服务器被攻击时，最怕的不是攻击本身，而是不知道怎么处理、乱操作导致数据全丢。这篇讲云服务器被攻击后的标准处置流程：先判断攻击类型，再按流程止损，最后复盘加固。

需要云服务器可以看看财富云计算：网关带基础清洗能力，NAT 型无独立公网 IP，价格比独立 IP 机型省一半以上，一键开服面板，主流游戏快速部署。

一、先判断：是被攻击了还是自己出了问题

「网站打不开」「游戏连不上」不一定是被攻击。先排除自身问题：

# 1. 服务还活着吗
systemctl status nginx
ps aux | grep -E "nginx|php-fpm|PalServer"

# 2. 本地能访问吗
curl -I http://127.0.0.1

# 3. 端口还在监听吗
ss -tulnp | grep -E "80|443|8211|7777"

# 4. 资源被吃光了吗
top
df -h
free -h

# 5. 网络满了吗
iftop -i eth0 -P

# 6. 日志在刷什么
tail -f /var/log/nginx/access.log

自我排查表：

确认是被攻击的特征：流量异常暴增、日志出现规律性恶意请求、控制台提示异常、同段 IP 批量扫描。

二、攻击类型与对应措施

游戏服最常见的是 UDP flood 和 CC（针对游戏查询端口）；网站最常见的是 CC。

三、被攻击时的标准处置流程

第一步：确认事实（5 分钟）

# 看流量形态
iftop -i eth0 -P
# CC: TCP 连接多,目标端口集中(80/443)
# UDP flood: UDP 包巨大,来源分散

# 看连接来源
ss -tan | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

# 看日志特征
tail -1000 /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head
tail -1000 /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head

同时去控制台看：带宽曲线、连接数曲线、安全告警。云厂商一般能告诉你受攻击的起止时间。

第二步：止损（按攻击类型）

CC 攻击：

# 1. Nginx 限流(立即生效)
# 参考 Nginx限速与CC防护进阶,核心配置:
# limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
# limit_req zone=one burst=20 nodelay;

nginx -t && systemctl reload nginx

# 2. fail2ban 封恶意 IP
fail2ban-client status

# 3. 极端情况: 开 CF 小云朵(5 秒盾)或切 CDN

UDP flood / 大流量攻击（自己扛不住的）：

1. 控制台看是否已被黑洞：被攻击超过防护阈值，厂商会自动把 IP 拉入黑洞（所有流量丢弃，数小时到 24 小时不等）
2. 联系服务商：说明情况，确认清洗策略，问能不能提前调度高防
3. 上高防 IP：把流量引到高防，清洗后回源。游戏服选支持 UDP 的高防
4. 改映射端口（NAT 机型）：如果是针对特定端口的攻击，在服务商控制台换映射端口能立刻解围

被入侵（不是流量攻击）：

1. 断网：安全组只放行自己的 IP
2. 保全证据：last、history、日志、可疑进程先存证
3. 排查后门：见服务器被入侵应急排查
4. 改所有密码：系统、数据库、Redis、面板、邮箱
5. 重装系统：root 丢过的机器，重装是唯一彻底方案

第三步：恢复服务

# 攻击停止后
# 1. 确认服务正常
systemctl status nginx
ss -tulnp

# 2. 逐步放开访问(先自己,再白名单,再全量)
ufw status
# 或安全组逐步放行

# 3. 通知用户恢复
# 4. 保留攻击期间日志(法务/复盘用)
tar -czf /backup/attack-logs-$(date +%F).tar.gz /var/log/

四、黑洞机制：你必须知道

黑洞是云厂商的自我保护：你的 IP 被攻击流量过大时，厂商在入口把流量全部丢弃，保护同机房其他用户。

NAT 型服务器的优势：没有独立公网 IP，攻击打到的首先是服务商网关。网关有清洗能力的服务商（如财富云计算）会在网关层挡掉大部分小规模攻击，你的实例不被直接打，也就不容易触发黑洞。这是 NAT 机型在抗攻击上的隐性优势——但大流量攻击同样会拖累网关，该上高防还是要上。

