后台流量统计显示 VPS 流量远超日常水平，或带宽长期跑满导致网站变慢。需要确认流量来源：是正常业务增长、被刷流量，还是服务器被入侵对外发包。
可能原因
- 网站文件被恶意盗链或批量下载；
- 遭受 CC/攻击产生大量请求；
- 服务器被入侵后作为肉鸡对外发包；
- 备份、同步任务配置错误持续传输数据。
排查步骤
- 先实时观察带宽占用与连接：
iftop -i eth0
nethogs
ss -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head- 查看 Web 访问日志，找出高频 IP 与被刷的 URL：
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -n 20- 少量 IP 贡献大量请求：在防火墙或 Nginx 中封禁这些 IP，并为静态资源配置防盗链。
- 出站流量异常大且有大量对外连接：检查可疑进程
ps aux、crontab -l，疑似入侵请参考滥用处理流程，备份快照后考虑重装系统。 - 确认近期是否有备份脚本、rsync、下载任务在运行。
- 日常建议监控流量曲线，设置告警，便于及早发现异常。
提示：iftop 中按端口可区分入向/出向流量；出向异常大且非自己业务时务必优先排查入侵。
仍未解决
请通过「支持服务 → 工单」反馈，附上异常时间段的 iftop 截图、访问日志统计结果与已采取的封禁措施，客服将协助核查网络侧流量情况。