网站被攻击如何处理

昨天凌晨三点，网站我的被攻手机被监控报警震醒了。客户网站流量图直接拉成一条直线，击何CDN节点全被刷爆——典型的处理CC攻击。处理这种事儿，网站别慌，被攻先看数据，击何再动手。处理

第一步永远不是网站打补丁，是被攻切流量。攻击来了，击何你硬扛等于自杀。处理我一般先把所有请求强制走一遍WAF的网站JS质询，这招能过滤掉九成以上脚本小子。被攻剩下的击何真流量，直接限速到正常峰值的1.5倍，宁可误伤真实用户，也不能让机房把整个IP段封了。

攻击类型得先分清。是SYN Flood那种流量型，还是CC这种应用型？前者看机房防火墙的丢包率就能判断，后者得翻Nginx日志，找那些请求频率异常、User-Agent全是Python-requests的IP段。有一次我碰到个变态的，专门模拟真实浏览器指纹，那只能靠行为分析——连续三秒内请求超过20次且不带Cookie的，直接临时封禁十分钟。

处理过程中最难熬的是时间差。攻击方通常晚上动手，因为运维容易犯困。我吃过亏，以前总觉得自家防护够硬，结果被人用慢速POST连接活活拖死了后端PHP进程池。后来学乖了，凡是上传接口全部加临时文件大小校验，请求体超过2MB直接返回413，根本不进业务逻辑。

如果攻击规模超过5Gbps，别犹豫，立刻打给机房要黑洞策略。别心疼那几分钟的完全断网，总比整个IP被运营商封24小时强。记得去年有个客户，攻击流量到了12Gbps，我们切了黑洞后对方以为打死了，停了手，结果五分钟后自动解封，网站反而安然无恙——攻击方也是人，他们也要算成本。

等流量稳下来，再谈溯源和加固。别指望报警能抓到人，除非对方笨到用自己家宽带。真正有用的做法是，把攻击日志里所有异常IP归拢，去威胁情报平台比对，八成能发现是同一批僵尸网络在轮换。然后针对他们的攻击特征，写一条永久规则：比如他们爱用HTTP/1.0协议，或者总在请求头里带特定Accept-Language，直接封掉。

最后说点实在的。处理完一次攻击后，别急着庆祝。把整个过程的监控截图、日志片段、封禁规则都存好，写成一份复盘记录。不是为了给领导看，是给你自己下次省时间。我电脑里存了十几个不同场景的应急脚本，从检测到封禁全自动，下次再出事，一条命令跑完，然后可以安心泡杯茶等攻击方自己放弃——毕竟他们也要睡觉的。