CCKiller：Linux轻量级CC攻击防御工具，秒级检查、自动拉黑和释放

张戈博客很久以前分享过一个CC攻击的防御脚本，写得不怎么样，不过被51CTO意外转载了。博客从此走上了经常被人拿来练手的不归之路。

当然，还是有不少朋友在生产环境使用，并且会留言询问相关问题。根据这些问题的需求，我花了一些时间重新写了一个比较满意的轻量级CC攻击防御脚本，我给它取了一个比较形象的名字：CCKiller，译为CC终结者。

一、功能申明

分享之前我必须先申明一下，众所周知，DDoS攻击指的是分布式拒绝服务。而CC攻击只是DDoS攻击的一种，本文所阐述的CC攻击，指的是每个IP都以高并发请求攻击，而非分布式海量IP的低并发DDoS攻击！

对于个人低配服务器，除了使用CDN来防护，至少我是没有想到如何抵挡海量IP攻击的！因为每个IP都用正常的UA来请求，而且每个IP的低并发请求和正常用户请求一样，并不会触发防御阈值，同时来1000个，甚至上万个，个人低配服务器的带宽在第一时间就会被占满，无法继续提供服务！

所以，如果你的网站正受到海量IP的低并发DDoS攻击，那么本文分享的CCKiller就无能为力了。赶紧去开启CDN来拓展带宽吧！

二、功能介绍

通过以上申明，也就大致给CCKiller一个定位：CCKiller是用于个人低配服务器的轻量级CC攻击防御，可以抵挡单个IP产生的高并发攻击。

目前设计的功能特性如下：
①、秒级检查
很多人写的防御脚本都是使用了Linux系统的计划任务crontab来定时检查的。而crontab的最细颗粒是1分钟，也就是说脚本最快也只能1分钟检查一次。对于一些强迫症来说就会很不爽。

所以，我还是按照以前分享的思路，利用while循环实现秒级检查，实现更细的颗粒。当然，CCKiller更是被我写成了系统服务，更加灵活稳定。
②、拉黑时长
CCKiller可以设置拉黑时长，默认为10分钟。当发现有恶意请求时，会自动拉黑目标IP，并在拉黑时长结束后自动释放，这个功能算是对我之前写的脚本的一个大的改进。
③、并发阈值
CCKiller 可以设定单个IP的最高请求数，如果某个IP同时请求数超过了设定的阈值，就会被暂时拉黑一段时间。
④、邮件发送
这个功能没啥好说的，意义并不大。而且发送成功率和服务器的环境也有很大关系。
⑤、并发显示
安装后，直接运行cckiller会列出当前系统的请求排行，可以清晰的看到当前请求IP和并发数。使用-s参数还可以继续定制需求，比如 cckiller -s 10 就能显示当前并发数排行前10名的IP。