服务器被打挂了怎么办？被攻击后的处置顺序

凌晨两点站点打不开，监控显示带宽跑满，登录服务器发现大量异常连接。这时候最忌讳的是慌乱操作。

第一步是判断类型。带宽被占满但CPU正常，多半是流量型攻击（DDoS）；CPU飙高、连接数暴涨，可能是CC攻击或应用层攻击；磁盘IO异常、文件被改，是入侵。

第二步是止损。流量型攻击，立即启用云厂商的高防IP或清洗服务，把流量牵引过去；应用层攻击，先在WAF上加规则拦截异常UA和频率；入侵类，先断网保留现场，不要急着重启。

第三步是恢复。有备份就恢复到新实例，验证后再切流量。没有备份时，先排查后门再清理，否则打补丁也没用。

第四步是溯源。查访问日志、系统日志、登录记录，找出攻击入口。常见入口是弱口令、未打补丁的组件、暴露的数据库端口、以及第三方插件漏洞。

第五步是加固。改密码、关端口、升版本、加防护、配告警。加固不彻底，很快会再次被打。

几个实用建议：把管理端口限制到固定IP；数据库不暴露公网；开启登录失败锁定；定期做漏洞扫描；重要数据异地备份。

如果业务容易招黑，建议平时就买高防服务，不要等出事再临时找。临时开通往往要走商务流程，几个小时过去了。

被攻击时最需要的是有人能立刻给判断。这种情况可以在【技术讨论QQ群：546946590，资深云服务专家微信：cloud7591】里发一下现象，通常能快速定位类型。