网站被攻击案例

凌晨三点十七分，网站我盯着监控面板上那条疯狂跳动的被攻曲线，CPU占用率从8%一路狂飙到97%。击案这不是网站流量高峰，是被攻攻击。一家做跨境电商的击案客户，服务器被打了。网站

攻击手法不算高明，被攻就是击案最传统的CC攻击——大量僵尸网络往他们的登录接口发请求。但架不住量太大，网站每秒十几万次，被攻CDN扛了半小时就缴械了。击案源站IP被扒出来以后，网站所有请求直冲服务器，被攻数据库连接池瞬间被打爆。击案

我见过太多这种案例了。去年有个做在线教育的客户，被勒索病毒加密了所有课程视频，对方开口就要三个比特币。更惨的是他们连备份都没有——运维觉得"数据放云上就安全了"，结果云盘账号被钓鱼盗走，整个存储桶被清空。那种绝望，就像你辛苦写了三年的小说，硬盘突然坏了，连个草稿都没留。

但今天这个跨境电商客户，问题出在另一个地方。他们技术负责人跟我说："我们用了WAF，怎么还被打了？"我登录后台一看，WAF确实开着，但防护规则用的是默认配置。攻击者用了一个很简单的技巧——把请求伪装成Googlebot爬虫，WAF直接放行了。这就像你家装了防盗门，但门锁用的是出厂默认密码，小偷试一次就开了。

更讽刺的是，他们服务器上还跑着一个老版本的Nginx，有个公开了好几年的漏洞。我扫了一眼版本号，心里凉了半截——那漏洞修复补丁是2019年出的，他们愣是四年没更新。攻击者根本不需要多高深的技术，网上搜个现成的利用脚本就能打穿。

后来我们做了三件事。第一，把WAF的规则改成严格模式，手动添加了针对爬虫伪装的特征过滤。第二，给Nginx打了补丁，顺手把PHP版本也升了级。第三，也是最关键的——帮他们做了异地实时备份，每天凌晨自动把数据库快照传到另一个云服务商。

处理完已经是早上六点多，天蒙蒙亮。客户那边传来消息，说攻击停了。其实不是停了，是攻击者发现打不进去了，转去打了别的目标。我抽了根烟，看着恢复平静的监控面板，想起以前一个老前辈说的话：网站安全不是买了个防火墙就完事，而是持续对抗的过程。你永远不知道下一波攻击什么时候来，用什么方式，但你能做的，就是让自己别成为那个最容易被打穿的靶子。

那之后我养成了个习惯，每次接新项目，第一件事就是检查他们的版本号和备份策略。这两样做好了，至少能挡住八成以上的攻击。剩下两成，就看运气了。但运气这东西，从来都眷顾有准备的人。