了，而且 CF 对这个也不是很上心

https://developers.cloudflare.com/sponsorships/

https://blog.cloudflare.com/cloudflare-open-source-your-upgrade-is-on-the-house/

https://community.cloudflare.com/t/cloudflare-oss-sponsorship/447338

[airka]

@ZeroClover 感谢指点，这就写邮件去和 Cloudflare appeal ，正如你所说这是图床，所以之前不太确定这种情况是否是能够解封的，就不太敢发邮件，只是发帖出来提醒大家也顺便寻求一下大家的建议

[airka]

@elmagnificogg 感觉是有这种可能，网上搜了一下，发现情况和 b 站一个 up 主鱼皮的经历很像，他也是弄了个图床然后被人刷，欠费了 1.5 万，但主要现在账号被封了，功能受限，没办法登录程序后台，日志什么的也获取不到了，很难去定位问题了，现在连攻击者的 ip 都获取不到

[airka]

@gam2046 域名没有在 cloudflare 托管，是直接单独 cname 过去的（ Cloudflare Pages 支持直接 cname 接入）所以用不了 waf

[airka]

@SenLief 不知道什么原因 cloudflare 超出了也没有停

[airka]

@qwertty01 因为不想用 cloudflare 的 NS ，所以域名直接 cname 到 Cloudflare Pages 上的，没有托管在 Cloudflare 用不了 Cloudflare 的 rate limit

[blackcrystal]

楼主的账号显然不是因为被刷请求数而封禁，如楼上所述，Cloudflare 提供“Unmetered DDoS Protection”。我见过很多用 Cloudflare 免费版被攻击的案例，有人被刷上 TB 的流量都没事，有时 Cloudflare 甚至都不会发邮件要求用户升级套餐。（例： https://limbopro.com/archives/2106.html ）
楼主的网站内容更可能是导致封号的原因。如果网站提供图片内容的占比过于不合理，显然是会违反 Cloudflare 相关服务条款的。


https://www.cloudflare.com/zh-cn/terms/