判断服务器是否遭受IP攻击，最快的方法是同时查看网络连接数、系统负载和访问日志，三者同时出现异常时基本可以确认。单纯一个指标异常不一定代表被攻击，可能只是业务突发流量或程序Bug，但多指标交叉验证后，结论就清晰了。
如何判断服务器是否被攻击：先从表面异常看起
服务器被攻击时,最直接的感受就是网站打不开、响应极慢、远程连接频繁断开，这些现象几乎每个站长都遇到过，但背后的原因各不相同。
网站突然打不开怎么排查是不是ip被攻击
当你发现网站突然无法访问,先不要急着重启服务器，按照下面顺序排查，很快就能锁定方向：
- 检查本地网络：用手机流量访问网站，如果手机能打开而电脑打不开，说明问题出在你本地IP被封或本地网络环境，服务器大概率没事。
- Ping服务器IP：在本地命令行执行
ping 服务器IP，如果丢包率超过50%甚至完全不通，说明服务器的IP层面已经被流量打满，这是DDoS攻击的典型特征。 - 看服务器控制台：登录云服务商控制台，查看带宽监控和CPU监控，如果带宽跑满而CPU很低，属于流量型攻击；如果CPU跑满而带宽正常，可能是CC攻击或程序被挂马。
这一套“本地网络云端”三步法，能帮你排除绝大多数误判情况，多数时候，网站打不开的真实原因就是IP被流量攻击打满了带宽。
服务器运行正常但访问慢，多半是连接数异常
还有一种情况,网站能打开但特别慢，这时候需要看服务器当前的TCP连接数，正常业务服务器，单IP连接数通常不会超过几十个；如果出现成千上万个来自同一IP段的连接，基本可以判定是CC攻击或慢速连接攻击。
怎么检查服务器ip有没有被攻击：命令实操篇
光靠控制台看数据还不够,登录服务器执行几组命令，能让判断更扎实，下面这些命令适用于Linux系统，也是运维人员最常用的排查手段。
查看网络连接：netstat和ss命令
登录服务器后,先执行以下命令查看当前所有外联IP：
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
这条命令会将所有连接到服务器的IP按数量从少到多排列。重点关注最底部的IP，如果某个IP的连接数超过100甚至更多，那它几乎不可能是正常访客，大概率是攻击源。
也可以使用ss命令，效率更高：
ss -nat | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
看到异常IP后,先别急着封禁，观察这个IP的连接状态，如果大量处于SYN_RECV状态，说明是SYN Flood攻击；如果大量是ESTABLISHED状态且长时间不放，可能是CC攻击占着连接不释放。
查看系统负载和进程：top命令
执行top命令，观察load average三个数值，如果三个数值都超过了CPU核心数，说明系统已经被压垮，按C键看进程列表的CPU占用排序：
- CPU被某个陌生进程占满：可能是因为攻击导致服务器执行了恶意脚本。
- CPU高但看不到明显异常进程：攻击可能来自内核层面或网络驱动，需要进一步用
tcpdump抓包分析。
查看登录日志：排查暴力破解
IP攻击不只有流量型,还包含暴力破解SSH密码、数据库弱口令攻击等，执行下面命令查登录记录：
last -n 20 cat /var/log/auth.log | grep "Failed password"
如果你看到大量来源IP不同的失败登录记录,说明服务器正被暴力破解，这种情况和DDoS不同，它消耗的是系统认证资源，会让服务器负载升高，但不一定占满带宽。
抓包分析：确认攻击类型
如果上面的命令还不能确认,可以使用tcpdump抓包：
tcpdump -i eth0 -n tcp port 80 | head -50
观察抓到的数据包：如果大量来自同一个IP且请求频率极高，是CC攻击；如果源IP都是随机且伪造的，是DDoS攻击；如果访问的是不存在的路径且带有SQL注入特征，是Web漏洞扫描。
服务器被ddos攻击和cc攻击的区别以及应对侧重点
很多新手把DDoS和CC混为一谈,实际上它们的攻击原理、表现特征和防御手段完全不同，搞清这个区别，你才知道该往哪个方向处理。
| 对比维度 | DDoS攻击 | CC攻击 |
|---|---|---|
| 攻击层面 | 网络层/传输层 | 应用层 |
| 占用资源 | 带宽、连接表 | CPU、数据库连接、PHP进程 |
| 攻击特征 | 流量巨大、丢包严重 | 流量不大但请求极多 |
| 判断难度 | 较容易，看带宽就明白 | 较难，需要看日志和数据库慢查询 |
| 防御方式 | 流量清洗、高防IP | 频率限制、CDN加速、WAF规则 |
