CC攻擊比DDOS攻擊更可怕的就是，CC攻擊一般是硬防很難防止住的。為什麼呢？一、因為CC攻擊來的IP都是真實的，分散的；二、CC攻擊的資料包都是正常的資料包；三、CC攻擊的請求，全都是有效的請求，無法拒絕的請求。
1、攻擊原理
CC攻擊的原理就是攻擊者控制某些主機不停地發大量資料包給對方伺服器造成伺服器資源耗盡，一直到當機崩潰。CC主要是用來攻擊頁面的，每個人都有這樣的體驗：當一個網頁訪問的人數特別多的時候，開啟網頁就慢了，CC就是模擬多個使用者(多少執行緒就是多少使用者)不停地進行訪問那些需要大量資料操作(就是需要大量CPU時間)的頁面，造成伺服器資源的浪費，CPU長時間處於100%，永遠都有處理不完的連線直至就網路擁塞，正常的訪問被中止。
2、攻擊症狀
CC攻擊有一定的隱蔽性，那如何確定伺服器正在遭受或者曾經遭受CC攻擊呢?我們可以透過以下三個方法來確定。
(1).命令列法
一般遭受CC攻擊時，Web伺服器會出現80埠對外關閉的現象， 因為這個埠已經被大量的垃圾資料堵塞了正常的連線被中止了。我們可以透過在命令列下輸入命令netstat -an來檢視，如果看到類似如下有大量顯示雷同的連線記錄基本就可以被CC攻擊了：
- ……
- TCP192.168.1.3:80192.168.1.6:2203SYN_RECEIVED4
- TCP192.168.1.3:80192.168.1.6:2203SYN_RECEIVED4
- TCP192.168.1.3:80192.168.1.6:2203SYN_RECEIVED4
- TCP192.168.1.3:80192.168.1.6:2203SYN_RECEIVED4
- TCP192.168.1.3:80192.168.1.6:2203SYN_RECEIVED4……
其中“192.168.1.6”就是被用來代理攻擊的主機的IP，“SYN_RECEIVED”是TCP連線狀態標誌，意思是“正在處於連線的初始同步狀態 ”，表明無法建立握手應答處於等待狀態。這就是攻擊的特徵，一般情況下這樣的記錄一般都會有很多條，表示來自不同的代理IP的攻擊。
(2).批處理法
上述方法需要手工輸入命令且如果Web伺服器IP連線太多看起來比較費勁，我們可以建立一個批處理檔案，透過該指令碼程式碼確定是否存在CC攻擊。開啟記事本鍵入如下程式碼儲存為CC.bat：
- @echooff
- time/t>>log.log
- netstat-n-ptcp|find":80">>Log.log
- notepadlog.log
- exit
上面的指令碼的含義是篩選出當前所有的到80埠的連線。當我們感覺伺服器異常是就可以雙擊執行該批處理檔案，然後在開啟的log.log檔案中檢視所有的連線。如果同一個IP有比較多的到伺服器的連線，那就基本可以確定該IP正在對伺服器進行CC攻擊。
(3).檢視系統日誌
上面的兩種方法有個弊端，只可以檢視當前的CC攻擊，對於確定Web伺服器之前是否遭受CC攻擊就無能為力了，此時我們可以透過Web日誌來查，因為Web日誌忠實地記錄了所有IP訪問Web資源的情況。透過檢視日誌我們可以Web伺服器之前是否遭受CC攻擊，並確定攻擊者的IP然後採取進一步的措施。
Web日誌一般在C:WINDOWSsystem32LogFilesHTTPERR目錄下，該目錄下用類似httperr1.log的日誌檔案，這個檔案就是記錄Web訪問錯誤的記錄。管理員可以依據日誌時間屬性選擇相應的日誌開啟進行分析是否Web被CC攻擊了。
預設情況下，Web日誌記錄的項並不是很多，我們可以透過IIS進行設定，讓Web日誌記錄更多的項以便進行安全分析。其操作步驟是：
“開始→管理工具”開啟“Internet資訊伺服器”，展開左側的項定位到到相應的Web站點，然後右鍵點選選擇“屬性”開啟站點屬性視窗，在“網站”選項卡下點選“屬性”按鈕，在“日誌記錄屬性”視窗的“高階”選項卡下可以勾選相應的“擴充套件屬性”，以便讓Web日誌進行記錄。比如其中的“傳送的位元組數”、“接收的位元組數”、“所用時間”這三項預設是沒有選中的，但在記錄判斷CC攻擊中是非常有用的，可以勾選。
另外，如果你對安全的要求比較高，可以在“常規”選項卡下對“新日誌計劃”進行設定，讓其“每小時”或者“每一天”進行記錄。為了便於日後進行分析時好確定時間可以勾選“檔案命名和建立使用當地時間”。
CC攻擊的嚴重性希望大家能夠引起注意，多多提高防範意識。
文章轉自 ddos軟體http://www.fkddos.com/tech/2012/0925/4.html