各位站长兄弟姐妹们，咱先打开天窗说亮话 —— 只要你的站有点流量，DDoS 攻击就像悬在头顶的达摩克利斯之剑。我自己运营的垂直论坛，3 年前双 11 前夕被打瘫 12 小时，眼睁睁看着注册量暴跌 70%，广告商电话都快把我手机打爆了。后来摸爬滚打三年，现在敢拍胸脯说：再遇到百 G 级攻击，咱也能让网站 "带伤运行"。今天就把这些血泪教训掰碎了讲，全是实操干货，没有半句虚的。
一、先搞懂黑客怎么 "搞你"：DDoS 不是洪水，是有预谋的围猎
刚入行时总以为 DDoS 就是 "流量洪水"，后来才知道这孙子分三招：
第一招叫 "封路"（流量型攻击）：黑客用成千上万台僵尸电脑（行话叫 "肉鸡"，可能是你家路由器、邻居的智能电视被植入病毒），疯狂往你服务器扔 UDP 包。我试过最狠的一次，凌晨三点带宽突然从 200M 飙到 1.2G，跟网管盯着监控屏看，就像看见无数辆破车往高速上冲，正常用户的请求根本挤不进来。
第二招叫 "占坑"（协议型攻击）：最典型的是 SYN 洪水，黑客模拟正常用户发起连接请求，但是只发握手的第一步就跑了，服务器就像饭店服务员，一直等着这些 "假顾客" 点菜，最后把连接池占满。那年我服务器 CPU 跑到 100%，愣是查不出哪个业务在搞事情，最后还是老运维用 netstat 命令看出半连接数异常。
第三招最阴，叫 "耗体力"（应用层攻击）：尤其是 CC 攻击，专门挑你动态页面下手，比如登录接口、搜索功能。我之前有个电商客户，黑客用脚本模拟 thousands of 用户同时刷商品详情页，服务器数据库被拖到崩溃，表面看流量没爆，但数据库连接全被占满，就像马拉松比赛有人专门拽着你衣角跑，累死你不偿命。
二、被攻击时的三个危险信号：别等用户骂娘了才反应过来
去年帮朋友排查一个教育站，他说 "最近网站有点卡"，结果我一看：
信号 1：带宽异常但 CPU 不高：用阿里云监控看，带宽跑到 80% 但 CPU 只有 30%，典型的流量型攻击，黑客在堵你的 "村口大路"。
信号 2：日志里全是重复 URI：打开 Nginx 日志，发现同一个商品详情页每秒被访问 200 次，全是不同 IP，这就是 CC 攻击在薅羊毛。
信号 3：Ping 得通但页面打不开：最诡异的一次，Ping 服务器 IP 没问题，但浏览器就是转圈，后来才知道黑客在四层攻击，把 HTTP 服务端口给堵死了。
这里给新手站长提个醒：别信什么 "攻击来了再说"，提前在服务器装个 GoAccess，每天花 5 分钟看实时访问图，曲线突然变陡的时候，赶紧泡杯浓茶准备战斗。
三、从预防到反击：我的三层防御体系（附具体工具）
第一层：把防线建在云端（中小站长最该花的钱）
入门级选云服务商自带防护：腾讯云、阿里云的基础版防护，每月百来块钱，能挡 5-20G 的攻击。我自己的论坛用腾讯云，去年被打 50G 的时候，自动触发清洗策略，虽然页面加载慢了 2 秒，但至少没断网。记得一定要开 "DDoS 基础防护"，很多新手站长买完服务器默认没开，等于裸奔。
进阶级上 CDN + 高防 IP：之前帮电商客户部署 Cloudflare，把静态资源全缓存到节点，黑客攻击时，90% 的流量都被挡在边缘节点。注意高防 IP 要选和你服务器同区域的，不然回源延迟会让用户骂街。
避坑提醒：别信那些 "无限防护" 的小服务商，去年试过一家，号称能防 200G，结果被打 100G 时直接断网，客服还说 "你这攻击太特殊"，后来乖乖换了阿里云高防。
