CC攻击，这“黑手”到底有多刑？我劝你别试
摘要：# CC攻击，这“黑手”到底有多刑？我劝你别试 ˃ 当服务器突然卡成PPT，后台流量曲线像过山车一样飙升，很多运维人员的第一反应是：又来了。但你可能没想过，按下攻击按钮的那个人，正在法律的红线上疯狂试探。 “不就是让网站卡一点嘛，又没偷数据，能有多大事…
当服务器突然卡成PPT，后台流量曲线像过山车一样飙升，很多运维人员的第一反应是：又来了。但你可能没想过，按下攻击按钮的那个人，正在法律的红线上疯狂试探。
“不就是让网站卡一点嘛，又没偷数据，能有多大事？”——这是不少人对CC攻击的误解。去年我接触过一个案例，某电商平台在双十一前遭遇持续攻击，技术负责人苦笑着跟我说：“攻击者开价五万就停手，我们纠结了半天，最后还是报了警。”
结果呢？警方三个月后跨省抓了四个人，主犯被判了三年。他们用的攻击工具，就是网上花几百块买的“压力测试软件”。
01 法律红线，CC攻击不是“灰色地带”
很多人觉得，CC攻击和DDoS不一样，它只是“模拟正常用户访问”，法律上可能管不着。这想法太天真了。
说白了，CC攻击就是利用大量傀儡机（肉鸡），对目标网站发起海量HTTP请求。这些请求看起来和真人点击没区别，但数量级完全不是一个概念。
我见过最夸张的案例，一个论坛被攻击时，每秒请求数超过50万。什么概念？相当于全北京西单商圈的人同时刷新你的首页，而且是不停地刷。
法律上怎么界定？ 根据我国《刑法》第二百八十六条，破坏计算机信息系统罪里明确写着：对计算机信息系统功能进行干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役。
注意关键词：“干扰”、“不能正常运行”。CC攻击完美符合这一定义。它不是偷你数据，而是让你服务瘫痪——这比偷数据对业务的影响可能更直接。
02 那些“进去”的人，到底踩了什么雷？
去年江苏判的一个案子很有代表性。几个二十出头的年轻人，因为游戏里和公会会长闹矛盾，一怒之下找了“打手”去攻击游戏服务器。
他们用的就是典型的CC攻击工具，攻击持续了六小时。游戏公司那会儿正搞新版本活动，直接经济损失超过八十万。
最后主犯被判了三年半。法官在判决书里写了段话，我印象很深：“网络空间非法外之地，以技术手段实施破坏，无论动机如何，均构成对公共秩序的严重威胁。”
量刑的关键，往往看几个指标：攻击持续时间、造成的直接经济损失、是否涉及重要信息系统（比如政府、金融、医疗）。
有个不成文的“门槛”：造成经济损失十万元以上，或者导致重要信息系统瘫痪一小时以上，立案追诉的概率就非常大。要是攻击的是政府网站或关键基础设施，那性质就更严重了。
03 从“压力测试”到犯罪，只有一步之遥
这里有个常见的认知误区。很多人最初接触这类工具，是出于技术好奇，或者真的想给自己网站做压力测试。
我自己早些年也用过Apache JMeter这类工具，模拟高并发测试服务器极限。但这里的分寸感很重要——你测自己的服务器，叫测试；没经过同意测别人的，那性质就变了。
去年有个大学生，在技术论坛上帮人“测试”网站抗压能力，收了对方五百块红包。结果那个网站是个小电商，被他打挂了半天，订单全丢。最后警方顺藤摸瓜找到他时，他还在宿舍写毕业论文。
“我就是想赚点外快，没想那么多。”——这话他在派出所说了好几遍。但法律不看动机，看行为和后果。
04 攻击者的“产业链”，比你想象的成熟
你可能好奇，这些攻击都是从哪来的？我接触过一些安全公司的溯源报告，发现这已经是个相当成熟的“地下产业”。
底端是“肉鸡”供应商，他们通过漏洞、木马控制了大量个人电脑和服务器。中间是工具开发者，把攻击软件包装成“压力测试工具”在网上卖。
最上面是接单的“打手”，他们在各种灰色渠道接活，价格从几百到几十万不等。我见过一个报价单：打挂一个小型网站，一天八百；持续攻击一周，五千；指定时间攻击（比如竞品发布会当天），价格翻倍。
这个链条里，每个人都在犯罪。 卖工具的、提供肉鸡的、实施攻击的，一个都跑不掉。去年广东打掉的一个团伙，从上到下抓了二十多人，最轻的也判了缓刑。
05 被攻击了怎么办？别私了，立刻做三件事
如果你负责的网站被CC攻击了，千万别想着“私了”。我见过太多公司，因为怕麻烦或者担心影响声誉，选择给攻击者打钱息事宁人。
结果呢？往往是被反复勒索，成了对方的“长期饭票”。
正确的做法是：
第一，立刻启用应急防护。 如果是云服务，赶紧开高防IP或者接入高防CDN。别心疼那点钱，业务停一天的损失可能够买一年防护了。
第二，保存所有证据。 访问日志、流量监控截图、攻击时间、IP来源（虽然很多是伪造的）、对方勒索的聊天记录或邮件，全部保存好。这些是报案的关键材料。
第三，马上报警。 现在各地网警对这类案件都很重视，他们有技术手段溯源。你越早报警，对方留下的痕迹就越多，破案概率越大。
有个做在线教育的朋友，去年被攻击时第一时间报了警，同时接入了阿里云的高防。攻击持续了两天，但业务基本没受影响。一个月后，警方在河北抓到了人——是个同行竞争公司雇的“技术员”。
06 技术防护，不能只靠“硬扛”
说回防护。很多公司觉得，上了高防就万事大吉了。其实不然。
CC攻击最麻烦的地方在于，它模拟的是正常流量。你如果简单粗暴地封IP，可能把真实用户也拦在外面。
我建议的防护策略是分层的：
第一层，用高防CDN做流量清洗。 好的CDN服务商有庞大的带宽和智能清洗能力，能把大部分攻击流量在边缘节点就过滤掉。
第二层，WAF（Web应用防火墙）设置精细规则。 比如限制单个IP的访问频率，识别异常User-Agent，对可疑会话进行人机验证。
第三层，源站隐藏。 这是很多人忽略的一步。你的真实服务器IP一旦暴露，攻击者可能绕过CDN直接打源站。一定要通过专线或者高防IP回源，别让源站IP出现在公网上。
有个电商客户，之前一直被攻击困扰。后来他们做了个很聪明的设置：对购物车、下单这些核心接口，增加了滑动验证码。虽然对用户体验有一点点影响，但攻击流量直接下降了90%——攻击程序很难模拟这个交互。
07 最后说句大实话
写这篇文章时，我翻了不少判决书。一个很深的感触是：很多攻击者根本不知道自己在犯罪。他们觉得“我就是用了下软件”，或者“网站又没彻底打挂，只是慢了点”。
但法律不是这么算的。那个判了三年的主犯，在法庭最后陈述时说：“我以为最多就是行政处罚，没想到要坐牢。”
现在技术门槛越来越低，网上随便搜搜就能找到攻击工具。但按下那个“开始”按钮前，你真的要想清楚——这可能是在给自己的未来按下暂停键。
如果你的网站正在被攻击，别犹豫，该防护防护，该报警报警。如果你是出于好奇或别的什么原因，正在搜索这类工具……我劝你趁早打住。
网络世界很自由，但自由的前提是不越过别人的边界。这句话，送给所有在键盘前的人。