服务器圈子里说的“被打”，就是服务器遭遇网络攻击，正常用户无法访问。就像人患病，轻的时候响应卡顿，严重服务直接中断。打开网站持续转圈，或是提示连接超时，大概率服务器正在遭受攻击。
触发攻击的原因很多。同行恶意竞争是最普遍的，竞争对手花钱采购流量攻击，让你的站点无法对外提供服务。还有敲诈勒索类型，攻击者发送邮件索要费用，付款就停止攻击，否则持续施压。也有脚本小子全网扫描，抓到存在漏洞的机器植入程序当成肉鸡练手。另外服务器部署敏感内容，或是和他人产生矛盾，也会引来报复性攻击。
服务器遭受攻击有对应的表现。最直观就是网站打不开，加载速度极慢。登录服务器后台查看，CPU、内存占满，带宽被海量请求占死。磁盘IO读写异常升高，日志记录大量来自不同IP的访问请求。如果服务器被入侵，还会发现陌生进程、被篡改文件，或是新增管理员账号。
处理第一步先区分攻击类型。主流分为两类。一类DDoS攻击，攻击者发送海量垃圾流量堵塞带宽，好比门口堆满砂石，正常访客无法进入。这类攻击流量规模巨大，几百G甚至上T，服务器本身资源占用不一定高，但带宽被占满。另一类CC攻击，模拟普通用户持续请求消耗资源的页面，比如搜索、登录接口，单个请求看着合法，累积大量请求会拖垮数据库和CPU。CC攻击流量不一定很大，但服务器负载飙升。
区分类型之后针对性处理。DDoS攻击，普通云服务器硬扛很难抵御，需要把流量引流至高防机房或者云清洗中心。阿里云、腾讯云都有DDoS高防产品，原理是前置流量过滤，放行正常访问，丢弃攻击流量。普通云服务器遭遇攻击，可以临时升级带宽，但只能应对小规模攻击，大流量攻击必须启用高防。部分CDN自带DDoS防护能力，域名解析切换到CDN，源站真实IP隐藏，攻击者只能攻击CDN节点，CDN带宽充足可以扛住压力。
CC攻击处理手段相对多一些。服务器层面限制单个IP并发连接数量和请求频率。Nginx内置limit_req和limit_conn模块，配置规则可以拦截大部分简易CC攻击。攻击者使用代理IP池发起攻击，简单IP限速效果有限，需要启用WAF Web应用防火墙。WAF识别请求特征，拦截机器人刷量请求。云厂商WAF产品自带CC防护，可以按量开启，攻击结束之后关闭。
服务器被入侵属于另一类情况。一旦发现陌生进程或是文件被篡改，第一件事断开服务器网络隔离主机，防止攻击者继续操作，横向渗透内网其他设备。备份重要数据，备份过程注意不要把恶意文件一并保存。接着查看系统日志，定位入侵入口，判断是弱密码、未打补丁服务，或是上传webshell。找到入侵路径之后重装系统，修复漏洞，再恢复干净备份数据。不要在已经被入侵的机器上修补，攻击者可能预留多处后门。
日常防护要做好。密码不要使用简单组合，SSH默认22端口修改，禁止root账号直接登录，改用密钥认证替代密码登录。系统补丁及时更新，很多攻击利用数月甚至数年遗留漏洞。关闭不必要端口和服务，缩小暴露攻击面。Web目录权限合理设置，上传目录禁止执行权限。数据库不要开放root账号远程访问，单独新建低权限账号对接业务。定期查看访问日志，尽早发现异常请求。重要数据定期异地备份，不要保存在同一台服务器，攻击者入侵主机优先删除本地备份。
关于服务器被攻击要有心理预期。公网部署的服务，总会面临扫描探测和攻击，只是时间和强度不同。小型站点被攻击概率偏低，但不是零风险。不要等到遭受攻击才匆忙处理，提前配置基础防护。一旦遭遇大规模攻击，按需启用高防产品，联系云厂商协助，不要单机硬扛。部分攻击流量达到数百G，普通服务器无法单独抵御。