突然收到大量来自CFNetwork/Darwin的请求

Question

我在AWS控制台上注意到我们的网站获得了比通常更多的请求，尤其是在夜间（欧洲时间）。

然后我检查了nginx日志，现在我知道很多不同IP地址的设备正在请求网站的根目录，其中大多数带有用户代理swcd (未知版本) CFNetwork/978.0.7 Darwin/18.7.0。有时一个版本是不同的。

我完全不知道发生了什么，所以希望有人能提供帮助。

- Vincent Hoch-Drei

---

swcd是macOS的一部分。它似乎与凭据（密码）存储有关。我不知道为什么它会向您的服务器发出请求，但我的猜测是这是在使用Safari访问您的服务器并将其登录数据存储在iCloud钥匙串中的用户系统上。 - pmdj

Answer 1

swcd运行在iOS和macOS设备上，将定期尝试访问/apple-app-site-association和/.well-known/apple-app-site-association。这用于介于Apple本机应用程序和Web之间的几个功能，包括共享Web凭据、Handoff和Universal Links。

此过程通常会在用户所在地区的当地时间进行，但具体时间不保证。

有关相关域的更多信息，请参见设置应用程序的相关域。

如果不了解产品的更多信息，很难猜测峰值的原因，但一些可能的原因包括：

• 您最近更新了iOS或macOS应用程序
• 更多客户使用了您的服务或推出了您的产品
• 一个较大的客户刚刚将iOS或macOS操作系统更新部署到他们管理的设备上

无论如何，我会忽略这个峰值。如果它给你带来麻烦，请确保你的负载均衡器配置正确。

- Aaron Brager

Answer 2

最近，我们的CDN和WAF检测到了同样的行为。在一些客户端中，我们发现了一个分布式枚举用户的机器人网络，甚至有一个名字叫做用户枚举喷洒。不了解Web攻击工作原理的人可能会认为这是正常的。

- Mauricio Corrêa

Answer 3

在我看来，有人使用僵尸网络试图利用共享的网站凭据来破坏您的网站，并在夜间进行以避免被发现。其他证据是“许多具有不同IP地址的设备请求网站的根目录”。如果只是一个“病毒”事件，只会显示某些类别的设备，而不是各种各样的设备。访问网站的根目录 - 这些设备以前从未访问过您的网站。这不是拒绝服务攻击，因为他们是在晚上进行的，因此没有拒绝任何人的服务，而且晚上是闯入的自然时间。

我自己不是黑客，只是一名老派的开发人员，甚至对ios也不是很熟悉，但是当您的网站可能受到攻击而您至少怀疑并调查时，我不能保持沉默。希望对您有所帮助。

- MicroservicesOnDDD