凌晨三点，网站我盯着监控面板上那条每秒刷出两百多次的被攻404日志，后背发凉。击后网站没崩，什样但每个请求都指向一个不存在的网站路径——`/wp-admin`、`/admin.php`、被攻`/manager`。击后这不是什样用户行为，这是网站有人在用字典穷举后台入口。攻击的被攻第一征兆，往往不是击后页面打不开，而是什样日志里那些“不该出现的访客”。

真正让普通用户察觉异样的网站，是被攻速度。页面加载从0.8秒变成8秒，击后图片懒加载转圈转得人心烦。你以为服务器抽风，其实是攻击流量挤占了带宽——就像早高峰的地铁，正常乘客被堵在闸机口，而一群壮汉在站台反复横跳。我见过最典型的案例：一个电商站被刷了三天CC攻击，CPU占用率稳定在95%，但业务量明明只涨了2%。那种“卡顿但没死透”的状态，比直接宕机更折磨人。

有些攻击会留下肉眼可见的“伤疤”。网页被篡改时，首页会突然挂上一段阿拉伯语宣言，或者弹窗让你下载“Flash更新”——实际上是个木马。去年有个做机械零件的客户，网站被种了赌博链接，百度收录了三百多个“澳门赌场”子页面。最讽刺的是，他自己点开网站看，首页一切正常，但搜索引擎快照里全是博彩广告。这种“定向投毒”专挑权重高的站点下手，利用你的信誉给黑产导流。

数据库被拖走是另一种恐怖片。攻击者不会砸你的店，而是偷走你的账本。表现往往是后台登录突然失效，或者管理员账号多了几个陌生ID。有个做外贸的朋友，某天发现客户询盘记录被删了三分之二，对方勒索信写得很直白：“数据在手里，给两万美金就还你。”他犹豫了一天，第二天连备份都被清了——攻击者早就在系统里留了后门，删数据只是打个招呼。

最隐蔽的一类，是拿你的服务器当“肉鸡”。CPU占用率忽高忽低，带宽流量图出现规律的尖峰——比如每分钟爆发一次，持续三秒后回落。这不是自然波动，是攻击者在用你的机器扫描其他IP。你感觉不到异常，直到IDC机房发来警告邮件：“您的服务器存在对外DDoS行为，将在24小时内断网。”这种“借刀杀人”最坑，因为受害者往往不是你的直接访客，而是被你的机器攻击的第三方。

还有种情况容易被误判：网站明明没被攻击，但用户反馈“打不开”。排查后发现是DNS被污染，域名解析指向了一个假的IP。攻击者不需要碰你的服务器，直接在半路拦截流量。这种时候，你访问自己的网站看到的是正常页面，但用户访问到的是钓鱼站——他们输入账号密码，等于亲手把数据送给黑客。你收到一堆“为什么登录不了”的投诉时，才反应过来域名被劫持了。

写这些不是吓唬你。判断网站是否被攻击，先看日志里的异常请求模式，再看响应时间的突变，最后检查文件完整性——特别是那些很久没动过的PHP文件。别指望安全插件能预警一切，真正的攻击往往从你忽视的细节开始：一条可疑的404、一次莫名其妙的CPU飙升、一个多出来的管理员账号。盯着这些，总比事后恢复数据要省心得多。