当你的网站或应用突然陷入瘫痪，服务器CPU飙到100%、内存耗尽、带宽堵死，但日志里却全是看似正常的请求——这很可能就是突发性资源耗尽型CC攻击。攻击者用海量“合法”请求瞬间冲垮你的服务器资源，让你连防御反应的时间都没有。别慌，按照以下步骤操作，我们一步步把系统救回来。

第一步：立即诊断，5分钟内确认攻击

发现系统变慢或宕机，第一件事不是重启，而是立刻登录服务器监控后台。查看CPU使用率、内存占用、网络带宽和磁盘I/O。如果所有指标同时爆表，且流量来源IP异常集中或呈现规律性变化（例如大量来自某几个IP段的请求），基本可以判定为CC攻击。同时，快速检查Web服务器（如Nginx、Apache）的访问日志，使用命令快速分析：

tail -f /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -20

这个命令实时显示请求最频繁的前20个IP。如果发现单个IP在短时间内发起成千上万次请求，攻击源就锁定了。

第二步：紧急止血，快速隔离攻击流量

确认攻击后，立即在防火墙层面封禁恶意IP。如果你用的是云服务器，直接进入控制台的安全组或防火墙设置，批量添加恶意IP到黑名单。对于自建防火墙（如iptables），执行：

iptables -I INPUT -s 恶意IP -j DROP

同时，在Web服务器层面进行限流。以Nginx为例，在配置文件中针对关键页面（如登录页、搜索接口）添加限速规则：

location /api/ {
    limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
    limit_req zone=api burst=20 nodelay;
}

这会将同一IP对/api/路径的请求限制在每秒10次，突发不超过20次。立刻重启Nginx生效。如果攻击流量巨大，考虑临时启用验证码或短时关闭非核心功能接口。

第三步：启用WAF和CDN，构建防御纵深

单纯封IP可能跟不上攻击者更换IP的速度，必须启用Web应用防火墙（WAF）。如果你有云端WAF服务，立刻将域名解析切换到WAF提供的CNAME地址，让流量先经过清洗。WAF可以识别恶意爬虫、高频请求等模式，自动拦截。同时，开启CDN（内容分发网络），将静态资源缓存到边缘节点，减少回源服务器压力。CDN通常自带DDoS缓解能力，能吸收大部分攻击流量。注意：在攻击期间启用CDN可能需要短暂修改DNS，TTL时间设短以便快速回滚。

第四步：服务器级加固，提升资源天花板

攻击可能暴露了服务器配置的弱点。紧急调整系统参数：增加最大文件描述符数量、优化TCP连接复用、调整Web服务器的进程和线程数。例如，对于高并发场景，优化Nginx的worker_processes和worker_connections。在操作系统层面，使用内核参数调优：

net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 4096
net.core.somaxconn = 1024

这些调整能提升服务器承载能力。同时，检查数据库连接池是否过小，避免因HTTP请求堆积导致数据库连接耗尽。

第五步：溯源分析与攻击画像

在系统稳定后，必须分析攻击源头和手法。提取攻击时间段的完整日志，分析User-Agent、Referer、请求URL规律。常见的资源耗尽型CC攻击往往针对消耗大的动态页面（如搜索、报表生成）。使用日志分析工具（如GoAccess、ELK）生成攻击报表：攻击持续时间、请求总量、主要攻击地域、所用工具特征（如是否带有特定攻击工具标识）。这些信息有助于后续加固，并为法律追溯提供证据。

第六步：长期防御策略部署

应急响应后，必须建立长效防御机制。部署基于行为的防护规则：设置单一IP在单位时间内对动态页面的请求阈值；对异常高的API调用返回403或延迟响应。启用机器人管理，通过JavaScript挑战或cookie验证区分真人用户和机器人。在架构上，引入弹性伸缩和负载均衡，当检测到流量激增时自动扩容后端实例。重要业务考虑部署分布式防御节点，将流量分散到多个清洁中心。

第七步：制定并演练应急预案

最后，将这次应急过程固化为应急预案文档。明确角色分工：谁负责监控告警、谁执行封禁、谁联系服务商。准备快速切换的备用服务器镜像和数据库备份。定期进行攻防演练，模拟突发CC攻击，测试团队的响应速度和防御措施的有效性。只有通过反复演练，才能在真实攻击中做到有条不紊。

突发性资源耗尽型CC攻击的本质是资源争夺战。你的目标不是完全挡住每一个请求，而是在系统被拖垮前，快速识别恶意流量并隔离，保障核心业务不中断。记住，防御是一个持续的过程，从紧急封IP到架构级优化，层层设防才能让攻击者无从下手。