2、疑问?
Q:有些同学要问了，这样屏蔽该类user-agent，造成误杀率有多大？
A:cc攻击者攻击时，都会有自己特殊的user-agent，屏蔽该类user-agent，不会造成额外的误杀。这是通过观察屏蔽日志的得出来的结论，服务器用上该类策略后，从来木有一个网友因为这事找过。
Q:如果cc攻击软件伪装成正常的user-agent，这样的造成误杀多大？
A:1）：并不是所有的攻击者都具备修改user-agent的，相当部分的攻击者用的都是购买的攻击软件，如果要修改，则要付出金钱的代价。这不是攻击者想要的结果。2）：就算是伪装成了正常的user-agent，也会有自己的特点，可以从其共有特征来分析，比如来源地址是否相同等等，这里就可以作为共同点来设置策略。在做策略时应注意观察nginx屏蔽日志中，是否其他的正常的请求也被屏蔽了？
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
124.133.235.202 - - [08/Mar/2012:10:33:37 +0800] "GET / HTTP/1.1" 302 163 "/zhuanti/nzpp/zonghegr.jsp?group=2" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -
例如上面的日志，这次攻击者将user-agent伪装成正常的，再用user-agent做关键字，就会有部分误杀了。所以针对此类攻击，可以以来源地址作为关键字，nginx防护策略可以这么做，
if （$http__referer ~ * "/zhuanti/nzpp/zonghegr.jsp?group=2"）
{
return 444;
}
这样就不会有误杀了
3、经验教训
教训：去年的一次CC攻击，跟这次攻击有异曲同工之处，都是打的是php；那时我们在启用了黑洞防护墙后效果并不明显。
经验:当天晚上，我仔细分析了web日志，发现其user-agent，都是相同的，例如windows 5.0，跟正常的windows NT 5.0有本质区别，那可不可以在这上面做文章呢。带着这个问题，在网上搜索了nginx 防cc方面的资料，果然发现网上的高手的想法跟我的相同，都从其相同点user-agent入手，用nginx 来匹配该类user-agent，然后返回503 http状态码，当然这里我做了修改，返回了444状态码。所以，在吸取了上次的教训后，在今年网站遭受攻击时，我果断采用该条策略，结果证明效果很明显。虽然cc攻击一直在持续，但是网站访问依然流畅。
本文出自 “崔晓辉的博客” 博客。
