云服务器被攻击：4 步排查与安全组加固

网站被攻击最怕的不是打进来，是发现晚了还乱操作。顺序记住一条：先止血（云服务器安全组收紧）→ 查日志定位入口 → 打补丁换密码 → 复盘恢复。下面每一步都说清在哪做、做完看到什么算成功。

先确认：这 3 个信号说明网站被攻击了

• 流量图突然垂直拉起，CPU 长时间跑满，SSH 连不上或异常卡顿

• 首页被改、目录里多出陌生文件（比如 xk.php），搜索结果里出现博彩标题

• 收到云厂商告警短信或邮件：DDoS 清洗、暴力破解、木马文件

也要先排除误判：刚改过 DNS、CDN 回源配错、SSL 证书过期，同样会让站点打不开或跳出警告页。先看证书到期时间和监控曲线，再决定动手，别一上来就重装系统。

网站被攻击后的第 1 步：安全组止血

安全组相当于云服务器的门禁白名单，默认拒绝永远比默认放行安全。

1. 进云厂商控制台，打开云服务器 → 安全组，找到这台实例绑定的规则。

1. 入方向只保留三条：SSH 端口（22 或你改过的自定义端口）只对当前公网 IP 开放；80 和 443 对 0.0.0.0/0 开放；其余规则全部删除。

1. 数据库端口 3306、6379 一律不对公网开放，程序改为通过 127.0.0.1 访问。

1. 保存后换一台设备验证：网站能正常打开，SSH 只有你自己连得上。

边界要说清楚：安全组挡不住大流量 DDoS，也拦不住插件后门，这两件事得靠高防清洗和代码层面处理。需要按端口逐个配置的，可以对照站内云服务器安全组设置的分端口说明做一遍。

第 2 步：查日志找入口

Linux 看 /var/log/nginx/access.log 和 /var/log/auth.log；用面板的直接进「网站 → 日志」，能按状态码筛。

1. 定位到异常发生前后半小时的记录，重点看 POST 请求、wp-login.php、xmlrpc.php、/.env 这类路径。

1. 按 IP 统计请求次数，同一个 IP 连续几十次登录失败，基本就是暴力破解。

1. 查陌生账号：last 看登录记录，/etc/passwd 看有没有多出来的人。

1. 可疑 IP 先在安全组临时封掉。别一边排查一边开着 phpMyAdmin 和 FTP，等于门没关先找小偷。

第 3 步：加固的三件事

• 打补丁：系统和面板先更新，停用半年没更新的插件，主题只从官方来源装。

• 换口令：后台管理员、数据库、SSH 三处密码全换，SSH 改成密钥登录并关掉 root 直连。

• 上证书：SSL 证书申请和安装现在有免费 DV 渠道，控制台申请后下载 Nginx 版本，把 .pem 与 .key 传到服务器，在站点配置里填 ssl_certificate 和 ssl_certificate_key，重载 Nginx 后地址栏出现小锁就算成了。免费证书一般 90 天到期，一定要开自动续签。

网站被攻击后的第 4 步：复盘与恢复

1. 优先从被攻击前的备份还原，比手动删文件靠谱；备份本身也可能带后门，尽量挑时间点更早的那份。

1. 记一条时间线：什么时候发现、哪些文件被改、从哪个 IP 进来，下次同类攻击能提前拦。

1. 在云监控里给 CPU、带宽、5xx 错误率设告警阈值，走短信通知。

1. 备份分开放：数据库每天一次、站点目录每周一次，别和网站挤在同一台机器上。

常见问题（FAQ）

安全组全关了是不是就安全了？

不是。安全组只管端口，管不到网页漏洞和弱口令，这两条路照样能进。所以日志检查和补丁更新必须同步做。

免费 SSL 证书够用吗？

个人站和博客够用，浏览器一样显示小锁。涉及交易的站点建议上 OV 证书，出问题有赔付和人工支持。免费证书有效期通常 3 个月，不配自动续签就会过期。

被 DDoS 打满带宽，改安全组有用吗？

基本没用，安全组挡不住流量洪水。先联系云厂商客服报障，开高防 IP 或 CDN 清洗，同时把流量图截图留好。

网站被搜索引擎标了「危险」怎么处理？

先彻底清理后门再提交复检，一般需要几天复核。清理不干净就会反复被标，这也是网站被攻击后最容易被忽略的一步。

最后更新：2026-11-05（工具界面、价格与政策可能调整，请以官方页面为准）。