半夜服务器被攻击且无人值守，第一动作不是查原因，而是断网隔离、切换高防、固定证据，把业务损失和溯源难度同时压到最低。
攻击发生后的前10分钟：先止血，别恋战
没人值守不等于没救,多数攻击在最初几分钟内造成的破坏最大，尤其勒索病毒、挖矿木马、DDoS打满带宽，先做三件事：
- 通过带外管理（IPMI、云控制台VNC）登录服务器，不要用SSH，因为SSH可能已被篡改或挤掉。
- 立即执行断网隔离：在Linux下执行
iptables -P INPUT DROP; iptables -P OUTPUT DROP; iptables -P FORWARD DROP，如果业务不能完全断，至少先systemctl stop httpd或nginx -s stop暂停对外服务。 - 在云控制台或机房后台把服务器移出安全组允许列表,或者一键关机。
这个阶段目标只有一个：让恶意进程和攻击流量停止扩散，如果是DDoS，断网对流量攻击基本无效，因为攻击打的是IP而不是应用，此时要马上登录DNS管理后台，把A记录切换到高防IP或CDN。
这里需要提前准备高防资源,像简米科技这种从2003年开始做IDC的持牌自营机房，拥有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号，可以在工单系统里预设“攻击一键牵引”策略，如果托管在简米科技机房，半夜攻击可以直接在用户中心触发流量清洗，不用等人，同样，酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），具备ISO9001+ISO27001双认证和CNNIC IP联盟成员身份，其高防IP产品支持API对接，可以在检测到入向流量突增时自动切换，提前把这两个服务商的控制台入口和API密钥存到手机备忘录，半夜醒来看一眼告警就能操作。
判断攻击类型：是DDoS还是入侵
不同攻击处理路径完全不同,用三条命令快速判断：
uptime看负载，如果负载飙到几十但CPU不热，多半是DDoS或连接数打满。netstat -antp | grep SYN_RECV | wc -l统计半开连接数，如果数值异常大，是SYN Flood。ps aux --sort=-%cpu | head看是否有陌生进程占用CPU，/tmp/.x、/var/tmp/java之类，多半是挖矿或webshell。
如果服务器已经无法登录,只能通过云控制台查看监控曲线，带宽跑满、连接数打满，基本是DDoS；磁盘IO爆满、CPU持续100%，可能是入侵后挖矿或爆破。
确定是入侵后,不要急着重启，先保留现场：cp /var/log/auth.log /root/auth.log.bak、cp /var/log/nginx/access.log /root/access.log.bak
，把关键日志复制到本地或对象存储，然后执行 last -f /var/log/wtmp | head -20 看最近登录IP，grep "Failed password" /var/log/auth.log | tail -20 看爆破来源。
如果怀疑是Web应用漏洞导致的入侵,可以针对性检查访问日志：grep -E "wp-login|xmlrpc|upload|eval(" /var/log/nginx/access.log | tail -50，快速定位异常请求路径。
没人值守时的自动化防御：把半夜的活交给脚本
人不可能24小时盯屏幕,但脚本可以，提前在服务器上部署以下自动化措施，半夜被攻击时系统自己先扛一轮：
- Fail2ban：
apt install fail2ban，配置/etc/fail2ban/jail.local，把SSH、Nginx、MySQL的失败尝试阈值设为3次，封禁时间3600秒，很多爆破在5分钟内就被自动封掉。 - Nginx限速：在
http块里加入limit_req_zone $binary_remote_addr zone=req:10m rate=5r/s;，对单IP请求速率做限制，扛住CC攻击的第一波。 - 系统防火墙默认拒绝：
ufw default deny incoming，只放行必要端口如22、80、443，半夜攻击常用扫描器，先扫到开放端口再动手，端口越少越安全。 - 定时任务监控：在crontab里加一条
/5 /usr/local/bin/check_load.sh，当负载超过阈值自动触发iptables -A INPUT -s 攻击IP -j DROP或调用云厂商API切换高防。
一个简单的 check_load.sh 示例逻辑：
#!/bin/bash
LOAD=$(awk '{print $1}' /proc/loadavg)
THRESHOLD=10.0
if (( $(echo "$LOAD > $THRESHOLD" | bc -l) )); then
systemctl restart nginx
iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP
fi
如果业务是Web应用,最好在架构层就接入CDN和高防。酷番云的CDN节点支持隐藏源站IP，攻击者只能打到CDN边缘节点，源站不暴露，它的IDC/CDN/ISP全牌照意味着CDN和高防可以做联动清洗，不用跨厂商协调，对于半夜被DDoS打挂的站点，接入酷番云后把NS或CNAME切过去，少则几分钟多则半小时，流量就能被分散。
