网站访问慢甚至打不开，服务器CPU或带宽突然飙升，这很可能是遭遇了DDoS攻击或恶意爬虫。别慌，第一步不是自己埋头查日志，而是立刻向你的云服务商或主机商提交工单求助，并附上关键证据——网络抓包数据。这是最能让技术支持快速定位问题根源、采取有效防御措施的方法。下面我将详细告诉你，遇到这种情况时，具体每一步该怎么做，以及如何准备一份技术团队最需要的“求助包裹”。

为什么提交工单时必须附上抓包数据？

单纯描述“网站很慢”对服务商来说信息量几乎为零。网络慢的原因太多了：可能是服务器配置不足、程序BUG、数据库死锁，也可能是来自外部的攻击。抓包数据（如tcpdump或Wireshark捕获的.pcap文件）是网络层的“黑匣子”，它客观记录了服务器在特定时间段内所有进出的网络报文。技术团队分析这些原始数据，可以立刻判断出：流量是否异常巨大、连接来自哪些IP、属于何种协议（如SYN Flood、HTTP Flood）、攻击特征是什么。这比你用文字描述一万句都管用，能节省数小时的沟通和排查时间，为防御争取黄金窗口。

第一步：紧急情况下的初步判断与止损

在准备抓包和提交工单的同时，你可以立即执行几个快速操作：

1. 登录服务器控制面板或使用命令行工具（如top、htop、iftop），查看CPU、内存、网络带宽的使用情况。如果网络接收流量（RX）持续爆满，而正常业务不可能达到这个量，基本可判定为流量型攻击；

2. 临时启用服务商提供的“基础防御”或“清洗模式”（通常可在控制台一键开启），将异常流量引流到清洗中心；

3. 如果攻击针对特定应用（如某个API接口），可考虑在Web服务器（如Nginx）层面临时限制该URL的访问频率或暂时返回静态页面。这些是争取时间的临时措施，根本解决仍需服务商介入。

第二步：如何抓取有价值的网络数据包？

抓包是技术活，但按步骤做并不难。首选工具是Linux自带的tcpdump。通过SSH登录你的服务器，执行以下命令。建议在怀疑攻击正在进行时开始抓取，持续时间60-120秒即可，过大的包文件难以传输和分析。

# 捕获所有网卡的所有流量，保存到文件，同时限制每个包的大小以节省空间
tcpdump -i any -s 0 -w attack_evidence.pcap -G 60 -W 1

# 如果你知道攻击可能针对特定端口（如Web服务的80/443），可以增加过滤
tcpdump -i any -s 0 port 80 or port 443 -w http_attack.pcap -G 120 -W 1

命令解释：-i any 监听所有网卡；-s 0 捕获完整数据包；-w 输出到文件；-G 60 每60秒轮换一个文件；-W 1 只保留1个文件。抓包结束后，你会得到一个后缀为 .pcap 的文件（例如 attack_evidence.pcap），这就是核心证据。如果服务器资源极度紧张，连SSH都卡顿，可以尝试让服务商通过带外管理（如控制台的VNC）帮你执行抓包，或者他们可能直接从底层虚拟化平台获取流量镜像。

第三步：撰写一份高效的技术工单

工单内容决定了问题被处理的优先级和效率。请务必包含以下结构化信息：

1. 问题概要： 用一句话概括，例如：“疑似遭遇大规模DDoS攻击，服务器公网入向带宽持续跑满，网站无法访问。”
2. 时间线： 异常开始的具体时间（精确到分钟），以及是否持续到现在。
3. 影响表现： 网站完全超时、部分用户能访问、服务器CPU/带宽监控截图（附上）。
4. 已采取的自查措施： 例如“已通过iftop查看，发现大量来自不同IP的连接到80端口”，并附上命令输出截图。
5. 关键证据： 明确写明“已通过tcpdump抓取攻击时段数据包，文件名为 attack_evidence.pcap，下载链接如下：”，并提供文件下载方式（如上传至服务商提供的对象存储、FTP，或直接作为工单附件上传，注意服务商对附件大小的限制）。
6. 服务器信息： 你的IP地址、服务器实例ID（在控制台可查）。这能帮助技术支持快速定位你的设备。

第四步：与服务商协同分析与防御

提交工单后，保持沟通畅通。技术团队会分析你的.pcap文件，并可能向你反馈他们的发现，例如：“确认是来自某IP段的HTTP GET Flood攻击，峰值带宽为5Gbps。” 这时，他们会根据攻击类型和规模，在机房骨干网或你的服务器前端启用相应的防护策略，例如：
1. 流量清洗： 将你的IP流量全部牵引至具备强大处理能力的清洗中心，过滤掉恶意流量，将正常流量回注到你的服务器。
2. 黑洞路由： 对于超出清洗能力范围的超大规模攻击，为保护机房网络稳定，可能会临时将你的IP在路由器上黑洞（即所有流量丢弃）。这是不得已的最终手段，会持续一段时间，你需要和服务商确认解除时间。
3. 调整防火墙策略： 根据攻击特征，在云端防火墙或你的主机防火墙上添加规则，批量封禁恶意IP段。
你需要配合他们的建议，例如确认清洗后网站访问是否恢复正常，或者协助测试某些过滤规则是否影响了正常用户。

第五步：事件后的复盘与加固建议

攻击缓解后，工作并未结束。你应该与服务商一起进行复盘，并规划长期防御：
1. 攻击溯源分析： 请服务商提供攻击分析报告（如果他们提供此服务），了解攻击来源、类型、手法和漏洞利用点（如果有）。
2. 升级防护方案： 如果使用的是无防护的裸服务器，强烈建议购买或升级到带有高防IP、DDoS高防包或云WAF（Web应用防火墙）的产品。这些服务能提供持续的、自动化的异常流量检测和清洗。
3. 架构优化： 考虑将静态资源（图片、CSS、JS）放到对象存储和CDN上，分散流量压力，同时隐藏源站IP。对于关键业务，部署负载均衡和多可用区冗余。
4. 监控告警： 在服务器和服务商控制台设置更灵敏的带宽和连接数监控告警。一旦指标异常，能第一时间收到通知，启动应急流程。
5. 安全基线： 定期更新系统和应用补丁，限制不必要的端口开放，使用强密码和密钥认证，从根本上减少被利用的风险。

总结：将“被动求助”变为“主动协作”

网站被攻击导致访问慢，是一次严峻的压力测试。最有效的应对流程是：快速初步判断 → 精准抓取证据 → 提交详细工单 → 紧密协同防御 → 彻底复盘加固。其中，“提交工单附上抓包”是连接你和专业技术力量的桥梁，它把模糊的故障现象转化为可分析的技术问题。养成对关键业务进行定期流量基线分析的习惯，这样在异常发生时，你就能更快地识别出“不对劲”的地方。记住，在面对网络攻击时，选择一个提供可靠技术支持和完善防护体系的服务器提供商，与你自身具备基本的问题定位和证据收集能力，两者同等重要。