网站出现/safeview-redirect/tc_frame.html异常流量技术求助

问题背景 #

我的网站出现异常流量，在Google Analytics账户中可观测到实时访问请求。请求链接均以/safeview-redirect/tc_frame.html?dt=xxxxxxxxxxx…开头，包含大量参数，示例链接为：

/safeview-redirect/tc_frame.html?dt=PCFET0NUWVBFIGh0bWw+&n=94289b35&furl=YWJvdXQ6c3JjZG9j&turl=aHR0cHM6Ly9nZXR2b2ljZS5vcmcvc2VhcmNoP3E9V2hhdCtpbmZyb21hdGlvbittb3N0K2xpa2VseStwcmVzZW50cythK3NlY3VyaXR5K3Jpc2srb24reW91citwZXJzb25hbA==

拼接域名后访问会返回404页面。目前网络上相关信息极少，我已在Cloudflare社区发帖求助但未得到回复。

目前我启用了Cloudflare的I am Under Attack mode，这类流量不再出现，但真实访客会看到JS验证页面，导致流量流失。

补充信息：

• 使用的CMS：Question2Answer.org
• 流量来源地（据Google Analytics）：美国博伊敦

技术疑问 #

1. 这类流量属于什么类型？
2. 这是机器人流量还是虚假流量？
3. 这是否属于某种攻击行为？
4. 我该如何解决这个问题？

问题解答 #

1. 这类流量的类型 #

这类流量属于不存在资源的定向扫描类流量，目标是访问网站上根本不存在的safeview-redirect/tc_frame.html路径。参数里的dt、furl、turl均为Base64编码内容，解码后可见HTML片段和跳转链接，大概率是第三方工具或恶意脚本在测试特定跳转逻辑。

2. 机器人流量还是虚假流量？ #

这属于机器人流量，并非虚假流量（虚假流量一般仅伪造GA上报，不会真实发起HTTP请求）。这类请求是自动化脚本/机器人真实发起的，目的是探测网站是否存在可利用的跳转接口或漏洞。

3. 是否属于攻击行为？ #

目前不属于典型攻击行为（如DDoS、SQL注入），更偏向无差别扫描行为——机器人在全网批量探测特定路径，寻找可利用的跳转逻辑或漏洞入口。但如果流量持续增大，会消耗服务器资源，也可能演变为恶意流量。

4. 解决方法 #

方法1：Cloudflare精准拦截规则

无需开启全局的I am Under Attack mode，直接在Cloudflare防火墙规则中添加自定义规则：

• 规则条件：URI Path 包含 /safeview-redirect/tc_frame.html
• 执行动作：选择「阻止」或「挑战」（适合不确定是否误判的场景）
  该规则仅拦截异常请求，不会影响真实访客。

方法2：服务器端配置拦截

若未使用Cloudflare，可在Nginx/Apache中添加拦截规则：

• Nginx示例：

location ~* /safeview-redirect/tc_frame.html {
    return 444;
}

• Apache示例：

RedirectMatch 404 ^/safeview-redirect/tc_frame.html$

方法3：Google Analytics排除无效流量

在GA后台添加过滤器，排除这类请求的上报，避免干扰数据统计：

1. 进入GA后台「管理」→「视图」→「过滤器」→「添加过滤器」
2. 过滤器类型选择「自定义」→「排除」
3. 过滤器字段选「请求URI」，过滤模式填写/safeview-redirect/tc_frame.html.*

内容的提问来源于stack exchange，提问作者Kundan Kumar