云服务器被攻击了怎么办？一份能照着做的应急处理指南

晚上刚准备睡，网站突然打不开，云监控带宽飙红，SSH还卡成PPT——不少站长和开发者都遇到过这种时刻。别急着重装系统，也别先跟客服吵。本文就是给国内站长、开发者和中小企业运维看的“被攻击应急处理”实操指南，按顺序做，先把损失按住，再谈加固。

核心处理步骤：先止损，再排查，最后恢复

第1步：先判断是哪种攻击，别上来就瞎操作。
看云厂商控制台：带宽是否被打满、是否有DDoS告警、CPU和连接数是否异常。DDoS通常表现为外网访问全断、带宽跑满；CC攻击则是CPU高、网站慢但 ping 可能正常；如果是入侵，常见陌生进程、异常账号、定时任务。登录服务器后可以快速看几眼：top、iftop、ss -antp，再翻 Web 日志 tail -f access.log，看是否有单个IP高频请求。先给服务器打个快照或备份关键日志，别问我是怎么知道的，事后想查入口却把日志清了，真的会拍大腿。

第2步：立即止损隔离，别让攻击者继续扩大战果。
DDoS就先开云厂商的基础防护/高防IP，必要时临时黑洞；CC攻击上WAF、限频、验证码。安全组只放行必要端口，比如80、443和改过端口的SSH，数据库、Redis千万别暴露公网。发现入侵迹象，马上改所有密码和密钥，禁用root远程登录，停掉不必要服务。DDoS别自己硬扛，带宽被打满时你在服务器里封IP基本没用，直接找云厂商切高防线路。

第3步：排查入口和后门，找不到就准备重装。
重点看：lastb 有没有暴力破解记录、crontab -l 有没有陌生定时任务、启动项和异常进程、Web目录里最近修改的PHP/JS文件。命令不用多，关键是看“最近改了什么”。如果确认被入侵又找不到干净入口，最稳的是备份业务数据后重装系统，但别把带后门的整站目录原样搬回去。

第4步：从干净备份恢复，并做基础加固。
恢复后全量改密、打补丁、装fail2ban或云锁类工具、开WAF、配好监控告警和异地备份。业务恢复后观察24小时，别急着关告警。

第5步：复盘并升级防护。
如果一个月被打好几次，说明当前线路防护不够，别硬撑，换带高防的云服务器更省心。

避坑提醒：新手最容易犯的3个错误

只重启不排查：重启只是让服务暂时活过来，后门还在，过两天又中招。
一被DDoS就疯狂封IP：带宽都被打满了，封IP意义不大，先上高防或黑洞止损。
重装前不备份，或备份带后门：业务数据要备，但Web目录和数据库要确认干净，别把木马一起恢复。

解决方案推荐

如果你不想每次被攻击都手忙脚乱，可以直接选带防护的云服务器。沐雨云服务器（https://www.myyvps.com）提供高防云服务器，单机50-200G DDoS/CC防御，香港/美国/日本免备案VPS，BGP/CN2优质线路、纯SSD固态硬盘。2核2G轻量云12.8元/月起，支持支付宝/微信，适合个人博客、电商网站、游戏服务器、外贸独立站等场景。攻击频繁时，换高防线路比事后救火划算。