WAF 如何防御 CC 攻击？一文看懂限速、人机校验与清洗策略

CC（Challenge Collapsar）攻击的目标不是带宽，而是应用层的处理能力。攻击者用大量高仿真的请求消耗数据库连接、会话与 CPU，让正常用户无法访问。

识别：先分清“人”和“脚本”

WAF 会综合请求频率、URL 分布、User-Agent、Cookie 行为、TLS 指纹与访问路径序列做判断。单一维度很容易被绕过，多维组合才可靠。

处置：分层而不是一刀切

• 限速：对单 IP、单会话、单接口设置不同阈值
• 人机校验：对可疑流量下发 JS 挑战或验证码，正常用户几乎无感
• 缓存与降级：静态资源走 CDN，动态接口做排队与熔断
• 封禁：对确认恶意来源做短时封禁，避免误伤大段 IP

常见误配置

把阈值设得过低会误伤正常用户；只按 IP 限速会误伤共享出口的企业网络；长期封禁大网段可能影响真实客户。策略必须经过观察期与灰度验证。

排查清单

确认攻击特征 → 检查源站是否暴露 → 核对 CDN 回源 → 调整限速阈值 → 开启挑战 → 观察业务指标 → 复盘规则。若源站 IP 已泄露，仅靠 WAF 域名接入并不够，需要同步更换源站与收紧安全组。