对于DDoS攻击,普通服务器基本没有自救能力，带宽被占满后什么操作都做不了，最有效的办法是开通高防IP服务，把流量引流到高防节点清洗，高防IP的价格从每月几百到几千不等，主要看防御峰值，便宜的高防IP大都在100Gbps以下防御能力，遇到大流量攻击依然会被打穿。
对于CC攻击,处理空间就大得多，你可以在Nginx层配置访问频率限制，对单个IP每秒只放行几个请求；也可以对特定的URL加缓存，减轻后端压力，如果攻击量大，接入CDN把源站IP隐藏起来，攻击者找不到源站也就无处下手。
服务器IP攻击的应急处理和后续加固
当你确认服务器正在被攻击后,按照以下步骤处理，能最大程度降低损失。
第一步：先止损
- 如果业务允许,立即重启服务，释放被占满的连接和进程。
- 如果攻击规模大,通过控制台修改安全组规则，暂时关闭对外端口或限制来源IP。
- 如果用的是裸金属服务器且没有高防,可以临时把业务切到备用节点或对象存储上的静态页面。
第二步：封禁攻击源
根据前面netstat查到的异常IP，执行封禁：
iptables -A INPUT -s 攻击IP -j DROP
如果攻击源IP数量太多且不断变化,封单IP意义不大，需要按IP段封或启用防火墙的连接数限制模块，行业共识认为，手动封IP只适合小规模攻击，大流量攻击必须靠高防设备清洗。
第三步：事后溯源和加固
攻击停止后不要马上松懈,一定要查清楚攻击是从哪进来的，常见入口有：
- Redis、MongoDB等数据库未设置密码，直接被入侵后发起了肉鸡攻击。
- SSH端口暴露在公网且允许密码登录，被暴力破解后植入挖矿程序。
- Web应用存在注入或上传漏洞，被上传了恶意脚本。
这三个入口占了服务器被入侵原因的绝大部分,如果有条件，关闭SSH密码登录改用密钥登录，数据库只绑定内网IP，Web应用定期更新补丁。
高防服务器怎么选
如果你频繁被攻击,建议直接迁移到高防服务器，选择高防服务器时要关注几个关键点：
- 防御峰值是否真实,有的服务商宣称100G防御实际只有30G，可以要求测试。
- 清洗后的回源带宽是否充足,如果回源带宽太小，正常访问也会受影响。
- 是否有CC防护能力,单纯高防IP只能防流量型攻击，CC防护需要额外启用。
不同服务商的高防服务器价格差异较大,国内主流机房的高防服务器价格通常在每月几百到上千元，华东地区如杭州、上海机房的带宽充足但价格偏高，华南地区性价比稍好，具体看业务规模来定。
如何避免日常误判：日志和监控体系搭建
最后说一个容易忽略的点,很多服务器其实没有被攻击，只是因为日志文件过大、磁盘写满或程序死循环，表现出的症状和被攻击很像，要区分这两者，最好的办法是建立日常监控体系。
- 安装
vnstat或iftop做带宽监控，每天记录流量峰值，哪天流量突然飙升自然能发现。 - 设置磁盘空间告警，磁盘使用率达到90%就发通知，避免日志写满导致服务假死。
- 开启云服务商的安全告警和异常流量提醒，大多数云平台都有免费的基础防护告警功能。
- 每周定期查看
auth.log和nginx/access.log，建立正常业务基线，后续出现异常才能一目了然。
判断服务器是否受到IP攻击,核心永远是：带宽、连接数、日志、进程四项交叉验证，单一指标不说明问题，多项同时异常才能定性，保持这套排查思路，遇到问题按部就班检查，几分钟内就能给出准确判断，后续的处理和加固只是时间问题，不要因为攻击就自乱阵脚。
常见问题解答
服务器IP被攻击后能查到攻击者吗
绝大多数攻击者会隐藏真实IP,DDoS攻击使用伪造源IP或被控肉鸡发起，无法追溯到真实身份，CC攻击虽然能查到发起请求的IP，但这些IP基本都是控制的跳板机或代理服务器，背后的实际操控者仍然难以定位。最现实的目标不是追人，而是尽快恢复服务。
被攻击一次后还会继续被攻击吗
如果攻击是勒索性质,对方通常会反复试探直到你付费或迁走；如果是同行恶意竞争或黑客技术炫耀，一般持续几天后会自然停止，服务器被攻击后建议保留攻击记录和截图，并主动联系服务商申请调整防护策略，不要等到第二次攻击来临再做准备。
普通带宽服务器能扛住DDoS攻击吗
大多数普通服务器默认带宽只有几Mbps到几十Mbps,这部分抗攻击能力非常有限，几乎任何规模的DDoS攻击都能让服务器网络瘫痪，你需要提前购买高防IP或高防服务器，在攻击发生时将流量切换到防护节点，没有防护设备的情况下，普通带宽服务器面对DDoS基本没有应对余地。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/788885.html
