各位站长朋友好！今天想聊聊我折腾两年的流量保卫战—— 没错，就是被CDN盗刷搞得睡不着觉的那些日子！从去年被山西某IP段薅走几百G流量，到今年又被山东和江苏某IP秽土转生的低速攻击恶心到，踩过的坑、试过的招，终于攒出一套能落地的防御方案。最想分享的是我打磨了一年多的恶意IP去重工具，从最初只能简单去重IP，到现在能一键生成WAF拦截规则，实测从6万条日志里筛出50个高危网段，直接让攻击流量断崖式下跌。当然，工具不是万能的，怎么平衡拦截效果和误封风险？黑产又有哪些新套路？文章里都记着我的实战踩坑笔记，附上工具地址和操作截图，希望能给大家少走点弯路。对抗还在继续，但至少现在，咱们有了能正面刚的底气。来，一起聊聊怎么让网站流量不再不明不白消失～
起因：被薅到肉疼
上一次大规模被盗刷CDN事件还是去年7月份，被山西(不是地域黑，下方省名称都不是)联通的IP重复刷某一个资源较大的文件。站长我也是受害者之一，愣是给我刷了几百G，当时投诉运营商才不被继续攻击，我啥也没说昂。你们别瞎猜。。。
起因的话，各种原因估计都有。以我所知的信息猜测一下，起源于吾爱破解的一个工具的发布(该工具发布帖子已被封)，据其介绍所述，可以为PCDN刷流量，为什么刷下行流量？因为PCDN是家宽，为一些平台充当CDN服务器，给其他人访问资源，这样平台会付费给它，但他需要给运营商付费，而运营商会检测其是否违规，下行和上行流量不平衡就会封禁它的宽带。还有消息称，跨省付费，运营商之间需要互相付费。原因我不知道，大家只能猜测了。
卷土重来的盗刷
最近，5月起，是山东和江苏的IP，又开始了，死灰复燃？秽土转生？不管了，反正我是这个月开始被刷的，依旧是低速访问无法触发cc拦截，恶心。
我还是没能幸免，6月被刷了一些，所幸有安全通知，让我及时给予解决，但他们还是经常新增IP地址，这个比较烦，每天17万+。
我开发的恶意IP去重工具
有了去年的教训，我这次也不会继续给你机会了，防护过程中，我开发的这个工具提供了巨大帮助(其实去年就构思好了，做了一个恶意IP拦截工具自己在用，年初的时候上线到博客了，只在群里说了一下，但功能上差点儿意思)。
当时测试了宝塔WAF拦截日志，第二天立马平静了。
昨天又优化了一版，同时撰个文。。。
恶意IP集转网段工具是专为网站管理员及安全运维人员打造的IP处理工具，用于快速分析恶意攻击IP并生成WAF拦截规则。工具支持双模式处理（统计列表模式、WAF日志模式），可灵活选择 C段（/24）或B段（/16）拦截粒度，自定义重复阈值精准识别高风险网段，自动过滤私有网段避免误封。只需粘贴IP列表（支持换行 / 逗号分隔），一键生成可直接导入WAF的纯净网段规则，同时区分 “网段统计” 与 “单独 IP”。适用于拦截PCDN刷流量、WAF规则优化、应急响应恶意攻击等场景。实测从6万条攻击日志中可快速生成50个网段，大幅降低WAF压力，防御效率提升，是网站流量防护的实用利器。
恶意IP集转网段
2个月前233
工具实操/实践使用：效果立见
以腾讯EO为例，在指标分析中选择请求次数，选择流量异常部分，做流量异常分析
2025年6月5日起到文章发布时，请求数为147.8万
资源请求排行榜中发现俩图片各被请求50万次左右，这对吗？
把异常的部分加入筛选
展开看看是谁(IP)干的
下载排行榜信息，进行攻击日志提取，然后打开文件
复制这一百个
粘贴，生成
统计结果，前几个可以封了，网段内包含的IP数不少
你还可以直获取纯净结果，复制下来
单独IP这几个可以观察一下，都上榜了，也不是什么好东西
当我改为C段，前三的IP数量增加了，单独IP里面的也进去了，果真不是好东西
当阈值为3时，对误封风险控制一下，就可以放心拦截这些了
此为WAF日志模式，IP出现次数多，怎么提取日志我就不教了，方法大同小异
不管了，明天看看效果(效果已有，第二天肉眼可见的降低请求)
注意：工具有副作用
一个C段IP有256个IP地址被使用，一个B段网段有65536个IP地址，而每个IP地址可能分配给到了一个区域中，使用nat网络，拦截一个IP地址，可能同网段中有上1000人无法访问你的网站，虽然不一定每个人都访问，注意一点，尽量不要拦截B段！
结语：对抗永远在升级
从去年被刷到失眠，到现在能快速防护，这两年最深的体会是：CDN防护从来不是一次就结束。写这篇文时，某平台又发布了新的刷量工具，说明黑产还在进化。共勉
工具地址：恶意IP集转网段