近期很多朋友问KOS云防C和张戈博客的CCKiller防C脚本的区别，疑问该2款工具的原理和不同。今天特意叙述和科普。

cckiller脚本

从张戈博客的cckiller防C脚本和特点来说，该款防C工具是通过检查服务器连接数和高频IP出现次数来屏蔽该疑似CC攻击的IP地址（屏蔽一段时间）。用户可以手动设置阈值（注意该阈值和KOS云防C的阈值不同）来让脚本判定某段时间内（如1分钟内）的某个IP请求次数是否超过阈值，来达到封禁高频访问IP封禁。

该原理是否让一些朋友想到了Kangle 3311后台的防C模块？Kangle请求模块后台设置几秒内检查ip几次请求来封禁（该功能当前KOS-Kangle脚本、咖啡Kangle脚本、点点Kangle脚本都默认存在），我们要知道Kangle强大的请求模块封ip和滑块人机验证准确率要比cckiller强大很多。扩展阅读《kangle防CC攻击：Kangle防CC插件的安装教程》

另外，从cckiller的功能，我们得出该脚本支持将封禁的IP信息通过邮件发送到用户邮箱。如果我们将cckiller所有功能拿出来，就会发现该脚本的所有功能和国外Linux开发者的软件DDoS Deflate完全雷同。该国外DDoS Deflate轻量级bash脚本提供：x分钟内某个ip请求频率超过x设置的频率，自动拉黑x秒。该DDoS Deflate支持设置IP白名单，也支持发送拦截信息到x邮箱，该程序详情访问《Linux系统下利用DDos deflat软件防御小型CC》。该DDoS Deflate程序已经集成到了KOS工具箱内，你可以一键安装和配置。在Linux工具箱依次输入【3】【1】即可安装免费使用。

当然，我们只是深度解析和论证cckiller的功能，我们并不是针对或质疑cckiller作者，如有冒犯作者，请谅解或提出意见。

KOS云防C

接下来，我们讲一下KOS云防C。当前的KOS云防C功能是通过iptables的ipset扩展将Kangle主机圈数据的恶意ip屏蔽，来达到缓解和丢弃低频高并发CC攻击（与cckiller功能正好相反）。另外，KOS云防C的阈值和cckiller的阈值是完全不同的概念，KOS阈值是触动云防c启动的条件之一（还有cpu和其他数据评比），为什么要有阈值，我们了解一个知识点。

KOS防C的恶意ip数据库哪来的？

正如KOS官方介绍，我们有自己研发的KOS-V2分析系统，在KOS分析服务器24小时不间断高频分析，分析Kangle主机圈的流量IP攻击数据，做出特别的特征和提取。该V2系统分析出的IP在ipip.net查询，90％以上是被标记为恶意代理傀儡IP/攻击IP，也就说有一定概率出现误封的情况，如果没有达到阈值，防C不启动，自然不会导致正常ip被阻断。但是如果启动了，就有可能概率丢弃正常IP请求。而阈值就是为了降低误封率，提高防C的质量体验。

另外，有朋友问为什么不买ipip.net的恶意数据库？

第1，贵，一年十几万的费用。

第2，我们致力于KOS云防C轻量防护，加载几十万，几百万IP数据库，对Linux本地服务器是一种消耗。而且存在大量并非在Kangle圈活跃的无威胁 恶意IP。

最后，KOS云防C拥有免费版和商业版（付费）两个版本。更多信息请链接KOS云防C官网 

https://kostool.cn/kos-anti-cc/