👁 139 次阅读
网站被刷流量、被入侵的前兆有哪些？7个信号与应对方法
做站长这些年，最怕的不是服务器宕机，而是那种“表面看起来正常，但总觉得哪里不对劲”的状态。网站还能打开，但后台越来越卡；流量数据看着涨了，转化却跌了；搜索引擎收录突然掉了一截。等真正发现问题的时候，往往已经过去好几天了。
网站被入侵或被恶意刷流量，很少是毫无征兆的。服务器不会突然“生病”，它一定会通过资源、日志、流量数据留下痕迹。问题在于，很多个人站长和小团队没有专人盯监控，这些痕迹容易被忽略，等到发现时，攻击者已经拿到了权限，或者流量已经烧掉了大半个月的预算。
下面这7个信号，是我自己踩过坑、也帮别人排查过的问题总结出来的。每个信号都附上具体的排查方法和工具，你可以当成一份日常巡检清单来用。
信号一：CPU或内存长时间无故跑满
这是最直接、也最容易被发现的入侵前兆。正常运行的网站，CPU负载是有规律的：白天高一些，凌晨低一些，除非你正好在做推广或有活动。如果某天你打开宝塔面板或者用 `top` 命令一看，CPU持续在90%以上，而且不是你的业务在跑，那就得警惕了。
恶意进程通常有几个特征：进程名是随机字符（比如 `x7j9k`、`mh32d` 这类），或者伪装成常见系统进程但内存占用极高。加密挖矿程序是服务器被入侵后最常见的“副产品”，攻击者用你的服务器算力挖矿，你付电费，他收币。
排查方法很简单：用 `ps aux –sort=-%cpu | head -20` 看CPU占用最高的进程。如果看到一个不认识的进程占了大量资源，记下它的PID，然后用 `ls -l /proc/PID/exe` 查看这个进程对应的可执行文件在哪个目录。如果是 `/tmp` 或 `/dev/shm` 这类不该有正常程序运行的目录，基本可以确定是恶意程序。
应对上，先别急着 `kill`，先把这个文件路径记下来，然后 `kill -9` 掉进程，删除文件，再检查 `/etc/rc.local` 和 `crontab -l` 有没有被添加了开机启动或定时任务。攻击者通常会留一手，杀掉进程不清理启动项，重启后还会复活。
信号二：网站日志里出现大量404、403和奇怪路径
你的 `access.log` 是最诚实的证人。攻击者扫描网站漏洞时，会尝试访问大量不存在的路径，比如 `/admin.php`、`/wp-login.php`、`/.env`、`/phpmyadmin`、`/config.php.bak` 这些文件。正常用户不会去访问这些地址，如果日志里这类请求突然密集出现，说明有人在对你进行自动化扫描。
宝塔面板用户可以直接在“网站日志”里用 `awk` 命令统计高频IP：
“`bash
awk ‘{print $1}’ /www/wwwlogs/你的域名.log | sort | uniq -c | sort -nr | head -20
“`
这个命令会列出访问次数最多的前20个IP。如果某个IP在一个小时内访问了几千次，而且请求的URL五花八门、大量返回404，那它就是一个扫描器。你可以直接在Nginx防火墙里封禁这个IP段，或者在 `hosts.deny` 里加一条规则。
另外留意一种情况：如果日志里出现大量来自某个你从未听说过的小国家或地区的IP，而且访问时间集中在凌晨两三点，这同样是自动化工具在“广撒网”找漏洞。如果网站只面向国内用户，直接在国内CDN或DNS层面限制地域访问，能过滤掉大部分海外扫描流量。
信号三：搜索引擎开始给你发“安全警告”
这是一个信号一旦出现，说明问题已经比较严重了。Google Search Console 或者百度搜索资源平台如果给你推送了“网站被黑客入侵”或“该网站可能包含恶意软件”的警告，意味着搜索引擎的爬虫在抓取你的页面时，检测到了异常内容——可能是被注入的跳转代码、隐藏的垃圾链接，或者页面被篡改后塞入了博彩、医疗类关键词。
我见过一个案例：站长某天发现从百度来的流量几乎归零，登录搜索资源平台才看到安全警告。检查后发现攻击者在他网站的所有页面底部注入了一段隐藏的JavaScript，用户从搜索引擎点进来会被重定向到一个博彩网站，而直接输入域名访问则一切正常。这种“只劫持搜索引擎来路”的手法很隐蔽，站长自己很难察觉。
如果你收到了这类警告，第一时间去查 `Google Search Console` 的“安全问题”板块，它会告诉你具体是哪些URL被标记了，以及检测到了什么类型的威胁。然后对照排查：检查 `wp-config.php`、`.htaccess`、`footer.php` 这些文件是否被修改，搜索数据库里是否有可疑的 `