恶意盗刷CDN流量IP黑名单

中国境内有大量网站每天晚上受到来自山西联通、江苏联通、安徽联通等地的固定IP网段的恶意流量攻击，攻击时间规律为每天19:50左右开始，23:00结束。攻击者选择体积较大的静态文件进行请求，消耗受害网站的CDN流量。推测攻击可能与高上传家宽用户为了躲避运营商封杀、降低上传下载比例、刷下载流量有关。建议通过开启CDN域名配置下的IP访问频率限制、流量封顶等功能进行防范，同时加入黑名单中的恶意IP网段，实践表明这些措施可以显著减少损失。

摘要由智能技术生成

中国境内有大量各类网站，在每天晚上固定时间，受到 IP 来自山西联通、江苏联通、安徽联通等地的固定网段的恶意流量攻击。这类流量攻击时间规律，每天 19:50 左右开始，23:00 准时结束。攻击者会挑选体积较大的静态文件，例如视频、安装包、体积较大的图片或脚本等，在攻击期间，不断请求这个文件，消耗受害网站的 CDN 流量。推测此类攻击可能与运营商省间结算政策施行后，某些地区的高上传家宽用户（例如 PCDN 等）为了躲避运营商封杀，降低“上传/下载”比例，人为刷下载流量的行为有关。

防范如开启 CDN 域名配置中的 IP 访问频率限制、流量封顶限制等功能，实践表明，开启这些配置并合理设置封顶阈值的域名，在本次攻击中损失都非常小。

添加下列 IPv4 网段至 IP 黑白名单配置 功能的黑名单中，防患于未然（这可能会影响极少数正常用户访问，请谨慎评估）其中加粗为近几天仍在活跃的恶意 IP 网段。

221.205.168.0/23
60.221.231.0/24
211.90.146.0/24
122.195.22.0/24
118.81.184.0/23
124.163.207.0/24
124.163.208.0/24
183.185.14.0/24
36.35.38.0/24
60.221.195.0/24
60.220.182.0/24
61.160.233.0/24
153.101.65.0/24
153.101.51.0/24
221.6.171.0/24
61.147.95.0/24
36.151.55.0/24
114.230.220.0/24
49.86.47.0/24
153.99.251.0/24