凌晨三点，网站监控大屏上那个红色的被攻流量曲线像一根被拉直的钢筋，直挺挺地冲过了带宽上限。击办我灌了口凉透的网站咖啡，手指在键盘上敲下封禁命令——这是被攻本月第三次了。网站被攻击这件事，击办真正经历过的网站人都知道，第一反应不是被攻愤怒，是击办那种胃往下坠的无力感。

先把电源拔了？网站别慌，那是被攻最蠢的解法。攻击者要的击办就是你宕机，你主动躺平等于直接认输。网站正确的被攻第一步是判断攻击类型。DDoS（流量洪水）和CC（应用层请求轰炸）是击办两码事，前者堵路，后者堵门。你打开服务器上的实时连接数，如果看到一堆来自同一IP段的半开连接，那是SYN Flood；如果每个请求都带着正常的User-Agent但频率异常，那多半是CC。

有个小技巧，大多数新手不知道——直接看CPU占用率。流量攻击时CPU往往不高，但带宽被打满；CC攻击时CPU和数据库查询数会飙升。这个区分能帮你省下至少半小时的误判时间。我见过有人对着流量攻击狂调防火墙规则，结果人家打的是带宽，规则调得再细也是白搭。

确定类型后，立刻联系你的服务商。别不好意思，你每个月交的服务器钱里就包含抗DDoS的基础防护。阿里云、腾讯云这些都有黑洞路由和流量清洗服务，一键开启能扛住大部分小规模攻击。但记住，清洗服务有延迟，从你提交工单到生效大概需要几分钟，这几分钟里攻击会继续打进来。所以你要做两手准备——一边等清洗生效，一边手动封禁最明显的恶意IP。

手动封IP这事，得讲究效率。别一个个去查，用日志分析工具（比如goaccess）拉出最近五分钟内请求次数最多的前20个IP，直接iptables封掉。攻击者一般会准备几百个肉鸡轮换，但小作坊式的攻击者往往偷懒，会用同一个IP段反复打。封完这批，你至少能喘口气。

网站被攻击这件事，最让人恼火的不是技术对抗，而是你不知道对方图什么。我遇到过攻击者纯粹是练手，打了两小时自己停了；也遇到过竞争对手花钱雇人打的，持续了一整周。有一回，一个电商客户半夜打电话来，说网站被刷了上百万条垃圾订单，数据库快爆了。那其实不是流量攻击，是有人恶意提交表单。解决办法很简单——给提交接口加个验证码，再限制单IP每分钟提交次数，问题当场解决。很多时候，攻击者用的不是多高深的技术，而是你网站的疏漏。

事后复盘比应急更重要。别急着把日志删了，查一下攻击来源是哪个端口、哪个接口最容易被利用。如果是老旧的API接口没有做频率限制，那就补上；如果是服务器暴露了不必要的端口，那就关掉。我见过最离谱的一次，某公司被攻击之后发现，罪魁祸首是后台管理页面没有设访问IP白名单，攻击者直接拿默认密码登进去删了数据库。这已经不是攻击的问题，是运维习惯的问题。

平时没事的时候，给服务器装个fail2ban，它能自动识别暴力破解并封禁IP。再配个监控告警，流量异常时第一时间短信通知你，别等用户投诉了才发现出了问题。这些准备工作加起来花不了半天时间，但能让你在凌晨三点的时候少掉一把头发。

说到底，网站被攻击是常态，不是例外。你没法保证永远不被盯上，但可以保证被盯上之后，你比攻击者更冷静、更有章法。下次再遇到曲线飙红，先分清类型，再动手封禁，同时联系服务商——这三步走完，大部分攻击就只是虚惊一场。剩下的，交给时间，攻击者也会累的。