阿里云 ECS 的接口被高频访问攻击怎么办

[brader]

刚刚发现一直有个 IP ，在用程序高频恶意访问我们接口，服务器访问流量带宽被它占用高达 20M/s ，这个来源 IP 还是阿里云的 IP ，应该是有实名可找到人的。
目前我暂时在安全组先屏蔽了他。
已经给阿里云提了工单了，请问有办法制止这个人吗，之前我看到有新闻案例，这种攻击，被抓到被判 3-7 年的。我已经和阿里云沟通看能不能找到人协助我送他进局子。

这个人的行为，已经对我们服务造成了损失，账号余额资源被消耗、服务访问受影响，请问除了看阿里那边怎么处理，我自己能采取哪些访问措施呢？比如 nginx 设置根据 ip 限制访问频率，有用吗？或者有其他更好的方案吗

[Mithril]

@brader 都别信，直接报警吧。
你这次能检测出来恶意访问，可以 ban 了它 IP ，下次就不一定能检测出来了。
如果是随机扫描倒还好，针对性攻击的话，谁知道下次它能想出来什么办法。而且这次你能找到阿里云，下次就不一定是什么跳板了。
所以有机会就一定要直接摁死。

[brader]

@Mithril 应该是故意攻击的，他是专门故意消耗我那个接口的余额，我刚才仔细分析了一下请求访问日志，我发现有 2 个 IP 疑似同一个攻击者发出的，他先是一个台湾的 IP ，先试水攻击，频率大概是 4 个请求 /s ，然后早上，就换成了阿里服务器 IP 进行超高频访问了

[Moofeng]

我帮你看下

[retanoj]

上阿里云 waf
btw ，消耗接口余额是啥意思？你的接口是在调用类似 ChatGPT 这种？

[brader]

@retanoj 是的

[Ashore]

@OutOfMemoryError 鱼皮？只能说他活该

[liantian]

说报警，那是没用过 VPS 啊。这互联网上，被攻击不是家常便饭么...

既然接口余额能被这么简单消耗，那就先解决接口问题，加认证，上 WAF ，藏源 IP ，基础工作做足，慢慢习惯吧。

[brader]

@liantian WAF 太贵了，小公司耗不起啊

[xyjincan]

保留原始日志记录，

[qa2080639]

我们公司也挨基本同样套路攻击短信接口 报了本地网警 过来提取了日志后面就没下文了

[nkidgm]

零星特殊 IP 就先 block 掉，如果是 ddos 那没办法，最直接的办法就是花钱。

[OutOfMemoryError]

@Ashore 好像是另一个人

[vueli]

你是没见过腾讯的小程序的那个扫描，更 ddos 一样。有网友晒出截图。https://developers.weixin.qq.com/community/minihome/doc/0008ea401c89c02cff2d1345051001?blockType=99

[vueli]

我司也遇到过，不然都不知道这种情况

[brader]

@vueli 这么恶心的，还好我不常和腾讯 API 打交道

[Morii]

@vueli #33

15qps 以内我感觉还好吧，跟探针差不多

[DefineJ]

如果故意的，用阿里自己的 ip 攻击就太秀了

[shankun]

为了让你购买 waf

[liantian]

@brader

1. 用 cdn 隐藏 ip 。让 cdn 档一档。

2. 用 ModSecurity+nginx 这种免费的 waf 也能挡住相当多的

3. 开发上多上点心思，接口认证什么多 review…。

我不知道你什么 api…但是这东西如果是热门的有利益的，很容易被 dd…cc

很多个人买 vps 就搭个梯子，看看 ssh 日志大小都能吓一跳…

[dann73580]

话说用免费的挡一下呢，goedge 免费版这方面做的也挺好的。可以先用着。