⚠️ 第一步：确认是不是CC攻击

做站久了，基本都碰到过CC攻击。明明带宽还剩不少，但网站卡得厉害，CPU直接跑满，页面加载超时打不开。不少人第一反应就是升级服务器配置，但是只升配置，很难扛得住源源不断的CC请求。先搞清楚是不是真的CC，再动手处理。

查看当前连接数，快速确认大量请求涌入：

# 查看80/443端口连接统计
netstat -an | grep :80 | wc -l
netstat -an | grep :443 | wc -l

💡 如果系统提示 netstat: command not found，先安装net-tools工具包：

yum install net-tools -y

如果短时间内连接数暴涨，大量不同IP持续访问站点，基本可以确定是遭遇CC攻击了。

🔍 第二步：查看访问日志，识别攻击来源

1、Nginx日志筛选高频访问IP

直接读取Nginx访问日志，统计访问量靠前的IP，快速定位疯狂发请求的地址。

# 统计访问最多的前20个IP
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20

• 留意IP访问频率，短时间几百上千次请求，大概率就是攻击源
• 顺带看下UA，很多CC工具的客户端标识会很反常

2、查看请求访问的页面路径

很多CC专门去请求PHP这类动态页面，每次访问都查询数据库，非常消耗服务器资源。

awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20

🛡️ 第三步：应急处置方案

✅ 方案1：防火墙封禁恶意IP

找到高频攻击IP后，可以直接用firewalld拉黑，阻止这个IP继续访问服务器。

# 封禁单个IP
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="1.1.1.1" reject'
firewall-cmd --reload

✅ 方案2：Nginx配置限流

在Nginx里面设置连接、请求频率限制，限制单个IP短时间发起的请求数量，适合小规模CC缓解压力。

✅ 方案3：接入CDN/WAF防护

遇到大规模CC，源站直接暴露风险很高。优先开启带CC防护的CDN或者WAF，让防护节点承接攻击流量，不要直接裸奔源站。

📋 长期防护优化方案 & 总结

• ✅ 尽量不要直接暴露源站IP，借助CDN做代理，隐藏源站地址
• ✅ 优化网站动态程序，增加页面缓存，减少重复数据库查询，降低单请求资源消耗
• ✅ 高频访客启用验证，拦截自动化模拟请求
• ✅ 监控CPU、连接数，开启告警，攻击刚出现就能收到通知
• ✅ 定期修补网站程序漏洞，不给攻击者利用漏洞发起CC的机会

碰到CC攻击，不要急着升级服务器配置。先看资源占用，查访问日志定位攻击IP，先应急封禁。小规模CC可以靠防火墙、Nginx限流稳住；大规模CC一定要上CDN/WAF，隐藏源站，减少攻击对站点的影响。