百度蜘蛛暴走！来自中国重庆的类DDoS网络攻击

鹰眼观察网站从昨日不晓得何时开始，突然变得很不稳定，连线状况经常延宕，不断出现代号500的连线错误（类似404）。俟经网管人员检查系统后，发现CPU使用率暴增到以100%全速运转，并且已经持续数个小时维持该高负载状况。

为了解决这种异常状况，我们首先重启了网站服务，希望这能修复问题并让网站恢复正常运行。然而，这个修复只是昙花一现，几秒钟后，网站再次崩溃。这使我开始怀疑是否有某种外力正在针对我们的网站。

经过一番对系统的检查后发现，原来是好几组来自中国大陆的重庆地区网段的 IP（列于下表），正在疯狂地扫描我们服务器的连接埠（Port）。也是因为如此，才导致系统的CPU使用率暴增，让网站变得极不稳定。

• 183.69.137.80
• 183.69.137.71
• 183.69.137.65
• 183.69.137.91
• 183.69.137.94
• 其他族繁不及备载

使用防火墙解决服务器 CPU 100%

在经历了一系列的症状后，网站管理员首先针对这起类似 DDoS[1] 攻击事件采取了最粗暴的简单应对措施，先将来源 IP 进行防火墙级别的封锁。

但是一检查后发现，封锁了一组 IP 还有千千万万个 IP 仍持续疯狂扫描服务器。为此只能放大绝招了，将整个网段全部进行封锁，于是采用 CIDR 标记法[2]写作「183.69.137.0/24」。

在使用防火墙封锁后，本来只想顺便观测一下到底有多少恶意 IP 流量。不看还好，一看不得了，最高峰时期可以达到每5分钟就阻断高达2000次，即使是低谷期也有高达平均每五分钟1000次的造访量。等于每一分钟都有连续200~400个IP试图扫描服务器。

百度搜寻引擎网络蜘蛛的爬虫次数

虽然这种数量还称不上是恶意 DDoS 组断式攻击，但确实对于我们这种小型服务器来说已经达到了相同效果。甚至如此高的访问量，消耗掉的频宽量，累积下来也是一笔不小的成本支出啊。

后来趁著防火墙发挥作用，服务器 CPU 总算降至正常水准后，笔者也试著查询一下到底是哪来的 IP 在这样恶搞我们。

结果发现了一个令人尴尬的事实，原来这些 IP 还真不是什么恶意网络攻击事件，最多只能称作是「善意」网络攻击事件（？）。

这些 IP 原来全都出自中国大陆的知名搜寻引擎「百度（Baidu）」的蜘蛛（Spider，又称网络爬虫），原意是为了扫描网站内容以提供搜寻引擎建档使用，但不知道是什么原因，导致这群蜘蛛像是打了鸡血一样兴奋暴走起来。

甚至，苦主还不是只有我们一个。

在网络上搜寻一下，就能发现对岸的网站管理者经常都在抱怨这个问题。更糟糕的是，如果封锁该网段 IP，还会被百度搜寻引擎「处罚」，也就是降低排名，这对一个依赖搜寻引擎进行导流的内容网站来说，几乎算是灭顶之灾了。

所以，您如果是来自大陆内地的朋友，建议您赶快订阅我们鹰眼观察网！因为我们很可能也快要从百度引擎上「被消失了」（泪）。

附录

1. DDoS（Distributed Denial of Service）是指分散式阻断服务攻击，是一种常见的网络攻击方式。在DDoS攻击中，攻击者利用多个受感染的计算机或装置（称为「僵尸机」）向目标网站或服务器发起大量的请求，以超过其处理能力，从而导致网站或服务器无法正常运作，让合法用户无法访问该网站或服务。这种攻击方式通常使用分散的资源和来源，使得攻击难以防御和追踪，对网络和线上业务造成严重影响。
2. CIDR（Classless Inter-Domain Routing）标记法是一种用于表示IP位址和网络前缀的简洁和弹性的方法。它通过使用斜线符号（/）后面跟著的数字，表示网络前缀中有效的位数，以指定网络的大小。