没想到又被攻击了！赔了1.5万，我真服了！

补充一下，其实是被刷了 2 万，扣费有一天的延迟，今早醒来又收到 5000 多的账单 [微笑]

♥ 3649 ↩ 82

谁收益谁就是最大的嫌疑人，建议严查收款方

♥ 2937 ↩ 32

我报的培训班，鱼皮网站就是靶机[笑哭]

♥ 1881 ↩ 75

朋友圈看到了，心疼鱼皮~ 一定要严惩凶手，虽然一开始就知道攻击者藏在了背后，大部分的信息是无法定位的，但还是想通过行为学的角度分析一下攻击者的画像，希望能帮助鱼皮获得更多线索，结论出于保密原因已经单独发微信了。 亡羊补牢，为时未晚，严密防范这类攻击是不可能的，攻击者行动之前是不会给你通知的，只有累积到一定程度我们才能认清他们，但我们可以有针对的预防，下面给大家一些建议，希望可以有所帮助： 1. 图床配置防盗链，正常使用不会直接访问图片，因此可以拒绝所有空referer访问，并开放一个接口供上传者申请白名单域名，统一审核。 2. 使用CDN或者其他有IP限频能力的服务，尽量不要直接将对象存储源站直接暴露，留一些空间可以供以后策略升级。 3. 不要在任何地方暴露你的云服务账号的资源或者账单情况，这会被别有用心之人用来参照设计攻击规模。 4. 开启细粒度的云监控，并配置好相应等级的通知策略，危险时可以直接电话。 5. 可以使用云服务提供的API，设计一套自己的移动端处置面板，包括前面的白名单域名，停止CDN解析，限制IP地址，以保证能在第一时间无电脑状态下快速处置。 6. 目前CDN已经按小时计费，而对象存储还是按天扣费，所以视频中提到的通知晚了，是因为每天8-10点，按天计费的对象存储才开始推账单，这也是我前文推荐的：你可以用CDN对外访问，而不要对象存储源站直接暴露的根据之一。 7. 国外的虚拟主机我们没办法，但是国内的云服务厂商是有义务配合查案的，所以那几个肉鸡阿里云服务器，尽可能让网警扫描并保留现场，行动要快，必要时可以发函让阿里云提供IP主机的访问信息。主机所有者是攻击者的概率很小，大概所有者自己也不知道自己的主机变成肉鸡了。 8. 除了对象存储之外，云服务器也应该有保护行为，可以直接过滤掉firehol_level4列表中的所有IP，攻击的这些IP基本都在其中。 这已经不是一般的攻击分子了，必须要出重拳，期待鱼皮能在之后带来好消息[保佑]

♥ 1141 ↩ 23

加一个禁止国外访问的规则, 现在攻击源很多都集中在国外. 后期溯源也会好处理很多, 国内的攻击成本会高很多

♥ 1140 ↩ 51

看标题还以为是被一堆ip刷的，结果是一天内被1个ip刷了将近四百万次？？[笑哭]倒是限制一下每个IP的访问量啊[笑哭]你这一点限制都不做不等着被打呢么

♥ 865 ↩ 28

我觉得平台可以给用户一个选择啊，要么欠费了继续跑，不影响业务，要么欠费了马上熔断，这样每个用户就可以看情况灵活变更[Cat2_DoorKeeper!]

♥ 633 ↩ 21

没想到我也遇到了同样的遭遇，之前一直以为网站被攻击这事情离我很远，现在亲身经历了。 我之前发布了一个开源的图床程序叫Telegraph-Image，开源项目地址：https://github.com/cf-pages/Telegraph-Image 功能大致和up主视频里面的一样，用于上传和分享图片的，为了展示项目功能，提供了一个演示网站： https://im.gurl.eu.org/ （现在账号已被封了，无法访问） 今天突然收到云服务商的封号邮件，一开始还纳闷好好的咋号就没了呢？于是查看了下云服务商的统计数据，发现应该是被人恶意攻击，刷请求数量了。在日志里面看到有人连续刷了至少一个月了，真是有毅力，连续一个月足足刷了我至少２百万的请求，由于是按照请求数量计费的，已经严重超出了正常的使用范围，加上我也没有及时付费，于是账户就被封了 唉，弄个开源项目也不容易，弄开源项目本来就没收入，还要被人刷流量，现在我真的是理解up主的感受了，真的是服了这些人了，也是气的吃不下饭

♥ 453 ↩ 12

我也觉得很不合理，欠费停了不行吗，还能多刷5000

♥ 437 ↩ 30

一样....去年被刷了1.6w...[酸了][酸了][酸了]

♥ 332 ↩ 30

腾讯云欠了二十多万路过[脱单doge]直接账户都不要了

♥ 297 ↩ 13

原来...流量费用这么贵吗...二十多T就要一万五啊...我专有云云计算运维的，天天看着他们每天都是 08:38 几十几百TB的数据量都习以为常了...好惨啊鱼皮...话说这种都没有比如类似监控短信报警邮件告警的功能的嘛...真抽象啊

♥ 315 ↩ 19

感觉不是恶意的攻击，可能就是谁爬虫写错了进了个循环出不来了，链接凑巧是你的网站，然后把爬虫一开人就干别的去了，最后一看啥也没爬着，之后改了两天再爬还没改对，可能测试环境改对了忘了部署，自信满满地跑了半天最后又啥没爬着[嗑瓜子]。 为什么说不像是恶意攻击呢？一个瑞典人，跳美国的服务器下你的东西，或者一个中国人先跳瑞典再跳美国下你的东西，他服务器不花钱吗？你服务器花多少流量钱，他就得花多少流量钱，这不是伤敌一千自损八百吗？而且这个攻击手段也太低端了，用同样的IP访问，连IP都不带换的，一看就是外行，除非是故意要挑衅你嘲笑你；以自己的流量为代价仅仅去损耗你的流量，也不是什么高效的攻击方法；最后流量费也就万八千级别的，对于服务器运营来说，也算不上是损失惨重。 所以你这事就算去报警，抓不到得到先不说，我觉得首先恐怕就很难被认定为是遭受攻击了，因为你自己服务没做访问限制，你既然不做限制，那就说明你作为运营方不在意这点流量的消耗。人家就是发送正常的http请求，完全是合法的访问，人家也不知道你服务器是怎么计费的，万一你是包月的，那你就完全没有损失，除非对方知道你的套餐而且对方使用服务器不要钱或者成本极低，并且你损失一两万块钱会使对方从中获益，如果是这样那犯人就很明显了[doge]。

♥ 294 ↩ 12

就冲你这1.5w的损失，我这两个币，投了

♥ 192 ↩ 5

做点好事太难了，鱼皮加油

♥ 165 ↩ 8

流量越大，鱼越贵。----高启强。 建议查查高启强，我觉得是他搞得[脱单doge]

♥ 196 ↩ 2

想到之前我还到处评论，炫耀我的博客网站，看了这个视频觉得幸好啊没被坏人盯上[笑哭][笑哭]

♥ 174 ↩ 41

作为一个高一学生，简要评价一下。挨打其实是个很正常的事，这两年我也被打了十几个 TB 了，但这个欠费纯粹就是安全和架构做的不够完善导致的。对象存储外网下行贵、云服务计费周期非实时、要做 monitor 和 webhook 来自动关闭服务，对我们一些爱好技术的都是很平常的操作了。作为一个腾讯的程序员，不了解这些云服务基本的规则，其实并不应该。

♥ 204 ↩ 25

视频删了没关系，可以让警察联系网警，互联网企业按规定要保留6个月的备份的[脱单doge]

♥ 123 ↩ 2