网站如何防攻击？DDoS、暴力破解与恶意爬虫的应对方法 🛡️

站点上线之后，攻击就不再是"会不会来"的问题，而是"什么时候来"。这三类威胁最常见，但它们的原理完全不同，防护手段也不能混着用。用抗DDoS的思路去防爬虫，或者用限流去挡暴力破解，都是事倍功半。

先把它们的本质区别讲清楚。

一、DDoS：拼资源的消耗战 💥

它是怎么打的

流量型（网络层）：SYN Flood、UDP Flood、DNS/NTP放大攻击。目标是塞满你的上行带宽。带宽一满，防火墙配置得再完美也没用——包根本进不来。

应用型（CC攻击）：模拟真实用户，反复请求搜索页、登录接口、动态查询这类消耗数据库的路径。单个请求完全合法，但几千个并发下去，数据库先倒。

这两者必须分开对待。 流量型是物理层面的较量，CC是逻辑层面的博弈。

防护要点

隐藏源站IP 🔑
这是最容易被忽视却最关键的一步。接入CDN后，如果源站IP还能通过历史DNS记录、邮件发信头、子域名、SSL证书透明日志被查到，攻击者会直接绕过CDN打源站。

具体做法：接入后更换源站IP、邮件服务用独立主机、源站防火墙只允许CDN节点回源IP段访问。

用分布式架构稀释流量
CDN的多节点结构天然具备分散能力。一次来自全球的攻击，被路由到各地节点后，落在单点上的压力被大幅摊薄。

近源清洗
在流量到达业务区域前完成过滤。协议层攻击特征明显，通过指纹匹配和速率限制可以剥离掉大部分。

搞清楚黑洞规则
这一点务必在选型时问清楚：单用户保底防护多少、超出后怎么处理、黑洞触发阈值是多少、多久自动解封。被黑洞后站点完全不可访问，这个细节比宣传页上的"T级防护"重要得多。

CC攻击的专项处理

按路径分级配置，不要一刀切：

• 静态资源：策略放宽，正常缓存
• 列表页、详情页：中等频率限制
• 搜索、登录、注册、验证码接口：严格限流
• 支付回调、API对接：单独配白名单

全站统一限流的结果通常是客服工单暴涨，正常用户先被挡在外面。

二、暴力破解：慢工出细活的偷袭 🔓

常见形态

密码喷洒：不针对单个账号猛试，而是拿几个常用密码去撞成千上万个用户名。这种方式每个账号只试几次，轻松绕过"5次错误锁定"的规则。

撞库：用其他站点泄露的账号密码组合来试。命中率意外地高，因为大量用户跨站复用密码。

目标不只是Web后台：SSH 22、远程桌面3389、数据库3306、FTP、宝塔面板入口，都是重点目标。

落地防护

认证层加固

• 强制密码复杂度，禁用常见弱口令
• 关键账号开启二次验证，这是性价比最高的一道防线
• 管理后台路径改掉默认值，能挡掉大量自动化扫描

锁定策略要设计对

单纯按账号锁定会被密码喷洒绕过，也会被恶意用于锁死他人账号。更合理的组合是：

按账号计数 + 按来源IP计数 + 递增延迟

失败1次等1秒，3次等5秒，5次等30秒。对真实用户几乎无感，对自动化脚本却是致命的——原本一小时能跑完的字典，现在要跑一个月。

端口层面收敛

• SSH禁用密码登录，改用密钥
• 管理端口不对公网开放，通过跳板机或内网访问
• 必须开放时，限制来源IP白名单

登录日志必须监控
异地登录、非工作时间登录、同一IP尝试多个账号——这些信号出现时应当告警，而不是事后从日志里翻出来。

三、恶意爬虫：最难界定的一类 🕷️

麻烦在哪里

爬虫不破坏系统，它只是"读"。但对内容站、电商、招聘、房产类平台来说，数据被批量抓走等于核心资产流失。同时它还会持续消耗带宽和数据库连接。

难点在于：必须区分善意和恶意。搜索引擎爬虫要放行，合作方接口要放行，只拦真正的采集器。误伤了正规爬虫，收录量会掉。

识别方法

验证声明身份
自称是搜索引擎爬虫的，通过反向DNS查询验证其IP是否真的属于该公司。伪装UA是采集器最常见的手段，这一步能过滤掉很多。

看行为特征

• 访问路径高度规律，按ID顺序递增
• 从不加载CSS、JS、图片
• 没有Referer，或Referer固定不变
• 请求间隔精确到毫秒级一致
• 只访问详情页，从不访问列表页和首页

人类浏览是杂乱的，机器是整齐的。整齐本身就是特征。

指纹校验
检测浏览器环境的真实性、TLS握手特征、请求头顺序。无头浏览器和脚本工具在这些细节上和真实浏览器存在差异。

处置策略

不要一律封禁，分级处理更有效：

返回假数据比直接封禁更有价值——对方不知道自己被识破，会继续采集无用内容，而你不用应对他不断更换IP。

辅助手段：核心数据用接口异步加载并做鉴权、关键字段做水印或轻微扰动、配置 robots 文件明确边界（正规爬虫会遵守，这也是后续追责的依据）。

四、整体思路 🧱

这三类攻击的防线要分层叠放：

上游：CDN与清洗中心吸收大流量，隐藏源站
边缘：WAF识别攻击特征，频率与行为控制
应用：认证加固、权限校验、接口鉴权
主机：端口收敛、密钥登录、日志留存
运维：监控告警、定期审计、可恢复的备份

每一层都不必完美，但都不能缺。攻击者需要突破全部层级，防守方只要有一层生效就守住了。

写在最后 💡

真正有效的动作其实很朴素：隐藏源站IP、按路径分级限流、开启二次验证、递增延迟锁定、关掉不必要的对外端口、识别行为而非只看UA、坚持看日志。

这几件事不难做，难的是上线前就做好，而不是被打瘫之后再补。安全投入的回报是"什么都没发生"，这恰恰是它最容易被推迟的原因。