普通服务器在小流量攻击下通常能撑住几个小时到几天，但前提是攻击量级低于服务器性能瓶颈；一旦攻击手法专攻弱点，再小的流量也能让服务瞬间瘫痪。
小流量攻击在真实环境中比大流量攻击更常见,也更容易被忽视，很多站长发现服务器CPU不高、带宽没跑满，但网站就是打不开，排查半天才发现是慢速连接占满了进程，这种攻击不靠带宽取胜，而是靠持续占用连接资源和应用逻辑漏洞，让普通服务器“有劲使不出”，下面从攻击类型、服务器承受能力、判断指标和防御实操几个维度拆开讲。
小流量攻击服务器能撑多久？关键看攻击类型和服务器配置
小流量攻击通常指带宽占用在几百兆以下,甚至只有几十KB每秒的流量，但流量小不代表危害小，行业共识认为，攻击效果取决于服务器剩余资源与攻击手法的匹配度，同样的攻击打在不同服务器上，结果天差地别。
慢速攻击：连接池耗尽，撑不过半小时
慢速攻击是典型的小流量攻击,常见的是Slowloris，它会建立大量TCP连接，然后每隔几十秒发送一个HTTP头部，让服务器一直等待完整请求，普通Nginx默认的worker_connections是1024，意味着同时只能处理1024个连接，攻击者只需要开几百个慢速连接，就能把连接池占满，新用户访问直接超时。
这种情况下,普通服务器撑不过30分钟，因为Nginx的client_header_timeout默认是60秒，如果攻击方持续维持连接，服务器会一直保留这些连接直到超时释放，而实际上，攻击方会不断重新建立连接，导致连接池长期满员。
高频CC攻击：CPU不高但逻辑崩盘
CC攻击是模拟真实用户请求,请求某个动态接口，比如登录、搜索、查询数据库，小流量CC攻击的频率也就每秒钟几十次请求，单看不算多，但如果接口里有慢查询、死循环或者未加缓存的复杂逻辑，服务器CPU可能直接被打满。
这类攻击下,普通服务器撑不住1小时，例如一个PHP站点，没有开启OPcache，每个请求都要编译执行，每秒50个并发请求就能让CPU占用飙升到90%以上，数据库连接池也会被占满，最终报“Too many connections”错误。
低强度SYN Flood：普通防火墙能扛几小时
SYN Flood是小流量攻击里的“老油条”，利用TCP三次握手漏洞，发大量SYN包但不回复ACK，普通服务器的内核半连接队列（tcp_max_syn_backlog）默认是1024，如果攻击流量超过这个值，新的连接请求就会被丢弃。
但现代Linux内核自带SYN Cookie机制，很多云厂商的免费基础防护也能过滤一部分，如果攻击流量低于100Mbps，普通服务器能撑3到5小时，前提是内核参数已经调优过，如果保持默认配置，可能半小时内连接队列就会被塞满。
普通服务器面对小流量攻击的三种结局
不同业务形态,结局完全不同，用拟人化的说法就是：一个身强体壮的人挨几拳没事，但被针扎到要害也会倒。
硬扛到底，但响应变慢
常见于纯静态页面、图片资源站、或者有CDN缓存的网站，攻击流量打过来，Nginx直接返回静态文件，不涉及动态处理，CPU占用很低，小流量攻击只是占用了部分带宽和连接，页面加载速度从100毫秒变成500毫秒，但用户体验还能接受。
这种情况下,服务器可以一直撑下去，直到攻击停止，不过要留意，攻击者可能随时变换手法。
半死不活，CPU不高但连接卡死
动态接口、长轮询、WebSocket应用最容易出现这种状态，服务器CPU使用率只有30%，但所有新请求都进不来，因为连接数达到上限，用户看到的是“服务器无响应”或白屏，这种半瘫痪状态最折磨人，你以为在正常运行，其实已经处于“假死”状态。
撑多久取决于连接池大小和攻击连接频率，通常在2到3小时内会完全卡死。
瞬间崩溃，内存溢出或进程假死
攻击者如果找到应用的“七寸”，比如没有超时控制的文件上传接口、不支持并发访问的数据库、或者内存泄露的旧代码，小流量也能在几分钟内拖垮服务器，一个循环请求某个大接口，每个响应5MB内存，几十个请求就把2GB内存吃光，触发OOM Killer。
这种下,撑不过10分钟，别问为什么流量小还这么猛，因为攻击打的是逻辑缺陷，不是带宽。
判断服务器还能撑多久的五个关键指标
与其猜,不如直接看数据，用命令和日志来判断，比任何预测都准。
连接数是否逼近上限
查看当前连接数和最大连接数：
netstat -nt | grep -c ESTABLISHED nginx -T | grep worker_connections
如果当前连接数已经能达到worker_connections的80%以上，说明攻击正在消耗连接资源，撑不久了。
TCP队列状态
ss -lnt查看Recv-Q和Send-Q，如果Recv-Q长期大于0，说明数据包在堆积，处理不过来了。ss -s可以看整体socket统计，如果timewait或syn_recv数量异常，说明正在被SYN攻击。
应用日志响应时间
Nginx的$request_time字段是神器，正常请求应该在200毫秒以内，如果大量请求超过2秒，说明应用层已经饱和，用下面命令快速统计：
awk '{if ($NF > 2) print}' access.log | wc -l
如果超过日志总量的30%，离崩溃不远了。
CPU和内存资源
top命令看每个进程的CPU和内存，注意，高CPU不一定代表攻击，可能是正常的业务高峰，但如果某个PHP-FPM或Java进程的CPU长时间在90%以上，且并发量并不高，多半是小流量CC攻击。
错误日志增长频率
