我做的摸鱼网站服务器被攻击了两月半复盘

抓鱼鸭&摸鱼聊天室，是我(Pony)和月落创办的一款独立开发产品，是一个专注摸鱼的导航网站；

2024年4月以来断断续续收到各种攻击，持续时间达到两个多月，期间采取各种措施进行防御，然而仍然多数时间处于半瘫痪状态；

这篇文章写一下关于我采用的防御措施和开发中遇到的一些安全问题经验分享。
www.zhuayuya.com

序言

文章撰写至7月初；截止目前攻击已经停止，从4月20到现在为止已经是被攻击的第两个半月了，最近一直在观察攻击数据的变化，目前来看攻击已经停止。

这场持续两个多月的攻击真的是闻所未闻，怎么会有人这么闲那，能持续不间断的攻击哪？

由于抓鱼鸭这款产品的使用高峰期是在工作期间使用，所以攻击者也跟上班一样，每天十点准时发起攻击，六点准时收工，偶尔加加班九十点才收工，我也是服了！！！

基本就是cc攻击，平均每小时1000w次左右，偶尔趁我不注意来一次ddos，让我服务器蹦一下，还攻击我的订单系统让正常用户无法正常下单。

技术问题

---

1.人机校验

抓鱼鸭账号一直是邮箱注册，而且是自建邮局，并不需要像第三方支付接口费用，所以一开始也没有上人机校验，更没有邮箱黑名单，然后接口就被刷了；

有一天突然一个号称是什么投诉部门的人加我，我以为我又犯啥事了哪；

对方跟我说我的网站向他们邮箱发了几十万条验证码，我 tm 当时就懵了，打开后台一看，这家伙用我的邮件接口给各个政府部门邮箱发验证码，加起来有几百万条，所以赶紧加了邮箱白名单，加上了人机校验；

这里特别感谢一下极验对独立开发者的支持，跟极验工作人员说明情况，并且表明使用量并不大后，给予我们免费