凌晨三点，网站手机突然开始疯狂弹告警。被攻我爬起来一看，击办网站响应时间从200毫秒飙到8秒，网站后台日志里全是被攻异常请求。这不是击办演习——有人正在打你的站。

别慌。网站大多数攻击没那么可怕，被攻慌才可怕。击办我处理过十几次真实攻击，网站从脚本小子扫漏洞到持续一周的被攻DDoS，说几个能立刻用上的击办判断。

先搞清楚是网站哪种攻击

打开服务器监控，看两个指标：CPU和带宽。被攻如果CPU爆满但带宽正常，击办大概率是应用层攻击——有人在疯狂请求你的搜索接口、登录页面，或者利用某个慢查询拖死数据库。如果带宽跑满、CPU反而不高，那是流量型攻击，垃圾数据包堵住了入口。

还有一种最阴的：网站看起来正常，但数据库里多了几个不认识的用户，或者首页被插了赌博链接。这是入侵，不是攻击——人家已经进来了。

流量型攻击：上CDN，别硬扛

我见过一个电商客户，被DDoS打了40Gbps流量，机房直接封了他IP。他第一反应是买高防服务器，花了两万块，结果第二天又被打了80G。硬扛没意义，攻击成本比你防御成本低得多。

正确做法：把域名解析切到Cloudflare或国内的高防CDN。流量先到CDN节点，清洗后再回源。你的真实IP藏起来，攻击者打的是CDN的IP，跟你没关系。整个过程快的话十分钟搞定。有个坑：切之前确认CDN支持你的业务端口，别把支付回调给切断了。

应用层攻击：封IP，加验证

这种攻击最像“正常访问”，每个请求都合法，但量太大。Nginx日志里你能看到某个IP每秒几百次请求，或者一堆IP在刷同一个接口。

临时方案：iptables封掉高频IP。命令不复杂，`iptables -I INPUT -s 1.2.3.4 -j DROP`，把日志里排前面的IP先封了。但攻击者会换IP，所以得配合限流。Nginx加两行配置：`limit_req_zone`限制单IP请求频率，`limit_conn`限制并发连接数。具体数值看你业务，一般单IP每秒10-20个请求够用了。

如果攻击的是登录接口，直接上验证码。别用简单的图形验证码，现在打码平台两块钱能过一千次。用行为验证，或者干脆上手机号验证。用户体验差一点，总比数据库被拖垮强。

已经被入侵了怎么办

最麻烦的情况。先断网——不是关服务器，是把外网访问切掉，只留内网管理通道。然后做三件事：

第一，查后门。看`/var/log/auth.log`有没有异常登录，看crontab有没有陌生定时任务，看网站目录下有没有最近修改的PHP文件。我遇到过攻击者在`uploads`目录里塞了一个伪装成图片的webshell，文件名是`logo.jpg.php`。

第二，改密码。所有密码——数据库、SSH、后台管理员、API密钥。别只改网站后台的，攻击者既然进来了，大概率已经拿到你的数据库配置。

第三，恢复备份。如果你有干净的备份，直接回滚。没有备份的话，手动清理后门，然后盯着日志看几天。别信什么“一键查杀”，那玩意儿查不出定制化的后门。

平时该做的准备

说个真事：有个站长被打了三天，最后发现攻击者用的是他三年前离职员工留下的账号。权限没回收，密码没改过。

几个基本动作：数据库别用root跑网站，后台路径别用`/admin`，SSH别用密码登录换密钥，服务器开自动安全更新。还有，备份要离线。我见过备份文件和网站放同一台服务器，攻击者把服务器格式化了，备份也跟着没了。

最后一句：被攻击不丢人，丢人的是同一个漏洞被打两次。每次处理完，把攻击路径记下来，该补的补，该改的改。网站安全没有终点，只有不断修补。