五、游戏服被攻击的特殊处理

游戏服被攻击（尤其是竞技类）非常常见，多半是同行或玩家的恶意行为。

# 1. 确认是哪种攻击
ss -uan | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -10
# UDP 来源集中 = 针对性攻击; 来源分散 = 放大攻击

# 2. 临时缓解: 游戏服限速
# CS2: sv_maxrate 60000, sv_minrate 20000
# RUST: 限速 + 关闭 query 端口公网暴露

# 3. 换端口(NAT 机型)
# 控制台把映射端口从 20001 换成 20501,攻击者要重新扫

# 4. RCON 加固(防被 RCON 爆破接管)
# 强密码 + 限制管理 IP + 不用默认端口

预防比补救重要：

• 竞技服开白名单/密码，只放熟人进
• RCON 密码别用默认，定期换
• 别把测试服长期挂公网
• 选带网关防护的 NAT 服务商

六、攻击后的复盘加固

攻击停止不是结束，按这个清单加固：

• [ ] 分析日志，找到攻击入口（哪个端口、哪个接口、什么特征）
• [ ] 关掉不必要的端口和服务（见端口最小化）
• [ ] Nginx 限流/连接数限制加上
• [ ] fail2ban 规则确认生效
• [ ] SSH 密钥登录 + 改端口 + fail2ban
• [ ] Redis/MySQL 确认只听本地、有密码
• [ ] 网站程序、插件更新到最新版
• [ ] 备份策略确认有效（攻击期间可能被删数据）
• [ ] 评估要不要上 CDN / 高防
• [ ] 把攻击特征写进防火墙黑名单（IP 段、UA）

七、常见问题

Q：被黑洞了完全没办法吗？
等解封 + 工单催 + 上高防。没有别的办法，所以预防最重要。

Q：攻击来源 IP 能报警吗？
可以，收集攻击期间的日志和流量特征，报警处理。保留证据：流量截图、日志包、时间线。

Q：为什么被攻击的总是我？
扫描是全网自动化的，谁暴露谁中奖。游戏服、3389、6379、弱口令是重灾区。把自己藏好（NAT、改端口、强密码）能挡掉 90% 的随机攻击。

Q：CDN 能防所有攻击吗？
不能。CDN 防 CC 和一般的流量型攻击有效，但大流量 DDoS 会把 CDN 节点也打瘫，而且 CDN 不隐藏源站 IP 的话没用。大攻击必须高防。

Q：攻击期间要不要重启服务器？
不要。重启会丢失现场（内存里的攻击进程、连接状态），事后排查少线索。除非服务已经崩溃。

Q：NAT 机型被攻击会连累别人吗？
不会——没有独立 IP，攻击打到的是网关，不是你的实例。网关扛不住时会限制你的映射端口，不会影响其他用户。这也是 NAT 的安全隔离优势。

小结

被攻击后的正确姿势：先确认是不是攻击 → 按类型止损（CC 限流封 IP / 大流量上高防 / 入侵断网排查）→ 攻击停止后逐步恢复 → 复盘加固。平时做好端口最小化、强口令、备份外传，被攻击的概率和损失都能大幅降低。

更多安全内容见财富云计算知识库：CC 防护、DDoS 认知、应急排查、安全基线全系列。需要云服务器可以看看财富云计算：网关带基础清洗，NAT 型无独立公网 IP，价格比独立 IP 机型省一半以上，一键开服面板。

延伸阅读

1. 网站环境怎么选：LNMP 手动 / 宝塔面板 / Docker / 云开发
2. 问卷表单系统搭建：SurveyKing / Formbricks，数据自己收
3. 图床搭建：Lsky Pro / Lychee，自托管图片托管方案
4. 邮件列表搭建：listmonk 自托管 Newsletter，把读者握在自己手里
5. 文档站点搭建：MkDocs / VuePress / Docsify，产品文档与技术手册方案
6. RSS 阅读器搭建：FreshRSS 自托管，把信息流拿回自己手里
7. 短链接服务搭建：Shlink 自托管，链接数据自己掌握
8. 网站状态监控页搭建：Uptime Kuma，服务器挂了第一时间知道

更多阅读

1. 上一篇：云服务器地域选择与延迟测试：玩家不卡的第一步
2. 下一篇：Linux 性能分析三板斧：top、vmstat、iostat 深入实战