DDoS与CC攻击的区别、检测方法与多层防御体系建设指南

1. 先从最根本的问题说起：DDoS到底是什么

1.1 一次让我印象深刻的线上事故

前几年我做过一个电商项目，平时流量很平稳，某天下午运营同事突然在群里炸锅——网站打不开了，后台登录也进不去，CPU直接飙到100%。我当时第一反应是数据库慢查询，结果登上服务器一看，网卡入流量跑到了好几个Gbps，负载均衡的日志里全是来自世界各地IP的TCP连接请求，每秒新建连接数高得离谱。

那是我第一次正经面对DDoS攻击，也是从那次之后，我才真正把"DDoS"和"CC"这两个词给分清楚。很多人把DDoS和CC混为一谈，其实它们属于两个层面的攻击思路：DDoS是"把路堵死"，CC是"把柜台挤爆"。理解了这个区别，后面所有的检测、防御、排查才能对得上号。

这里先给新手一个基本概念：DDoS全称是Distributed Denial of Service，中文叫分布式拒绝服务攻击。它的核心目标只有一个——让你的服务不可用。攻击者不会入侵你的服务器，不会偷数据，就是单纯地让你的网站、接口、服务器无法正常响应正常用户的请求。和你在小餐馆门口堵一群人不让客人进去，道理一模一样。

1.2 DDoS攻击的核心逻辑：什么叫"分布式"

理解DDoS，关键在"分布式"这三个字。传统DoS是单台机器发起攻击，不管性能多强，网卡多好，单台机器的发包能力始终有限，而且很容易被防火墙一个IP封掉就完事了。DDoS不一样，它是攻击者控制成百上千台"肉鸡"（被植入木马或恶意脚本的僵尸主机）或者利用反射放大技术，让海量机器同时向目标发起请求。

这些机器分布在不同的网络、不同的地区、不同的运营商，所以你会看到攻击流量来自天南海北的IP段。防御方想在网络层做黑名单封禁几乎不可能，因为你封掉一批IP，攻击流量可能换一批IP继续来。这也是为什么DDoS防御不能只看单个IP，要看整体流量特征。

我在那次电商事故里看到的现象就很典型——攻击源IP非常分散，每个IP看起来都很"正常"，单独封任何几个IP都无济于事，因为它们身后还有几万个IP。这时候你才明白，DDoS不是一台机器和一台机器之间的对抗，而是整个攻击集群和你的整个防护体系之间的对抗。

2. DDoS与CC攻击的本质区别

2.1 网络层攻击与应用层攻击

如果按照OSI模型来分，DDoS攻击可以发生在L3/L4（网络层/传输层），也可以发生在L7（应用层）。而大家平时说的CC攻击，特指L7应用层的DDoS攻击。

我做个类比你就明白了：假设你开了一家奶茶店。

网络层DDoS攻击相当于叫了几百个人站在店门口，把门口的路完全堵死，顾客想进店根本走不过去。这个时候问题出在"路上"，不在"店里"。对应到技术场景，就是攻击者发送大量SYN包、UDP包、ICMP包，把你的带宽耗尽，或者把防火墙的会话表打满，导致正常用户的报文无法到达你的服务器。

CC攻击则是另一种玩法——它让几百个人假装成正常顾客进店，每人都点一杯最贵的奶茶，而且要求现做、微糖、去冰、多加珍珠，把店员全部耗住。表面上看，店里坐满了人，生意很火，但真正的顾客进不来，因为所有制作能力都被"假顾客"消耗掉了。对应的技术场景，就是攻击者模拟正常用户发送HTTP GET/POST请求，频繁访问某个页面或接口，把应用服务器的CPU、内存、数据库连接池给占满。

2.2 CC攻击的特殊之处

CC是Challenge Collapsar的缩写，早年国内安全圈习惯叫它"挑战黑洞"，后来叫着叫着就变成"CC攻击"了，也有说法认为CC取自"Connection Closed"之类，但圈内更有共识的说法是Challenge Collapsar。不管名称来源如何，CC攻击的本质就是应用层资源耗尽。

CC攻击最让人头疼的地方在于：它的流量从网络层看一点都不大。普通DDoS攻击可能几十Gbps的流量，一眼就能看出来；CC攻击可能每秒只有几千个请求，总带宽只有几十Mbps，从流量图上看毫不起眼，但服务器的QPS（每秒查询数）如果只有几百，这几千个请求就足够把服务拖垮。

我做过的那个项目就是CC攻击，当时看到流量条只有几百Mbps，第一反应觉得不是DDoS，结果查了Nginx日志才发现，某个商品的查询接口被疯狂请求，大部分请求都带着随机的User-Agent和Referer，一看就不是正常用户的行为。

2.3 一张表说清两者差异

我这里整理一个对比表，方便你后续做防御时快速判断自己遇到的是什么情况：