第二层：服务器端的 "节流术"（自己能动手的干货）
用 Nginx 做请求限流：我现在的配置是单 IP 每秒不超过 30 次，超过直接返回 503。代码很简单，百度搜 "nginx limit_req_module"，照着文档加两行配置就行，记得把错误页面做得友好点，别让用户以为网站崩了。
数据库连接池设上限：MySQL 默认连接数是 151，我改成 500，并且用 ProxySQL 做连接代理，之前 CC 攻击把连接数干到 2000 的时候，全靠这招没让数据库挂掉。
关掉危险端口：用 netstat -anp 看看哪些端口在开放，除了 80、443，像 3389 远程桌面、6379 Redis 端口，能关就关，实在要用就加 IP 白名单，我之前 Redis 没设密码，被黑客当肉鸡中转站，想想都后怕。
第三层：攻击时的 "急救包"（黄金 30 分钟操作指南）
第一步：切换备用域名：我提前注册了主域名加 "- 备用" 的域名，解析到另一台低配服务器，攻击时在阿里云 DNS 控制台一键切换，整个过程 30 秒。记得备用域名要提前备案，不然临时备案来不及。
第二步：人工清洗流量：如果是 CC 攻击，用 Wireshark 抓包，导出高频访问的 IP，然后用 iptables 批量封禁。命令是 "iptables -I INPUT -s 1.1.1.1 -j DROP"，别手抖封错了正常用户 IP。
第三步：主动告诉用户：在首页挂个公告，就说 "系统升级，部分用户可能访问缓慢"，同时在客服系统自动回复补偿方案，比如送 7 天会员。之前试过不吱声，用户以为网站倒闭，流失率比攻击本身还高 30%。
四、攻击后的复盘：比防护更重要的是 "长记性"
每次被攻击后，我都会做三件事：画攻击流量图：用 Matplotlib 把攻击期间的带宽、CPU、连接数画成曲线，标出每个时间点的操作，下次遇到类似攻击，直接按图索骥。
查肉鸡来源：通过攻击 IP 的归属地，发现很多来自家用宽带，后来在服务器加了 "人机验证"，注册时必须拖滑块，虽然牺牲了 5% 的注册量，但攻击频率降了 60%。
更新应急预案：把团队分工写进文档，比如运维负责联系服务商，运营负责发公告，客服负责安抚用户。上个月演练时发现，客服居然不知道备用域名是啥，赶紧补了培训，不然真攻击时得抓瞎。
给中小站长的掏心窝建议：别硬刚，学会 "借力"
免费工具先用起来：阿里云的 DDoS 基础防护、Cloudflare 的免费 CDN，足够个人站长用了。我刚开始舍不得花钱，结果被打一次的损失够买三年防护。
加入站长互助群：去年加入一个 200 人的垂直站长群，有人被攻击时，大家一起把攻击 IP 往蜜罐里引，黑客发现流量不对就撤了，人多力量大是真的。
别忽视法律手段：去年抓到一个竞争对手雇黑客攻击，保留了攻击日志、服务器工单记录，找网安部门报案后，对方赔了 5 万块，关键是得有证据，平时攻击日志至少存半年。
最后说句心里话，做站长就像守城，DDoS 攻击是迟早会来的敌人。咱不需要成为黑客专家，但得懂基本的攻防策略，把该花的钱花在刀刃上，把能做的事做到位。现在我的站已经 11 个月没被打瘫过了，靠的不是技术多牛，而是把每个细节都扣到位了。
各位兄弟姐妹，你们在攻防中遇到过什么奇葩攻击？或者有啥独家妙招？欢迎在评论区聊聊，咱站长就得互相帮衬着，让那些搞破坏的黑客知道：我们不好惹！
—— 一个曾在服务器前熬通宵的老站长2025 年 5 月 16 日凌晨 2 点，刚检查完防护策略
这一切，似未曾拥有