我的网站突然受到攻击，不是合法流量

Question

我经营的网站有大约 700 名注册用户。通常一天的点击量为 30-50 次。

在过去三天里，流量增长得非常快（根据 Google Analytics）。我今天获得了 7,287 次点击。我的新注册用户数量没有相应增加。

似乎其中大多数来自俄罗斯，这很有趣，因为我在美国，而我的网站只有英文。

现在，我通过 Google 搜索来查看 Google Analytics 中所有这些引荐链接的情况。

我读到过，其中大多数只是俄罗斯的引荐垃圾邮件，其中有人从我的 HTML 中抓取了我的 Google Analytics 密钥，然后他们就数千次地访问 Google Analytics 来骚扰我，而实际上并没有从我的服务器请求任何东西（这很好，但我认为它使 Google Analytics 几乎不再有价值，因为现在我的数据被污染了，但这不是重点......）。

但是，我的 Nginx 日志显示，最近几天流量显著增加。俄罗斯引荐垃圾邮件点击量仅占 Google Analytics 总数的一半左右。老实说，我不明白为什么有人会一遍又一遍地访问我的网站，需要人工交互才能从我的网站获取任何有意义的内容。

我该怎么做才能保护自己免受这种非法流量的侵害？我唯一的选择是将 IP 地址列入黑名单吗？

Answer 1

看起来你最近变得相当受欢迎。一定有人在你的文章中放了链接。

1. 这是最大的俄罗斯专业社区之一
2. 这是俄罗斯最大的娱乐网站之一
3. 这是第 1 页的移动子网站。
4. 这是俄罗斯最受欢迎的社交网络

Answer 2

伪造“Referer”标头非常容易，我多次看到抓取工具和机器人这样做。如果您可以嗅探 TCP 流量并向我们展示这些 HTTP 请求的样子，那就太好了。Tcpdump 可以做到这一点；这取决于您的环境，但请尝试一下：

$ tcpdump -i eth0 -A -vvv -s 500 'tcp port 80 and ip[2:2] > 40 and tcp[tcpflags] & tcp-push != 0 and dst port 80'

这会嗅探指向您网络服务器的所有 HTTP 请求，然后您可以在结果中查找那些俄罗斯引荐来源。