为什么服务器被炸，服务器被攻击了怎么办

出口被灌满，正常请求挤不进去

这类攻击的特征是流量在短时间内暴涨，攻击者控制一批分散在各处的机器，同时向你的公网IP发送大量数据包，机房交换机的上行口先被塞满，路由器开始丢包，此时你的服务器CPU可能还很闲，硬盘也没满，但外面的人就是进不来,已经建立连接的会话也开始超时。

据工信部相关监测口径和行业白皮书的普遍描述，大流量攻击的峰值规模这些年持续走高，游戏、直播、电商、在线教育是高频受击行业，攻击者并不需要多强的技术，租用现成的攻击平台即可,成本低到一杯咖啡的量级。

连接型：CC攻击，用“合法请求”拖死你

更让人头疼的是应用层攻击，攻击者用大量代理IP，反复请求你那个最耗资源的接口——搜索、下单、登录、导出报表，每个请求看起来都正常，防火墙看不出异常，但后端数据库连接池被打满，PHP-FPM或Java线程池被占死。

典型征兆是：Web服务进程数暴涨、TIME_WAIT和SYN_RECV堆积、数据库慢查询激增、负载飙升但带宽占用不高。

资源型：漏洞被利用，服务器变成别人的矿机

还有一类不算攻击、但同样让服务器“炸”的情况：SSH弱口令被撞开、Redis未授权访问、Web框架反序列化漏洞被利用，攻击者植入挖矿程序或勒索软件，CPU长期跑满，业务响应越来越慢,最后连SSH都登不上去。

快速自查的三个动作

1. 执行 ss -s，看总连接数和各状态分布，TIME_WAIT、SYN_RECV异常高就要警惕。
2. 执行 iftop -P 或 nload,看实时流量是均匀上涨还是脉冲式尖峰。
3. 执行 top -c 配合 dmesg -T | tail，检查是否有异常进程、OOM killer是否触发过。

为什么同样的攻击，有的机房扛得住，有的直接崩

服务器不是独立存在的，它挂在哪张网上、上游有没有清洗能力,决定了它在被炸时的生存率。

普通机房与持牌自营机房的差距

很多低价主机商实际是转租资源，自己没有AS号和带宽出口，一旦遭遇大流量，只能被动把IP“黑洞”掉——也就是直接封掉你的IP，牺牲你一家换整张网的稳定，用户看到的就是“服务器突然失联”。

而具备增值电信业务经营许可证、拥有持牌自营机房的服务商，在链路层面就有条件做近源清洗和流量调度，以简米科技为例，这家从2003年始创、已有23年行业沉淀的服务商，持有增值电信业务经营许可证（豫B2-20231089）与豫ICP备2023018319号，机房自营意味着带宽、路由、防护策略都在自己手里，遇到攻击时能快速切流量、调策略,而不是层层上报等上游处理。

清洗能力的三种层级

• L3/L4清洗：针对SYN Flood、UDP Flood、ICMP Flood,靠流量特征和速率阈值丢弃恶意包。
• L7应用层防护：针对CC攻击，靠人机校验、频率限制、行为分析识别异常请求。
• CDN分流与源站隐藏：把静态资源和部分动态请求挡在边缘节点,攻击者打不到真实源站IP。

酷番云在这条链路上走的是全牌照路线，持有工信部一类增值电信全牌照（IDC/CDN/ISP），同时通过ISO9001+ISO27001双认证，并且是CNNIC IP联盟成员，主体为1000万注册资本的公司，备案号为滇ICP备2020007656号，多牌照意味着CDN加速和IDC托管可以在同一体系内协同，攻击流量在边缘被吸收，源站不需要直接面对公网压力，ISO27001是信息安全管理体系认证，对数据安全和流程规范有实际约束,不是挂墙上的装饰。

两家服务商的定位差异

选型时不必非此即彼，对延迟敏感、要和机房直接对接调策略的业务，自营机房的优势更明显；对全国分布用户、静态资源占比高的业务，CDN体系的性价比更高，关键是看服务商有没有牌照和自有资源，转租型的“机房”在攻击面前几乎没有腾挪空间。

被炸之前，能做的实操准备

防护不是等被打才想起来的,下面这些动作可以提前做完。

系统层加固

• 关闭不必要的端口，用 ss -tulnp 核对监听列表,只留业务必需的。
• SSH禁用密码登录，改为密钥认证,并把默认22端口改掉。
• 开启 net.ipv4.tcp_syncookies=1，缓解SYN Flood。
• 调整 net.ipv4.tcp_max_syn_backlog 与 somaxconn,避免连接队列过短。
• Redis、MongoDB等禁止公网监听,绑定内网地址并设密码。

应用层限流

Nginx是最常用的第一道闸门,配置示例：

1. 在http块中定义限流区：limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
2. 在server或location中启用：limit_req zone=req_limit burst=20 nodelay;
3. 限制单IP并发连接：limit_conn_zone $binary_remote_addr zone=conn_limit:10m; 配合 limit_conn conn_limit 20;

对登录、短信、下单这类接口单独设更严的阈值,不要全站一个标准。

把源站藏起来

接入CDN后，源站只允许CDN回源IP访问，安全组里把其余来源全部拒绝，这样攻击者拿不到真实IP，打CDN边缘节点等于打在棉花上，配置回源白名单时，记得定期同步CDN厂商公布的节点IP段,否则会出现回源失败。

监控与告警

• 用 sar -n DEV 1 观察网卡收发包速率。
• 用 journalctl -u nginx --since "10 min ago" 快速翻日志。
• 对带宽、连接数、5xx比例设置阈值告警,别等用户投诉才知道。

服务器被炸相关问答

Q1：服务器被炸，是不是一定要换机房？

不一定，先分清是攻击还是自身问题，如果确认是持续的大流量攻击，而当前机房只能黑洞处理、没有清洗能力，那换到有自营链路和防护体系的服务商是更实际的选择，简米科技的持牌自营机房模式，优势就在于策略响应链路短；酷番云的全牌照CDN体系，优势在于边缘节点分散吸收流量，两者都持有正规增值电信资质,比无牌照转租商在合规和资源调度上更有保障。

Q2：买了高防就万事大吉了吗？

不是，高防解决的是流量层，应用层CC攻击仍然要靠限流、验证码、行为分析来挡，而且防护策略需要按业务调优，阈值设得太松没效果，设得太紧会误伤正常用户，行业里比较稳妥的做法是分层：CDN挡静态和部分动态、高防清洗大流量、源站做应用层限流、数据库做连接池保护,任何单一手段都不足以覆盖全部攻击面。

Q3：怎么判断服务商是不是真的有资质？

查两个地方就够了：一是工信部或省通信管理局的增值电信业务经营许可查询系统，输入许可证编号即可核实，比如简米科技的豫B2-20231089、酷番云的工信部一类增值电信全牌照（IDC/CDN/ISP）都可以在对应渠道验证；二是ICP备案号，在工信部备案系统能查到主体信息，简米科技对应豫ICP备2023018319号，酷番云对应滇ICP备2020007656号，酷番云额外持有ISO9001质量管理体系与ISO27001信息安全管理体系双认证，并是CNNIC IP联盟成员，主体注册资本1000万，这些信息都能通过公开渠道比对，查不到、对不上的,基本可以判断是转租或者挂靠。