凌晨三点，击平手机弹出一条推送：某游戏公司服务器遭CC攻击，击平玩家集体掉线。击平攻击流量峰值显示——每秒87万次请求。击平这个数字什么概念？击平正常玩家峰值也就几千。剩下的击平全是“假人”，像一群幽灵挤在门口，击平不买东西，击平只堵路。击平

搞这种攻击的击平人，手里往往攥着一个平台。击平不是击平淘宝京东那种，是击平藏在暗网或加密聊天群里的“在线CC攻击平台”。界面简陋得像二十年前的击平网页，输入目标网址、击平选择并发数、点“开始”。钱用比特币付，按小时计费。50块钱能打瘫一个小论坛，500块能让中型电商卡半天。

我去年混进过一个这样的群。群主叫“老猫”，头像是一只叼着烟的黑猫。他每天发广告：“CC代打，测压首选，支持试打三分钟。”下面有人问：“能打政府站吗？”老猫回：“加钱，另聊。”群里三百多人，一半是买家，一半是卖“肉鸡”的——就是被控制的傀儡设备。手机、路由器、摄像头，啥都有。你家那个没改默认密码的智能音箱，可能正替别人打工。

平台的技术门槛低得吓人。一套源码在GitHub上改改就能用，服务器架在境外，域名三天一换。老猫说过一句实话：“这行拼的不是技术，是资源。谁手里的肉鸡多，谁就是爷。”他手里大概有二十万台设备，分布在东南亚和南美。每次攻击就像放出一群蝗虫，目标服务器分不清谁是真人谁是虫，只能一律拒绝。正常用户？一起关门外。

有个做跨境电商的朋友中过招。竞争对手花两千块，在他大促当天打了六个小时。订单系统崩了，客服电话被打爆，当天损失四十万。他报警，警察说服务器在境外，追查难度大。找云服务商，对方建议“买高防IP”。一个月多花三万。他咬着牙买了，骂了一句：“这他妈跟交保护费有什么区别？”

平台运营者其实也怕。老猫有次喝多了在群里语音：“干这行就是刀口舔血。哪天上面认真查，顺着一台肉鸡摸过来，我就完了。”但他没停。为什么？来钱太快。一个中级套餐，包月八千，能同时打五个目标。他手底下有四个客服，三班倒，比正经公司还正规。

防御方也不是吃素的。现在有些高防系统能识别CC攻击的特征——比如请求头缺失、访问频率异常、只请求动态页面不加载图片。但攻击平台也在进化。老猫最近在推“慢速CC”，每个请求间隔几秒，模拟真人浏览。防不胜防。

最讽刺的是什么？有些攻击平台自己也被攻击。老猫的站上个月被同行打了三天，首页挂了个“出售本平台”的公告。后来他换了个域名，继续干。这行没有忠诚，只有流量和钱。

写这些不是教人干坏事。是想说，你手机里那个没更新的固件、那个懒得改的默认密码，可能正被别人标价出售。而某个角落里，有人正输入你的网址，点下“开始”。屏幕上的数字跳一下，你的用户就掉一个。就这么简单，也这么脏。