服务器被攻击怎么办？DDoS与CC攻击应急处理指南
网站突然打不开、远程连接卡顿、CPU占用居高不下、流量曲线异常暴涨——遇到这些情况，你的服务器很可能正在遭受攻击。对个人站长和小企业来说，被攻击并不稀奇，关键是别慌，按正确顺序处理就能把损失控制住。这篇文章讲清楚怎么判断攻击类型、应急处理的先后顺序，以及事后如何加固，避免二次中招。各类防护产品的能力边界以阿里云官网实时说明为准。
先判断：是DDoS还是CC
两种常见攻击的表现和处理思路不同，先分清类型再动手：
| 对比项 | DDoS攻击 | CC攻击 |
|---|---|---|
| 攻击目标 | 耗尽带宽或连接资源 | 耗尽应用层CPU与连接数 |
| 典型表现 | 服务器完全不可达、ping丢包严重 | 网站变慢、偶发超时、CPU高但能连上 |
| 流量特征 | 入方向流量暴涨 | 流量不一定大，但请求数异常 |
| 处理方向 | 换IP、接入高防 | 应用层限流、封禁恶意请求特征 |
阿里云的轻量应用服务器与ECS默认提供基础DDoS防护能力，攻击流量超出基础防护阈值后可能触发黑洞策略（公网访问被临时屏蔽），黑洞期间的解封方式与时长以官方规则为准。
应急处理五步走
- 备份快照。 还能登录时，先对系统盘和数据盘做快照，保住现场数据，防止后续处理把业务数据弄丢；
- 排查入侵痕迹。 检查异常进程、计划任务、陌生账号与可疑公钥，重点排查Redis、SSH弱口令被利用的情况——挖矿病毒经常从这些入口进来；
- 收紧端口。 在安全组里只保留22（或3389）、80、443等必要端口，临时关闭数据库、缓存等服务的公网访问；
- 更换公网IP。 若正被持续攻击，可申请更换公网IP或切换弹性IP，让攻击流量失去目标；
- 升级防护。 视业务重要性升级DDoS防护能力或接入WAF（Web应用防火墙），拦截CC与应用层攻击。
顺序上有讲究：先保数据，再堵入口，然后换目标，最后加防御。不少新手一上来就重装系统，反而丢了排查依据和业务数据，得不偿失。
排查挖矿病毒的要点
挖矿病毒是云服务器上比较常见的入侵后果，特征是CPU长期接近满载、进程名可疑、出现来历不明的定时任务。常见入侵路径包括：
- Redis未设密码或使用弱密码，且对公网开放；
- SSH使用弱口令，端口对全网开放；
- 系统或组件存在已知漏洞，长期未修补。
处理方式：定位可疑进程及其来源文件，清理持久化配置（定时任务、启动项、陌生密钥），改成强密码；环境已经比较混乱时，可以重装系统后按加固清单重新部署，或从干净快照恢复后逐项加固。加固完成前，别急着把服务重新暴露到公网。
事前防护清单
| 措施 | 说明 |
|---|---|
| 安全组最小化 | 只放行必要端口，数据库类服务不对公网开放 |
| 强口令与密钥 | SSH改用密钥登录，Redis、MySQL设置强密码 |
| 定期快照 | 配置自动快照策略兜底，出事能回滚 |
| 及时打补丁 | 系统与组件保持更新，关闭无用服务 |
| 防护升级 | 对外业务重要时，升级DDoS防护或接入WAF |
另外，建议提前在云监控里配置CPU、带宽的告警阈值并绑定通知方式：很多攻击是从异常指标先暴露出来的，告警发得早，处置窗口就大。应急排查的常用动作包括：查看带宽与连接数曲线、用netstat统计连接来源、检查可疑进程与定时任务、翻看Web日志里出现频率异常的请求IP。把这套动作提前练熟，真出事时就不容易乱。
常见问题
Q1：服务器进入黑洞了怎么办？ 黑洞是平台为保护网络对被攻击IP做的临时屏蔽，需等待自动解封或按官方流程处理，期间可考虑更换IP尽快恢复业务。
Q2：CC攻击怎么快速缓解？ 先在安全组或Web服务层封禁高频请求来源，再开启WAF的CC防护规则；应用侧做好限流与缓存，降低无效请求的消耗。
Q3：被攻击会产生额外费用吗？ 流量费用按计费规则正常产生，黑洞与防护相关的费用以官方计费说明为准；按量付费用户要留意流量账单。
Q4：换IP后还会被攻击吗？ 有可能。攻击者可能重新扫描到新IP，所以换IP要与端口收紧、口令加固同步进行，单换IP治标不治本。
Q5：免费的基础防护够用吗？ 对个人博客、学习站点通常够用；对外提供稳定服务的业务建议评估升级防护，具体能力以官方产品说明为准。
行动建议
被攻击后按"快照、排查、封端口、换IP、升级防护"的顺序处理；平时把安全组和口令管理做扎实，能挡住大多数入侵。如果你的服务器配置老旧、防护吃力，也正好是升级的时机——去阿里云活动页看看实时价格，新购活动机型（轻量2核2G约38元/年起、ECS e实例约99元/年）配合一次干净部署，往往比在旧环境里反复打补丁更省心。防护与黑洞规则以阿里云官网实时说明为准。