CC攻击是DDoS攻击家族中专攻应用层（OSI第七层）的“精准打击武器”，与网络层洪水攻击“拼带宽、拼流量”的粗放模式不同，CC攻击通过模拟真实用户的HTTP/HTTPS请求，持续消耗服务器的CPU、内存、数据库连接等计算资源，最终让业务在带宽充足的情况下依然彻底瘫痪。这种“四两拨千斤”的特性，使CC攻击成为当前防御难度最高、攻击成本最低、识别最困难的攻击形态。

一、核心原理

CC攻击的本质是应用层洪水攻击。它的核心思想是：用最小的攻击成本，迫使服务器付出最大的处理代价。

攻击者会模拟多个“僵尸”客户端，持续向目标服务器发送大量看似合法但实则恶意的请求。这些请求通常针对服务器资源消耗较大的操作：

1、复杂的数据库查询：请求一个需要联表查询、大量计算的搜索页面。

2、高消耗的动态脚本：请求一个需要复杂运算或文件处理的PHP、JSP、ASP等脚本。

3、频繁的文件I/O操作：反复请求需要读取磁盘文件的操作。

当海量的此类请求在瞬间涌入时，服务器的CPU、内存、磁盘I/O或数据库连接池等关键资源会被迅速占满。即使服务器的网络带宽远未饱和，它也因无力处理更多任务而陷入瘫痪，导致正常用户访问时出现响应缓慢甚至“503 Service Unavailable”的错误。

二、常见类型剖析

1、GET/POST Flood攻击：简单粗暴的“人海战术”

（1）原理：攻击者控制“肉鸡”（被劫持的计算机或物联网设备）向目标URL发送海量的HTTP GET或POST请求。

（2）GET Flood：主要针对动态页面，如search.php?q=xxx、news.php?id=xxx等。攻击者会随机变换参数，使每次请求都看似新的，以绕过简单的缓存机制。

（3）POST Flood：主要针对表单提交，如登录、评论、搜索等。POST请求通常需要服务器进行更复杂的处理，因此消耗的资源更多。

（4）特点：实现简单，攻击效果直接。但特征也相对明显，容易被防火墙通过单位时间内的请求频率（QPS）限制所识别和拦截。

2、代理型CC攻击：隐藏真身的“借刀杀人”

为了隐藏自己的真实IP地址，避免被直接封禁，攻击者会使用代理来发起攻击。

（1）普通代理CC：攻击者通过一个或多个代理服务器转发攻击流量。防御方看到的攻击IP是代理服务器的IP。

（2）分布式代理CC：这是目前的主流形式。攻击者利用木马程序控制成千上万的“肉鸡”，这些“肉鸡”本身就可能是一个代理节点。它们组成一个庞大的僵尸网络（Botnet），从世界各地向目标发起攻击。由于攻击来源IP众多且分散，追踪和防御的难度极大。

3、反射型CC攻击：借力打力的“放大器”

（1）原理：攻击者并不直接向目标服务器发送请求，而是向互联网上一些可以公开访问的第三方服务（如开放DNS解析器、NTP服务器、某些API接口）发送伪造的请求。这些请求的“源IP地址”被篡改为目标服务器的IP。第三方服务在处理请求后，会将响应数据发送给被伪造的源IP，即真正的攻击目标。

（2）特点：

高度隐蔽：攻击流量来自正常的第三方服务，攻击者的真实IP完全被隐藏。

流量放大：某些协议（如DNS、NTP）的响应数据包远大于请求数据包，可以实现数倍甚至数百倍的流量放大效果，使攻击威力剧增。

4、慢速攻击（Slowloris/Slow POST）：阴险狡诈的“持久战”

（1）原理：HTTP协议规定，一个完整的请求包含请求头和请求体。服务器在接收到一个请求时，会为其分配一个连接和资源，并等待客户端发送完整的数据。慢速攻击正是利用了这一点。

Slowloris（慢速头部攻击）：攻击者向服务器发送一个不完整的HTTP请求，只发送一部分请求头，然后以极低的速度（例如每隔几十秒）发送一个无关紧要的字段，使请求始终处于“未完成”状态。

Slow POST（慢速主体攻击）：攻击者在请求头中声明一个较大的Content-Length，但在发送请求体时，以极慢的速度（例如每秒只发送几个字节）进行传输。

（2）特点：

极低带宽消耗：由于发送速度极慢，单条连接占用的带宽微乎其微，极难被基于流量的监控系统发现。

高效资源占用：服务器的每个工作线程或连接池中的一个连接会被这种“半死不活”的请求长时间占用。当攻击者发起足够多的此类连接时，服务器的连接池会迅速被耗尽，无法再接纳任何新的正常请求。

防御困难：传统的基于请求频率（QPS）的防御策略对此几乎无效，因为它的攻击频率非常低。防御需要依赖对连接超时时间和请求完整性的精细配置。

以上就是有关“从GET Flood到慢速攻击深入解析CC攻击原理与常见类型”的介绍了。对于网站管理者而言，需要结合Web应用防火墙（WAF）、流量清洗、行为分析、资源限制等多种手段，才能在这场攻防博弈中更好地保护自己的业务。