网站被攻击了怎么处理

凌晨三点，网站手机震了。被攻不是击处闹钟，是网站监控报警——网站CPU飙到99%，数据库连接数爆表。被攻打开后台一看，击处每秒几千次请求打在一个根本不存在的网站URL上。被打了，被攻CC攻击。击处

别慌，网站先看一眼现象。被攻网站是击处变慢了还是彻底打不开？服务器CPU跑满还是带宽被塞爆？这决定了处理方向。我见过最蠢的网站处理方式，是被攻攻击发生时一群人围着服务器瞎重启，重启完接着被打，击处然后接着重启。

第一步，把网站从原来的IP上摘下来。怎么摘？改DNS解析，把域名指向一个临时黑洞IP，或者直接启用CDN。攻击打的是源站IP，只要源站暴露了，你换一百次IP也没用——除非你把攻击流量挡在外面。CDN的隐藏源站功能这时候就派上用场了。别舍不得那点流量费，被攻击期间CDN烧掉的钱，比你服务器被拖垮后的损失小得多。

第二步，看日志。别急着删日志，攻击记录是宝贝。打开Nginx或Apache的access log，搜一下同一个IP在短时间内请求了多少次。如果某个IP在几秒内请求了上百次，那基本就是攻击源。用防火墙封掉它，一条命令的事：iptables -A INPUT -s 攻击IP -j DROP。但CC攻击往往是分布式肉鸡，成百上千个IP轮流来，手动封禁根本来不及。这时候得靠规则——限制单个IP的请求频率，超过阈值直接返回503。Nginx里配个limit_req模块，几十行配置就能搞定。

第三步，检查应用层。有些攻击不是冲着流量来的，是冲着漏洞来的。比如SQL注入，比如上传木马文件。我处理过一个案例，网站被挂了个挖矿脚本，CPU一直跑满，但流量看起来完全正常。查了半天，发现攻击者通过某个旧插件的漏洞上传了一个PHP文件，直接在服务器上跑门罗币挖矿。这种情况光封IP没用，得把后门文件找出来删掉，还要修补漏洞。怎么找？查最近被修改的文件，用find /var/www -mtime -1 -type f，看看哪些文件是最近变动的。

还有个容易被忽略的点——检查你的CDN配置。很多人开了CDN但没开防护规则，攻击流量穿透CDN直接打到源站。我在实战中见过最气人的情况：客户买了高防CDN，但因为配置失误，源站IP直接暴露在DNS记录里，攻击者绕过CDN直捣黄龙。检查一下你的CDN回源设置，确保源站只允许CDN的IP访问。用安全组或防火墙，把源站的80/443端口限制为仅CDN节点可访问。

处理完之后别急着松口气。攻击者可能还会回来，而且手段会变。记录下这次攻击的特征——攻击时间、流量峰值、攻击类型、封掉的IP段。把这些数据整理成文档，下次再被打时直接调出来对照，能节省大量排查时间。我自己的做法是准备一个应急手册，把常用命令和操作步骤都写进去，真出事了照着执行就行，不用临时想。

最后说句实在话：网站被攻击这事，防是防不住的，只能扛。扛得住的前提是你提前做好了备份、配置好了监控、熟悉应急流程。真等被打的时候才手忙脚乱翻教程，那就只能听天由命了。平时花点时间把基础防护做好，比什么都强。