网站报错403禁止访问_权限配置错误_目录权限修复
直接说结论，网站遭受CC攻击或DDoS攻击时表现为访问极慢或完全打不开，服务器CPU和带宽跑满。CC攻击是用大量代理IP模拟正常用户频繁访问动态页面，耗尽服务器资源；DDoS是用海量流量打满带宽，让正常请求无法到达。两种攻击的防护思路不同，CC攻击靠WAF和限流，DDoS靠带宽清洗和CDN隐藏源站IP。
深入一层讲，CC攻击的紧急处理。先看Nginx访问日志，tail -f /var/log/nginx/access.log，发现某个User-Agent或某个IP段频繁请求同一个动态页面，基本就是CC攻击。临时应对可以在nginx里限制单IP请求频率，limit_req_zone配置每秒最多10次请求，超过的直接返回503。也可以把动态页面生成静态缓存，攻击时返回静态页面不消耗数据库资源。长期方案是接入云WAF，阿里云、腾讯云的WAF能自动识别拦截CC攻击，不用自己写规则。
DDoS攻击的处理。流量攻击靠单机硬抗不现实，需要接入高防IP或CDN。CDN的作用是把源站IP隐藏起来，用户访问的是CDN节点，攻击流量打在CDN上由厂商清洗。接入CDN后要修改源站IP，因为旧IP已经暴露，黑客可能直接打源站。服务器上只允许CDN回源IP访问80和443端口，在防火墙里配置IP白名单，其他IP全部拒绝。这样源站不直接暴露在公网，安全性大幅提升。
攻击期间的注意事项。不要重启服务器，重启瞬间攻击流量进来可能直接打挂；不要轻易换IP，新IP很快会被扫描到；保留攻击日志，包括访问日志、流量监控截图，方便事后分析和向服务商申诉。攻击过后分析攻击来源，封掉攻击IP段，检查是否有漏洞被利用。日常防护建议网站一上线就接入CDN，不要等被攻击了才临时处理，临时切换DNS需要生效时间，期间用户体验受损。按这个流程走，基本不会出错。
服务器安全基线配置不能省。SSH改非默认端口并用密钥登录禁用密码，fail2ban自动封禁暴力破解IP，ufw或iptables只开放必要端口，定期更新系统补丁。这些基础配置花一小时做完，能挡住90%以上的自动化攻击。安全不是靠某个高级功能，而是把基础措施做扎实。
更新时间：2026-08-27 12:09:36
上一篇：Apache配置Limit指令禁用TRACE OPTIONS请求方法_网站安全运维实战指南