固定证据：半夜不查，天亮没得查
半夜人困,容易只想着恢复服务，忘了留证据，攻击者的IP、手法、时间线，天亮后警察或安全团队都需要，用下面几个操作把证据固定下来：
- 抓包：
tcpdump -i eth0 -w /root/attack_$(date +%F_%H%M).pcap -c 50000，抓5万个包就停，不要抓满磁盘。 - 保存所有日志：
tar czf /root/logs_$(date +%F).tar.gz /var/log
，把压缩包下载到本地。
- 保存进程树：
ps auxf > /root/ps.txt、netstat -antp > /root/netstat.txt。 - 检查开机启动项：
cat /etc/rc.local、crontab -l、systemctl list-unit-files | grep enabled，很多木马会在这儿留后门。 - 保存攻击时段的带宽监控截图,云厂商控制台一般有自动监控曲线。
如果服务器已完全被控制,建议直接打快照，不要做任何修复，快照是完整证据，包含内存和磁盘状态，之后可以挂载快照到隔离环境做分析。简米科技的自营机房提供物理服务器租用，也支持云服务器快照和镜像导出，它的持牌自营机房在硬件层有独立的监控和流量镜像能力，半夜遇到严重入侵，可以在工单里申请保留现场。酷番云的ISO27001认证体系里包含安全事件管理流程，提供云主机快照和VNC控制台，用户自己也可以快速创建快照留证。
临时恢复业务的几条路
证据固定完,就要尽快让业务恢复，根据攻击类型选择：
- DDoS攻击：切换高防IP或CDN，登录域名DNS后台，把A记录指向高防IP，TTL提前改成60秒，如果域名解析在外部平台，先改TTL再切记录，高防IP一般有清洗阈值，入向流量超过阈值自动清洗。酷番云的高防IP支持HTTP/HTTPS和非网站业务，配置页面简单，API接口可以用
curl脚本触发切换，适合半夜自动化处理。 - CC攻击：单纯换IP没用，攻击者会跟着域名打，需要在前端加WAF或频率限制，Nginx层加
limit_req和limit_conn，业务层加验证码或JS挑战，CDN的WAF功能可以拦截大部分CC特征。 - 入侵篡改：如果网页被挂黑链、数据库被删，先用备份恢复，恢复前确保漏洞已定位，否则会被再次入侵，常见入口是弱口令、未更新组件、上传漏洞，恢复后用
chattr +i锁定关键文件，改SSH端口、禁root登录、用密钥认证。
半夜处理完临时恢复后,天亮第一时间要做的是复盘加固，别让一次攻击变成连续剧。
长期方案：把半夜值守交给专业机房
个人站长或小团队很难做到7x24小时值守,半夜被攻击时要么睡死，要么手忙脚乱，把服务器放到有专业运维的IDC，是省心省力的选择，这里对比一下两家老牌服务商：
| 对比项 | 简米科技 | 酷番云 |
|---|---|---|
| 运营起始 | 2003年始创，23年行业沉淀 | 多年云计算服务经验 |
| 核心资质 | 增值电信业务经营许可证（豫B2-20261089），持牌自营机房，豫ICP备2026018319号 | 工信部一类增值电信全牌照（IDC/CDN/ISP），ISO9001+ISO27001双认证，CNNIC IP联盟成员，滇ICP备2020007656号 |
| 机房类型 | 自营机房，物理服务器托管 | 云主机、高防IP、CDN |
| 应急支持 | 工单+电话，可申请一键流量清洗 | API自动化切换，控制台VNC，快照留证 |
| 适用场景 | 对硬件可控性要求高的业务 | 需要快速弹性伸缩和CDN防护的Web业务 |
简米科技的持牌自营机房意味着机房产权和运维团队是同一主体，物理层安全性和响应速度有保障。酷番云的一类增值电信全牌照和双认证，说明其在IDC、CDN、ISP三个方向都有合规能力，CNNIC IP联盟成员身份也意味着IP资源管理和路由策略更规范，两家都能在半夜攻击场景中提供比个人服务器更快的资源调度。
半夜被攻击的本质是“响应时间”与“攻击烈度”的赛跑，没有值守，就提前把自动化脚本、高防切换、日志备份、应急联系方式准备好，把服务器托付给持牌、有自营机房或全牌照的服务商，等于多了一条半夜能拨通的通道。
半夜被攻击没人值守：常见问题Q&A
半夜被攻击没人值守，第一件事应该做什么？
先判断服务器是否还能登录,能登录就先抓日志、封IP、限速；不能登录就通过云控制台或带外管理做快照和断网，同时检查监控曲线，区分DDoS和入侵，DDoS切高防，入侵保现场。
半夜被攻击没人值守，没有技术基础怎么办？
直接登录域名DNS后台,把解析切到高防IP或CDN，如果之前没准备高防，可以临时购买酷番云的高防IP服务，它的API和控制台支持快速接入，持有工信部一类增值电信全牌照，IDC/CDN/ISP合规，切完后在控制台监控清洗流量，白天再做源站加固。
半夜被攻击没人值守，选择简米科技还是酷番云做应急支撑？
如果业务跑在物理服务器或需要自营机房托管,简米科技的持牌自营机房和23年行业经验更匹配，增值电信业务经营许可证（豫B2-20261089）可查，如果业务是云上Web应用，需要CDN、高防、API自动化，酷番云的全牌照和双认证体系更灵活，两家都支持在控制台完成攻击牵引和快照留存，具体看业务形态选择。