凌晨三点，网站我盯着监控面板上跳动的被人办数字，CPU占用率飙到97%，攻击数据库连接数爆满，网站网站首页被篡改成一行刺眼的被人办红字。这不是攻击电影情节，是网站我运营了六年的电商论坛真实遭遇。黑客用了一招最简单的被人办CC攻击，就把我的攻击服务器打趴了。

遇到攻击，网站第一反应别慌着拔网线。被人办你得先判断攻击类型——是攻击流量型（DDoS）把带宽塞满，还是网站漏洞型（SQL注入、XSS）在搞数据，被人办又或者像我遇到的攻击这种应用层攻击，模拟真人请求耗尽你的CPU。方法很简单：看服务器的负载日志，如果连接数异常高但流量不大，多半是CC；如果网络出口直接瘫痪，那就是DDoS。

确认类型后，立刻做三件事。第一，开启云服务商自带的防火墙和流量清洗，大部分攻击在运营商层面就能拦截掉80%。第二，改掉所有默认端口和后台地址，别小看这一步，我见过太多人把admin密码设成123456，等于给黑客留了后门。第三，把网站切到只读模式，备份数据库——哪怕牺牲正常访问，也要保住数据不丢。

接下来才是硬仗。如果是CC攻击，手动封IP没用，攻击者会用代理池换着来。你得在Nginx层加频率限制，比如同一IP每秒最多10个请求，超过就返回验证码。别担心误伤正常用户，真访客哪有这么疯狂的点鼠标频率？如果是SQL注入，立刻用参数化查询替换掉所有字符串拼接的SQL语句——别嫌麻烦，这活儿偷懒一次，迟早要还。

处理完技术手段，还有件反直觉的事：别急着把所有攻击痕迹清掉。保留攻击日志、IP样本、请求头信息，这些是报警的证据。我上次就靠日志里的一个特定User-Agent，顺藤摸瓜找到攻击者用的是某款老旧的渗透工具，最后配合网警报案，那小子被行政拘留了十天。

攻击平息后，别以为就结束了。你要复盘三件事：第一，漏洞到底怎么进的？查一下最近的代码更新，八成是某个插件没升级。第二，备份策略是否有效？我吃过亏，备份文件跟主站放在同一台服务器，攻击者顺手把备份也删了。第三，建立应急响应手册，下次再遇到，照着流程走，能省一半时间。

说点掏心窝子的——小网站别迷信昂贵的硬件防火墙，真正管用的是日常习惯。每周更新一次CMS和插件，密码用密码管理器生成随机串，数据库定期异地备份。这些枯燥的活儿，比任何安全产品都靠谱。还有个冷门技巧：在网站根目录放一个诱饵文件，伪装成敏感数据，里面埋个IP追踪脚本，能帮你提前锁定攻击者的真实位置。

最后提醒一句，攻击发生后别硬扛。如果攻击持续超过两小时，直接切到静态页面或者CDN缓存模式，保住品牌形象比死磕在线率重要。我见过同行为了维持在线率，硬撑到服务器彻底宕机，结果用户数据全丢，比被攻击本身惨十倍。

网站被攻击是常态，不是灾难。关键是你能不能从每次攻击里学到点新东西。那次CC攻击之后，我养成了每周看日志的习惯，后来还真提前发现过一次爬虫的试探性扫描。记住，黑客的每一次试探，都是你加固系统的机会。