服务器被打了怎么办？从攻击识别到业务恢复的应急处置方案
服务器突然无法访问、接口大量超时、带宽持续跑满，不一定就是DDoS攻击，也可能是活动流量暴涨、程序缺陷或数据库故障。应急处置的关键不是立刻重启，而是按“确认异常—降低损失—接入清洗—必要时切换—验证恢复”的顺序行动。尤其当攻击已占满机房入口带宽时，仅调整服务器防火墙通常无法恢复访问，必须让运营商或防护平台在上游处理。
一、先用监控确认：攻击发生在哪一层
首先记录异常开始时间，对比平时与当前的带宽、每秒包数、连接数、请求量、错误率和响应时间。带宽突然顶满、业务请求却未同步增加，可能是大流量网络层攻击；带宽不高，但连接数量激增、连接跟踪表接近上限，可能是连接资源耗尽；少数接口被反复请求，CPU、数据库或后端线程池吃紧，则要重点排查应用层攻击。
判断不能只看某一个指标。合法促销也会产生流量尖峰，而攻击可能来自分散地址，甚至模拟正常浏览器。应结合访问路径、请求间隔、缓存命中率、登录失败率和来源分布交叉分析。同时检查是否刚上线新版本、发生慢查询或第三方接口故障，避免把内部事故误判为攻击。
Linux环境可以使用ss查看连接状态，用sar等工具观察网卡及系统负载，并从反向代理日志中统计热点接口和错误码。抓包应限制时长、文件大小和采样范围，避免磁盘被写满或采集敏感数据。保留监控截图、日志样本和告警时间线，后续联系云厂商、运营商或进行事件复盘时都需要这些证据。
二、前十分钟：建立指挥链，先保核心业务
立即明确负责人，将网络防护、应用排查、业务沟通分别交给对应人员，并建立统一记录。向服务商提交受影响IP、攻击时间、协议端口、流量峰值和业务现象，确认是否触发黑洞、自动清洗，以及解除条件。不要多人同时修改DNS、安全组和代理配置，否则很难判断哪项措施有效，也容易扩大故障。
业务侧优先保护登录、支付、订单查询等关键链路，临时关闭高消耗的搜索、导出、复杂统计和非必要上传功能。对静态内容提高缓存利用率，对昂贵接口实施限流、并发控制和熔断。限流应综合账号、会话、接口成本及来源判断，不能只依赖单IP封禁，以免误伤企业出口、校园网和移动网络用户。
此时不建议反复重启服务器、清空日志或无差别封禁大段地址。重启无法消除上游攻击，还可能丢失现场信息。若必须进入只读模式、暂停部分写入或关闭某项功能，应给用户清楚提示，保留健康检查和管理员访问通道。
三、接入流量清洗：防护能力要匹配攻击类型
当攻击超过本地链路承载能力，应启用云平台DDoS防护、运营商清洗或高防代理。清洗通常在上游识别异常流量，将过滤后的业务流量转发到源站。选择方案时，不仅要看标称防护带宽，还要确认包处理能力、连接能力、应用层防护、回源带宽，以及超限后的收费和黑洞策略。
网站类业务可以结合CDN、WAF和访问验证处理应用层攻击；游戏、语音及自定义TCP、UDP业务，则需要确认协议支持、转发方式与延迟。普通CDN并不意味着所有协议都受保护，WAF也不能替代网络层大流量清洗。规则应逐步收紧，重点观察正常用户成功率，避免“攻击拦住了，用户也进不来”。
接入后必须检查源站是否仍可被直接访问。应尽可能只允许防护节点、必要管理出口和监控系统访问源站业务端口，同时排查历史DNS记录、邮件服务及其他子域名是否暴露源站地址。获取真实客户端IP时，只信任受控代理添加的头部，避免攻击者伪造来源绕过风控。
四、何时切换高防服务器，怎样切换更稳妥
当原服务商无法有效清洗、黑洞时间影响业务，或现有架构无法承载持续攻击时，可以考虑迁移到高防服务器或备用区域。但更换机器本身不是解决方案：如果新地址马上暴露，攻击可能随之转移。迁移前要确认新环境的防护容量、带宽、地域延迟、证书、端口策略和数据同步状态。
切换时先完成应用部署和依赖检查，再用测试域名或指定解析验证。条件允许时先导入少量流量，观察错误率、延迟和防护效果，再逐步扩大。DNS切换受递归缓存和客户端缓存影响，不会瞬间完成；提前降低TTL更有帮助，但临时修改也不能让已有缓存立即失效。
涉及写入业务，最重要的是防止新旧环境同时写入造成数据不一致。应明确唯一写入入口，检查复制延迟、消息积压、会话共享、支付回调和定时任务。保留旧环境与回滚配置，但回滚前也必须确认数据状态，不能只把域名指回旧IP。
五、恢复验证：页面打开不等于业务恢复
恢复后应按真实用户路径验证解析、连接、登录、下单、支付和通知，并从不同地区、不同运营商网络进行探测。重点观察请求成功率、尾部延迟、数据库压力和清洗回源流量，而不是只看首页能否打开。继续保持一段时间的高频监控，防止攻击换协议、换接口或绕过防护后再次造成中断。
最后复盘攻击入口、发现耗时、清洗效果、切换耗时、误封比例和费用变化，完善告警阈值、应急联系人、备用入口与切换演练。实践中最有价值的经验是：提前准备好可执行的预案，比事发后临时购买高防更可靠。真正的恢复不仅是流量下降，而是核心业务稳定、数据一致、风险可控，并且下一次能更快处置。
