服务器被攻击了怎么办？襄阳运维应急手册

第一步：判断攻击类型

打开服务器控制台看监控面板：CPU飙升到100%但正常请求没增加——可能是挖矿木马或CC攻击。带宽打满但流量不正常——可能是DDoS攻击。磁盘空间突然满了——可能是有人用你的服务器存非法文件或者日志暴涨。端口扫描激增——有人在探测你的漏洞。

不同类型的攻击应对方式完全不同，先诊断再行动。

第二步：紧急止损

不管什么类型的攻击，第一时间要做这几件事：开启云厂商的高防/清洗服务(如果有)、临时关闭非必要端口(只留80/443/22)、启用IP黑名单(如果已经定位到攻击源)、通知团队暂停营销活动(避免更多流量涌入)。

{CITY}一家电商企业在双11期间遭遇DDoS攻击，因为不知道怎么处理导致网站瘫痪了6个小时。按他们当时的GMV估算，直接损失超过30万。后来我们帮他们建立了应急响应机制，第二次遇到类似情况时只影响了15分钟就恢复了。

第三步：排查入侵路径

攻击是怎么进来的？常见入口：弱密码(尤其是root密码是123456这种)、未修补的系统漏洞、存在漏洞的Web应用(如老旧的WordPress插件)、被感染的第三方组件。

查看登录日志(last/btmp/wtmp)、Web访问日志(Nginx/Apache access log)、进程列表(有没有可疑进程)、定时任务(crontab有没有奇怪的脚本)。

第四步：清理和恢复

杀掉恶意进程、删除恶意文件、修补漏洞、修改所有密码(包括数据库密码和API密钥)、恢复备份数据(确保备份没有被污染)。

注意：不要只是删除表面症状。如果不堵住入侵源头，过几天又会卷土重来。

第五步：事后加固

安装主机IDS/IPS(如OSSEC)、配置日志审计、设置异常告警(当CPU/内存/带宽超过阈值时发短信通知)、定期做安全扫描、建立灾备方案。

预防永远比应急便宜。一次严重的攻击事件造成的损失(包括停机损失、数据泄露风险、品牌声誉受损)可能高达几十万甚至上百万。而做好基础安全防护每年的投入不过几千到一两万。