摘要：# 网站被打了，是洪水冲垮了堤坝，还是小偷撬开了门锁？ 我最近跟一个做电商的朋友聊天，他愁眉苦脸地说：“哥，网站又卡了，后台CPU直接飙到100%，是不是又被DDoS了？”我让他把监控图发我看看，结果发现一个挺有意思的现象：带宽曲线平平无奇，但服务器负载…

网站被打了，是洪水冲垮了堤坝，还是小偷撬开了门锁？

我最近跟一个做电商的朋友聊天，他愁眉苦脸地说：“哥，网站又卡了，后台CPU直接飙到100%，是不是又被DDoS了？”我让他把监控图发我看看，结果发现一个挺有意思的现象：带宽曲线平平无奇，但服务器负载却高得吓人。这哪是洪水漫灌的DDoS啊，这分明是有人拿着“绣花针”，在精准地戳你服务器的“死穴”。

说白了，很多站长一遇到网站卡顿、服务中断，第一反应就是“被流量打了”。但盲目上高防，钱花了，问题可能还在那儿。今天咱就掰扯清楚，怎么快速判断你的网站，到底是被“流量攻击”（洪水）给冲懵了，还是被“应用层攻击”（小偷）给摸透了。

先看“水表”：流量攻击的典型特征

流量攻击，学名DDoS（分布式拒绝服务），目的就一个：用海量的垃圾数据包，堵死你的网络管道。判断起来，其实有几个很直观的信号。

第一，看带宽监控图，是不是“一柱擎天”。 这是最直接的证据。登录你的服务器控制台或者云服务商的监控面板，去看“入方向带宽”或“网络流入速率”的图表。如果平时你的带宽使用率像平静的小河（比如稳定在10Mbps），突然在某个时间点，变成了一条笔直的、顶到上限的直线（比如瞬间飙到100Mbps甚至更高），并且持续一段时间，那八九不离十就是流量攻击了。

（我自己看过不少案例，那种动辄几百G的流量打过来，监控图就跟心电图停了似的，一条直线拉到底，非常典型。）

第二，感觉上，是整个网络“瘫痪”。 这种攻击下，你的体验是全面的“失联”。不仅网站前台打不开，很可能连远程登录服务器（SSH/RDP）都费劲，甚至服务器管理后台都进不去。因为它攻击的是你的网络层，相当于把通往你家的所有马路都堵死了，不管是送外卖的还是你自己回家，都进不来。

第三，查连接数，可能高得离谱。 有些攻击（比如SYN Flood）会疯狂建立半连接，耗光你的服务器连接池。你可以通过 netstat 命令查看，如果发现大量的 SYN_RECV 状态连接，那也是流量攻击的迹象。

说白了，流量攻击就像用成千上万辆报废汽车，同时堵死你公司楼下的所有路口。它不在乎车里装的是什么，目的就是让你这片区域彻底瘫痪。

再看“CPU和门锁”：应用层攻击的狡猾之处

应用层攻击（比如CC攻击、HTTP Flood、慢速攻击），就“精致”多了。它不跟你拼带宽，它拼的是“技巧”。

它的目标不是管道，而是你的“服务员”（服务器CPU/内存/应用进程）。 怎么判断？

第一，带宽没爆，但CPU/内存“爆了”。 这是我朋友遇到的情况，也是最容易混淆的地方。你去监控一看，带宽使用率可能只有30%、50%，并不夸张。但服务器的CPU使用率长时间维持在95%以上，内存使用率也飙升。这是因为攻击者在用相对较小的流量，反复请求你网站上那些最消耗资源的页面或接口。

比如，疯狂搜索一个不存在的结果（触发数据库全表查询），或者不停刷新一个动态生成、未经缓存的复杂页面。每一个请求看起来都合法，但成千上万个一起涌来，你的服务器程序就得不停地“干活”，直到累趴下。

第二，网站“部分瘫痪”或“慢得诡异”。 你可能发现，网站首页这种静态页还能勉强打开，但一点击登录、提交订单、进行搜索，页面就卡死或者直接报错（502 Bad Gateway, 504 Timeout）。因为攻击者瞄准的正是这些需要后台复杂处理的动态功能。

（这种感觉你应该不陌生吧？就像超市收银台排了1000个人，每个人只买一根针，结账速度慢到崩溃，但超市货架上的东西其实没人抢。）

第三，看日志，全是“看似正常”的请求。 这是关键证据。去翻你的Web服务器访问日志（比如Nginx的access.log）。如果是应用层攻击，你会看到在短时间内，来自不同IP（也可能是大量代理IP）的请求，集中访问某一个或某几个特定的URL。这些URL往往是登录页、搜索接口、API接口、验证码刷新地址等。

它们可能使用正常的User-Agent，甚至模拟了浏览器行为，单看一个请求毫无问题。但恐怖之处就在于这种“海量的正常”。

一个快速自查的“土办法”

如果你手头没有太详细的监控，可以凭感觉先做个快速判断：

1. 网站完全打不开，Ping也超时，服务器都连不上？ → 高度怀疑是流量攻击。 先联系机房或云服务商，他们从网络层面更容易看到异常。
2. 网站打开极慢，前台静态页还行，一点交互就卡死，但服务器还能远程登录？ → 高度怀疑是应用层攻击。 立刻去查服务器资源使用情况和Web访问日志。

知道了区别，然后呢？别瞎搞防护！

判断错了，防护就白费劲。

• 如果你误把应用层攻击当流量攻击，花大价钱买了高防IP（主要防流量），结果攻击流量根本不大，高防没怎么清洗，请求还是精准地打到你的源站服务器，CPU照样100%。钱花了，问题没解决。
• 如果你误把流量攻击当应用层攻击，只在那调WAF规则、优化代码，面对几百G的洪水，这点优化连杯水车薪都算不上，网络该堵还是堵。

所以，正确的应对思路是：

1. 流量攻击（洪水来了）： 首要任务是“引流和清洗”。赶紧上高防IP或高防CDN。它们的原理是把所有流量先引到有超大带宽和清洗能力的防护节点，把垃圾流量过滤掉，只把正常的流量回源给你的服务器。这相当于在洪水上游修了个超级水库和滤网。
2. 应用层攻击（小偷撬门）： 核心工作是“精准识别和拦截”。WAF（Web应用防火墙） 是你的主战武器。通过设置规则（比如限制单个IP的请求频率、识别恶意爬虫行为、拦截特定的攻击payload），把那些“海量的正常请求”中的恶意部分挑出来干掉。同时，优化网站代码、做好缓存、设置验证码，也是从自身加固“门锁”。

当然，最狠的一招，也是现在很多高防方案的基础，是 “源站隐藏” 。让你的真实服务器IP地址不暴露在公网上，所有访问都必须通过防护节点。这样，攻击者连你的“门”朝哪开都不知道，无论是洪水还是小偷，都只能冲着你的防护节点去。

最后说句大实话

很多中小站长老觉得“等我被打再上防护”。但真等攻击来了，往往是手忙脚乱，业务已经受损了。防护更像保险，平时感觉不到存在，出了事才知道它的好。

花点时间，把监控搭好（云平台都有现成的），搞清楚自己业务的正常流量和资源基线。这样攻击一来，你才能一眼看出是“洪水”还是“小偷”，然后该找高防找高防，该调WAF调WAF。

别等到服务器挂了，客户投诉电话被打爆了，才挠着头问：“我这到底是哪种攻击啊？”

行了，方法就这些，赶紧去检查一下你的监控图吧。