网站被DDoS攻击怎么办

凌晨两点，网站手机开始疯狂弹告警。击办我打开监控面板，网站带宽曲线像被人拽着头发往上扯——平时跑在30Mbps的击办出口，三分钟内飙到1.2Gbps。网站源IP来自全球各地，击办但仔细一看，网站大部分是击办南亚和东欧的肉鸡。这不是网站正常流量高峰，是击办DDoS，而且是网站最没技术含量那种：UDP反射放大。

如果你也遇到类似情况，击办第一件事不是网站去查谁干的。先确认是击办不是真的被打。有时候只是网站某个页面被爬虫抓崩了，或者CDN回源配置错了。看两个指标：带宽是否在短时间内异常暴涨，以及服务器连接数是否远超正常峰值。两个都中，基本没跑。

确认之后，别急着登录服务器。如果攻击流量已经打满你的上行带宽，你连SSH都连不上。这时候能救你的只有上游。打电话给机房或云服务商，让他们在骨干网层面做流量清洗。阿里云、腾讯云都有DDoS高防产品，默认5Gbps防护，超过这个阈值需要手动升级。我那次是直接提工单，附上抓包截图，客服十分钟内把流量切到清洗中心。

清洗的原理不复杂。把流量牵引到高防IP，恶意包被丢弃，正常请求回源。但有个坑：如果你用了CDN，要确认回源IP是否暴露。很多站长把源站IP写在DNS历史记录里，攻击者一查就知道。我见过最离谱的案例，一个电商站被打了三天，最后发现是运维在GitHub上提交代码时把服务器IP写进了配置文件。

临时方案是换IP。把域名解析到新IP，旧IP直接黑洞。但这不是长久之计，攻击者只要再查一次DNS就能找到。更稳妥的做法是上高防CDN，隐藏源站。Cloudflare免费版就能扛小规模攻击，但国内访问速度会掉。如果用户主要在国内，建议用国内厂商的SCDN，带DDoS防护那种。

攻击持续超过半小时，就得考虑策略了。有些攻击是试探性的，打几分钟看你不理就撤。有些是勒索，打完之后发邮件要比特币。我遇到过一次，攻击持续了六个小时，流量峰值2.3Gbps。后来发现是竞争对手雇的，因为攻击停止后第二天，对方就在行业群里发“某站已瘫痪”的截图。这种只能硬扛，同时报警。虽然大概率抓不到人，但立案回执可以给云厂商看，申请更多免费防护额度。

技术层面之外，有个细节容易被忽略：日志。攻击期间所有访问日志都要保留，尤其是源IP和攻击类型。有些云厂商的清洗服务需要你提供证据才给升级防护。我习惯在服务器上开tcpdump，抓几个G的包存着。虽然占空间，但关键时刻能证明你不是在瞎报。

最后说个反直觉的：别把所有流量都往高防上引。有些攻击是混合型，一部分DDoS，一部分CC。CC攻击模拟正常请求，高防清洗不掉。这时候需要在应用层做限速，比如Nginx的limit_req模块，或者上WAF。我一般会先分析攻击特征，如果是UDP flood，直接封UDP端口；如果是SYN flood，调内核参数。但记住，服务器本身能做的很有限，带宽被占满时，你连iptables都敲不进去。

处理完这次之后，我把所有源站IP都换了一遍，DNS解析全部走CDN，服务器只允许CDN回源IP访问。另外买了个监控服务，每秒钟探测一次带宽。虽然多花了几百块，但至少能睡个安稳觉。DDoS这东西，防不住全部，但能防住大部分脚本小子。真遇到专业团伙，认栽，然后找专业安全公司。