网站被人恶意刷流量怎么办？先分清是不是攻击，再对症设防

半夜两三点，服务器告警短信一条接一条，带宽被打满，网站打开转半天圈，后台统计里的访问量一夜翻了几十倍，来源IP换得比翻书还勤，页面停留时间却几乎为零。先别急着高兴，这十有八九不是流量红利，而是被人恶意刷流量了。同行打压、脚本扫站、接口被撸，还有专门盯着服务器打的CC攻击，手段五花八门，目的只有一个：让你网站变卡、流量费烧穿、排名和信任一起崩。下面这些识别和设防的办法，都是我这些年踩坑踩出来的，照着做，能少交不少学费。

恶意刷流量都有哪些明显特征

被刷的流量通常很好认。第一看时段，正常访问有白天黑夜的起伏，被刷的流量往往专挑后半夜，因为这时候没人盯后台。第二看来源，要么是成千上万个陌生IP，要么是集中在几个固定IP段反复刷。第三看行为，PV猛涨但独立访客没怎么动，页面停留时间全是零，跳出率百分百，转化更别想，这说明根本没真人看。第四看请求，访问的URL特别集中，来回就那么几个页面，或者干脆只刷你的统计接口。第五看来源渠道，空白、伪造搜索引擎、地域分布离奇的全都有。这几条中了两三条，基本就可以断定是有人在做手脚了。

刷量攻击里常见的CC类请求，要单独拎出来认

很多人把刷流量和CC攻击混成一件事，其实得分开看。普通刷量走的是页面和带宽，恨不得把统计数字刷上天，让你带宽费用爆表；CC攻击走的是高频请求，靠大量并发小请求耗你的服务器资源，逼着CPU打满、数据库连不上、PHP进程全被占住，最后网站直接502、503。判断CC有个笨办法，看服务器日志里同一秒有多少请求进来，单个IP的请求频次是不是高得离谱，响应码是不是一大片503。再配合连接数看，要是服务器上的连接数一直下不来，请求又全是机器特征，那基本就是被CC了。分清这两种，后面的防御手段才用得上，不然容易防错地方。

先别急着下结论，三步分清是真攻击还是统计异常

后台统计一夜刷爆，不一定就是服务器真的被打了，也有统计本身出毛病的可能，动手之前先做三步排查。第一步，看真实日志。去服务器上翻Nginx或者Apache的访问日志，数一数这段时间真实到达服务器的请求到底有多少，跟统计里的数字对一对，如果日志平平而统计疯涨，问题多半出在统计端。第二步，看统计是怎么被刷的。统计代码通常是个独立脚本，刷量的人有时候不访问你的页面，而是直接高频请求统计脚本本身，这样统计数字爆表，服务器日志里却看不到整页访问，这种情况属于统计被刷，不是真攻击。第三步，看有没有重复计数。网站如果开了CDN，或者自己不小心在页面里放了两遍统计代码，也会出现数字虚高。三步走完，是真攻击还是统计异常，心里基本就有数了，千万别一看数字高就乱封乱关，把正常流量也误伤了。

确认被刷之后别硬扛，先做这几件事止血

一旦确认是真有人在刷，头一件事不是找凶手，而是止血。先把不影响主站的第三方脚本降级处理，统计、联盟、在线客服这类能临时停的先停掉，减少被刷的入口；紧接着把网站的页面缓存开起来，静态页面直接由缓存扛，能省一大半服务器开销；再给全站套上一层人机验证或者验证码，把机器流量挡在门外，真人用户多输一次验证码也还能接受；带宽和连接数方面，去服务器面板或者防火墙里设个上限，别让攻击流量把出口带宽和进程全部占死；高频来源的IP段先封一批，封的时候注意看地域分布，别把正常访客集中的地区一锅端了。止血动作按这个顺序来，网站一般能先缓过气来，然后再慢慢做精细防御。

防火墙加限流，是挡刷量最实在的一道闸

缓过来之后就要上长期手段，防火墙和限流是地基。服务器自带的防火墙要开起来，按IP限制并发连接数和每秒新建连接数，连接数超标的IP直接丢进黑名单。应用层的限流更要紧，Nginx里的limit_req就能干这活，给每个IP设一个访问速率，比如每秒最多两三个请求，超出就返回503，正常用户感觉不到，脚本一上来就撞墙。写动态页面和接口的路径，限流要单独配得严一点，因为CC最爱打的就是这些费资源的地址；静态资源反而可以放宽，别把图片和CSS的正常加载也限死了。记得限流规则配好之后先小范围试跑几天，看看有没有误伤，确认没问题再全量开。

UA过滤要会用，更要防误伤

UA过滤是很多人爱用的一招，原理很简单：把可疑的User-Agent请求头拉黑。空UA的请求、明显是采集工具的UA、冒充搜索引擎蜘蛛的UA，都可以用规则挡下来，常见的像python-requests、curl、Scrapy、Go-http-client这些特征词，直接加进黑名单。但这里有两个坑一定要知道。一个坑是UA可以随便伪造，脚本把UA改成正常浏览器的样子就能绕过去，所以UA过滤只能挡低级刷量，挡不了存心作对的；另一个坑是误伤，有些老设备老浏览器的UA是空的，正规的监控和部分蜘蛛请求UA也不全，一棍子打死容易把正常访问也挡了。稳妥的做法是先用一段时间把被拦的UA记下来，看看里面有没有正常来源，确认误伤很少了再真正生效。

单机扛不住的，就套CDN和WAF，别再裸奔

要是刷量规模大，单台服务器怎么调都扛不住，那就别硬撑了，把CDN和WAF用起来。CDN能把流量分散到全国乃至全球的节点上，攻击请求在边缘就被扛掉大半，真正回源的只是少数，同时CDN还能隐藏源站的真实IP，这一点特别关键，很多人被打就是因为源站IP被扒出来了。CDN上该开的防护别省着：CC防护开起来、访问频率限制配上、人机校验按需开启，回源带宽也设个上限，防止源站被拖垮。WAF则负责拦特征，恶意工具的请求头、攻击载荷、扫描行为，交给规则库去匹配，省得自己一条条写。选哪家看你的预算和备案情况就行，重点是源站IP的保密一定要做好，解析记录、证书、邮件头这些容易泄露源站的地方都检查一遍。

事情过后别当没事发生，复盘和长期设防才是关键

攻击停了不等于结束，收尾工作做好了，才能少挨第二次打。先把攻击那几天的日志和流量数据打包存好，IP、UA、请求路径、时间段都留档，一是能判断是谁干的，二是下次再遇到能直接对照。然后给监控告警配起来，带宽、CPU、连接数、请求量这几个指标设好阈值，半夜再爆表能第一时间收到消息，不用等到第二天早上才发现。统计代码那边也加固一下，能加校验参数的加校验参数，别让人直接刷脚本。最后是心态，别因为被刷就乱了阵脚去关正常功能，也别急着到处解释，正常的防御和处理记录留着就行，站点的内容和服务才是长久之本。

总结一下：网站流量异常先别慌，按特征认一认是不是恶意刷流量，再分清普通刷量、CC攻击和统计异常，确认被刷就按顺序止血，随后用防火墙和限流打底，UA过滤配合拦截，规模大了就果断上CDN和WAF，最后把日志留好、监控配上、统计加固。防住一次，你的服务器配置和防御习惯都上了一个台阶，那些脚本和搞事的看到你这站不好惹，自然就换目标了。站长这条路，风浪见得多了，心里有数，手里有招，就不怕事。