当访问部分URL时可能会导致CC攻击防御失效

[LiuNianJiang]

在使用过程中发现在访问此URL下，回导致CC攻击防御失效，所有请求均不再受到CC攻击频率限制（超级严格挡位也不行）： URL：/api/v3/slave/download/0/bmV3Mi9iYXNpYy8xNzEvMjAyNS8xMDI0LzE5MTAvdGVsY2d2bXJfeGs2NHhfMy4xLjIuNi45LnppcA/telcgvmr_xk64x_3.1.2.6.9.zip?sign=k-gfWnTPmqbm3c56JkW5rypd6GUT8E8QIfv36yUIcm4%3D%3A1762350494

已经在关闭其他防御+仅打开CC攻击防御的模式下进行测试，依然可以绕过，只需要浏览器简单访问就会发现能够无视频率规则

[LiuNianJiang]

其实存在比较多，这是其中之一，请分析一下是否触发了什么东西导致CC攻击防御失败

[weaweawe01]

api 接口不会触发人机验证

[weaweawe01]

只会有那个次数的CC防御

[LiuNianJiang]

只会有那个次数的CC防御

我说的就是那个次数的CC防御失效，也就是在每个域名的“站点配置”里面的“CC防御”这个失效。 不涉及人机验证

[weaweawe01]

好的。我这边检查一下

[weaweawe01]

静态文件默认是放行的

[LiuNianJiang]

静态文件默认是放行的

以静态文件作为默认放行是不合理的 1、CC攻击可以通过攻击此类URL来实现攻击效果，且WAF如果默认放行那么就会导致防护的完全失效 2、应该提供选项给用户选择（例如宝塔防火墙中一样）而不是直接以默认放行

这样进行默认是很危险的

[weaweawe01]

静态文件默认是放行的

以静态文件作为默认放行是不合理的 1、CC攻击可以通过攻击此类URL来实现攻击效果，且WAF如果默认放行那么就会导致防护的完全失效 2、应该提供选项给用户选择（例如宝塔防火墙中一样）而不是直接以默认放行

这样进行默认是很危险的

我觉得你说的对。

我看看是默认加入计算。还是增加一个按钮

[weaweawe01]

执行btw 17 更新即可。已经把静态文件放入到计算中