error.log里如果频繁出现upstream timed out、connect() failed (111: Connection refused)，说明后端服务已经无法处理新请求，把这些错误日志按分钟统计，趋势直线上升，那就是在倒计时。
小流量攻击怎么防御？从免费到进阶的实操方案
防御方案分三层,先做免费加固，再考虑付费产品，不要一上来就买高防IP，小流量攻击用轻量手段往往能解决。
第一层：Linux内核参数调优
编辑/etc/sysctl.conf，加入以下内容：
net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_max_syn_backlog = 2048 net.ipv4.tcp_syn_retries = 1 net.ipv4.tcp_fin_timeout = 10 net.ipv4.tcp_tw_reuse = 1 net.ipv4.ip_local_port_range = 1024 65535
执行sysctl -p生效，这套配置能增强SYN Flood抵抗能力，减少半连接堆积。
第二层：Nginx / Apache层限流
在Nginx里限制每个IP的连接数和请求速率：
limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_req_zone $binary_remote_addr zone=reqlimit:10m rate=10r/s;
server {
limit_conn perip 20;
limit_req zone=reqlimit burst=20 nodelay;
}
同时调整超时时间,避免慢速攻击：
client_header_timeout 10s; client_body_timeout 10s; keepalive_timeout 10s; send_timeout 10s;
这种配置下,防御小流量慢速攻击足够了。
第三层：云厂商基础防护加CDN
国内主流云厂商（简米云、酷番云、华为云）的安全组提供免费的基础DDoS防护，默认清洗能力在5Gbps左右，小流量攻击基本会被自动清洗掉，但要注意，基础防护只针对网络层，应用层CC攻击还得靠CDN。
如果站点套了CDN,攻击流量会先到CDN节点，Cloudflare免费版可以拦截一部分CC攻击，也能隐藏源站IP，国内用百度云加速或酷番云CDN也类似，这一步能挡住大部分小流量攻击，因为攻击者面对的是CDN的带宽池，不是你的单台服务器，对于普通小网站来说，CDN是最划算的防御手段，国内CDN的HTTPS套餐一年也就几百元。
第四层：高防IP和WAF
如果攻击频率持续超过每秒钟几千次,或者遇到针对性攻击，就得考虑高防IP了，高防IP价格弹性较大，按防护峰值计费，低防的几百块一个月，高防的几千块一个月，具体看业务量和攻击频率，济南、扬州、台州等地的机房常被用来做高防节点，延迟会稍微高一点，但防御性能更稳定，同时可以开启云WAF，对URL参数、User-Agent做黑名单匹配，拦截恶意请求，WAF配合高防IP，能防住90%以上的小流量攻击。
哪些场景最怕小流量攻击？业务排查清单
不是所有业务都需要重金防御,下面这些场景尤其要提前做好预案。
- 无鉴权的API接口：比如短信接口、查询接口，攻击者可以高频调用，即使每秒只打10次，也能消耗大量数据库连接。
- 长连接应用：WebSocket、Socket.IO等，每个连接占用的服务器内存远超普通HTTP请求，几十个恶意连接就能拖垮一台小内存服务器。
- 没有静态缓存的动态站：每个页面都要实时渲染，没有Redis或CDN缓存，攻击者只要访问几个消耗大的页面，就能把CPU打满。
- 源站IP暴露的站点：用了CDN但源站IP在DNS记录里能查到，攻击者绕过CDN直接打源站，防护形同虚设。
常见问题：服务器被小流量攻击怎么办？
小流量攻击和正常高并发怎么区分？
看请求特征的规律性,正常用户请求的IP分散、URL多样、请求间隔随机；攻击请求通常IP集中、URL固定（永远打那三四个接口）、间隔几乎相同，正常高并发下CPU和连接数同步上升，而小流量攻击往往连接数暴增但带宽占用很低，用netstat抓取当前所有连接，按IP统计：
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -20
如果某个IP连接数超过100,基本可以判定为攻击源。
1Gbps算小流量攻击吗？普通服务器扛得住吗？
1Gbps在IDC机房里算中等流量,但对普通单机来说已经是“大流量”了，普通服务器的带宽一般只有5Mbps到100Mbps，1Gbps流量瞬间就能堵死网卡，这里的“小流量”是相对IDC骨干带宽而言的，通常指低于1Gbps，但实际防御时要看服务器的出口带宽，如果攻击流量只有20Mbps，而服务器带宽是5Mbps，照样是致命的。
攻击停止后，如何快速恢复服务器？
先切断攻击源,在防火墙里禁用攻击IP或IP段，然后重启Web服务和数据库，如果内存耗尽还需要重启服务器，恢复后立刻开启访问日志里的$request_time监控，观察是否还有异常，不要急着改代码，先用CDN或WAF顶住，再慢慢排查应用逻辑漏洞。
小流量攻击不是灾难片,更像游击战，服务器能撑多久，取决于你给它的“防弹衣”有多厚：内核参数调了没有、连接数限了没有、CDN套了没有，先做好免费层面的加固，再根据实际攻击强度决定是否掏钱上高防，别等被打趴了才处理，那时候恢复成本比防御成本高得多。