内容摘要：凌晨三点，我的手机震了十七次。监控面板上，一个来自东欧的IP正用每秒两千次的频率撞击登录接口。这不是第一次，也绝不会是最后一次——网站被攻击，从来不是“会不会”的问题，而是“何时”的问题。 攻击者比你

凌晨三点，网站我的被攻手机震了十七次。监控面板上，击反一个来自东欧的宣防IP正用每秒两千次的频率撞击登录接口。这不是网站第一次，也绝不会是被攻最后一次——网站被攻击，从来不是击反“会不会”的问题，而是宣防“何时”的问题。

攻击者比你想的网站更没耐心。他们不会跟你讲武德，被攻上来就是击反扫端口、撞库、宣防CC打满。网站我见过最蠢的被攻攻击，是击反拿默认密码试管理员后台，试了三天没进去，最后自己放弃了。也见过最狠的，直接打DNS解析，让你连域名都指向不了服务器。但无论哪种，核心逻辑只有一个：让你疲于奔命，然后找到那个没补上的洞。

反宣和防范，其实是两件事。防范是技术活，反宣是心理战。很多站长被黑了以后，第一反应是删日志、改密码、恢复备份，然后假装什么都没发生。错了。攻击者最希望的就是你沉默，因为沉默意味着他可以继续潜伏，继续挖你的数据。

先说防范。别指望防火墙能挡住所有攻击，那玩意儿跟防盗门一样，只防君子不防小人。真正管用的，是三层基础：第一，把后台地址改掉，别用admin，别用默认端口，哪怕改成/manage-9x7k这种丑路径，都能过滤掉九成脚本小子；第二，给所有上传接口加白名单校验，图片就只允许jpg和png，别让PHP或JSP混进来——我见过太多站点栽在“用户头像上传”这个功能上；第三，日志保留至少90天，别省那点硬盘空间，出事了没日志等于没穿裤子跑大街。

然后说反宣。攻击一旦发生，你要做的第一件事不是修复，而是取证。截屏、保存原始日志、记录时间戳。别急着删攻击文件，那是证据。如果攻击者留下后门木马，你删了文件但没清掉计划任务，他过两天又回来了，你还得再折腾一遍。更恶心的是，有些攻击者会故意留下“到此一游”的页面，比如在首页挂个骷髅头，或者写“已被XX组织攻破”。这时候你千万别慌着改回去——先截图，再分析他通过什么路径进来的，把这个路径堵死，然后再清理页面。

我认识一个做电商的朋友，去年被勒索病毒加密了数据库，对方要两个比特币才给密钥。他没付钱，而是直接从异地备份恢复，花了四个小时。事后他跟我说，最庆幸的是自己每周都做增量备份，而且备份文件放在独立的存储桶里，跟生产环境物理隔离。攻击者再牛，也拿不到他离线备份的钥匙。

还有个细节容易被忽略：攻击者往往喜欢挑节假日动手。春节、国庆、双十一，这些时候运维人员值班少，反应慢。所以你要提前做好预案——节假日期间把WAF的拦截级别调高，把自动封禁的阈值降低，宁可误伤几个正常用户，也别给攻击者留窗口。误伤顶多让用户刷新两次，被攻破可是连网站都打不开。

最后说点难听的。有些攻击其实是“自己人”干的——离职员工拿着旧密码进来删库，或者合作伙伴的API密钥泄露被利用。这种内鬼攻击最难防，因为技术上完全合法。对策只有一个：权限最小化。每个账号只给够用的权限，离职立刻吊销，密钥定期轮换。别嫌麻烦，麻烦一次总比被坑一次强。

网站被攻击不可怕，可怕的是你连它怎么进来的都不知道。把每一次攻击当成一次免费的安全测试——它帮你找到了那个你没注意到的漏洞，虽然方式粗暴了点。收拾完战场，记得把攻击样本存下来，下次写安全报告的时候，这就是最鲜活的案例。