FRP坏蛋流量的那些“马脚”
FRP（Fast Reverse Proxy）这玩意儿，原本是个正经工具——程序员用它穿透内网调试代码，宅男用它远程访问家里NAS，简直是小天使。但架不住有坏蛋拿它干坏事：在境外搞个VPS当FRP客户端，连上你在国内买的云服务器（FRP服务端），然后“跨境冲浪”美滋滋。
传统检测手段呢？靠协议特征？小坏蛋改个源码，版本字符串一删，端口一换，甚至自己撸个私有协议，你就抓瞎了。靠DPI深度解析？坏蛋开个TLS 1.3，前向安全一开，你连包里的字母是A还是B都分不清。
所以，咱们得换个思路：协议可以改，行为改不了。就像小偷崽（干坏事）可以戴手套，但总会留下脚印。今天就来盘一盘，小坏蛋留下的“马脚”都有哪些。
马脚一：帧长一致性
想象一下，FRP客户端从本地读数据时，就像用杯子舀水。这个杯子大小是固定的（比如4KB），每次舀满，然后倒进一个带标签的瓶子（封装成帧）发出去。于是你发现，瓶子的大小总是“4KB + 标签尺寸”，反复出现同一个数值。
就算坏蛋把瓶子里的水加密了，标签上的尺寸（帧头长度字段）往往还是明文——因为接收端得知道要开多大的门接水。于是，从外面看，TCP包的尺寸就像强迫症患者摆的棋子，整整齐齐。
特征：一个TCP长连接里，90%以上的包长度集中在同一两个值上（比如：1400字节），种类极少。这就是“帧长一致性”。
例外：如果坏蛋不跑大流量，只刷刷网页，那帧长可能不那么整齐。但干坏事的人，谁不下载点东西呢？
马脚二：双向流量对称性
爬Q的本质是啥？是“二传手”：你请求，它转发，对方响应，它传回。所以作为中继的境内服务器，必然有来有往——上行（你发给境外）和下行（境外发给你）的流量差不多1:1，像公平秤一样平衡。
正常服务器呢？大多是“偏科生”：视频服务器只管下传，邮箱服务器只管上传，哪有这么对称的？所以，如果你看到一台服务器上下行流量几乎相等，还都是大流量，那它很可能在当“二传手”。
注意：这个特征在“机场模式”（多人共享）下特别明显。如果只是坏蛋自己在服务器上操作（比如直接下载），那只有下行流量，对称性就失效了。所以它不是万能药，但用来揪出“机场老板”一抓一个准。
马脚三：流量曲线波动
坏蛋也是人，爬Q也有规律。晚上刷剧、周末看片，流量曲线就像心电图，有高峰有低谷。而且下载动作往往是突发性的——突然飙高，然后平缓。
通过时间序列分析，我们可以画出流量的“心电图”，跟正常业务（比如CDN的平滑曲线）对比，异常一目了然。比如某台服务器白天静悄悄，晚上八点准时“蹦迪”，这要不是在当Q，难道是在搞夜间经济？
马脚四：多连接聚合与心跳
FRP有个习惯：通常一个控制连接（负责心跳和指令）加多个数据连接（4个或8个）一起干活。这些连接就像团伙作案：同时建立、同时断开、连数据包大小都长得差不多。控制连接还时不时发个极小心跳包（比如30秒一次），像对暗号。
如果你看到一堆连接这么“团结”，那基本没跑了。当然，如果坏蛋只用单连接、不开心跳，那这条线索就断了。但没关系，还有前面几条。
组合拳：没有银弹，只有拼图
以上每个马脚都可能被伪装：帧长一致性可能被随机填充破坏，对称性可能被自用模式规避，心跳可能被关闭。但组合起来，它们就是强有力的证据。
我们可以设计一个多角度评估系统，像拼图一样把弱信号拼成完整的画像：
最后输出的报告可能是这样的：
“IP 1.2.3.4 在晚上8-11点，用8个连接同时干活，帧长全是1400字节（占比95%），上下行各2.1GB，每隔30秒还发个小心跳包——这不像是正经服务器，倒像个开了8个窗口的网盘搬运工。”
尾声
FRP的猫鼠游戏还会继续，但只要我们抓住行为本质，一般不怕协议千变万化。小坏蛋可能会读这篇文章，但改协议容易，改行为模式难——除非它愿意放弃大流量、放弃多人共享、放弃人类作息，那这还折腾个啥劲儿，累不累啊？
以上只是一点浅见，抛砖引玉，欢迎各位童鞋一起唠嗑。老哥儿们些，还有什么抓“马脚”的妙招？
