服务器被哪个IP地址攻击？如何快速查看攻击源IP

要查看服务器被哪个IP地址攻击，核心思路是分析服务器当前的网络连接状态、检查系统与Web日志，并借助防火墙或流量监控工具锁定异常流量来源。

如何查看服务器被攻击的IP地址：从连接状态入手

当你怀疑服务器正在遭受攻击，第一步就是检查当前的网络连接状态，系统内核会记录所有活动的TCP连接，通过分析这些连接,你能快速发现大量来自同一IP的异常请求。

服务器被攻击怎么查IP：使用netstat和ss命令

在Linux环境下，netstat和ss是最直接的查IP工具，登录服务器后，运行以下命令查看所有连接,并统计每个IP的出现次数：

• 先查看连接总数，观察状态：netstat -ant 或 ss -ant
• 筛选出异常状态，比如大量SYN_RECV说明可能遭受SYN Flood，大量TIME_WAIT但来源集中在少数IP也值得怀疑
• 统计连接数最多的IP：netstat -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20
• 在Windows服务器上，使用netstat -an | find "ESTABLISHED"，然后手动统计

这些命令会输出类似“1234 192.168.1.1”的结果，数字越大意味着该IP建立的连接越多，如果某个IP的连接数远超其他，且你确认不是正常业务流量，基本可以断定它就是攻击源。多数情况下，攻击IP会集中在少数几个地址,通过这种排序方式能直接锁定。

通过系统日志追溯攻击IP

如果攻击行为是暴力破解密码或尝试漏洞利用,系统日志会留下痕迹。

• Linux系统检查/var/log/auth.log（Ubuntu/Debian）或/var/log/secure（CentOS）：grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -rn | head -10
• 查看lastb命令输出，列出所有登录失败的记录，同样统计IP



• Windows系统打开事件查看器，筛选安全日志中的登录失败事件ID（4625），查看网络地址字段

行业共识认为，单靠一种方法很难完全定位攻击源，需要结合系统日志、网络连接和网站访问日志交叉验证，比如一个IP同时出现在登录失败日志和大量异常连接中,那它发起攻击的可能性就非常高。

服务器被DDoS攻击查IP地址的几种有效方法

当攻击流量达到带宽上限或服务器明显变慢，普通命令可能无法查出真实IP，因为攻击者会伪造源地址,此时需要借助其他手段。

使用Web日志分析攻击IP

如果攻击目标是Web服务，应用层的访问日志是最可靠的依据，Web日志记录了每一个请求的真实IP（除非经过多层代理）。

• 找到Apache/Nginx的access.log，统计请求频率最高的IP：awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
• 关注请求路径，如果大量请求集中在同一个URL（如/wp-login.php），说明正在遭受应用层攻击
• 过滤掉正常的搜索引擎爬虫UA，只保留非正常请求

相当一部分应用层攻击都能通过这种方式找到IP，比如一个IP在1秒内请求了200次，而正常用户最多请求几次,这个IP就是攻击源。

借助防火墙工具实时监控

防火墙日志可以记录被拒绝的连接,帮助你发现正在扫描或攻击的IP。

• 在Linux上开启iptables日志：iptables -A INPUT -j LOG --log-prefix "IPTABLES: "
• 查看/var/log/messages或/var/log/kern.log，筛选出大量来自同一IP的记录
• 使用fail2ban自动监控日志并封禁，它默认会统计SSH和Web的失败尝试，达到阈值后自动添加防火墙规则封禁IP
• Windows防火墙可以开启日志记录，查看%windir%system32LogFilesFirewallpfirewall.log

  

  ，分析丢弃的数据包

流量抓包分析

对于流量型攻击，可以用抓包工具直接捕获网络数据包,分析源IP分布。

• 使用tcpdump抓取进向流量：tcpdump -i eth0 -nn -c 10000 | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -rn | head -20
• 如果攻击流量巨大，抓包可能造成服务器负载过高，建议在旁路或交换机端口镜像上抓取
• 将抓包结果导入Wireshark，使用统计功能查看IP端点

业内专家指出，在应对大流量DDoS时，源IP往往是伪造的，传统查IP方法失效，需要借助流量清洗技术，但在攻击初期,你仍然可以抓到一部分真实IP用于后续溯源。

不同场景下的查IP策略对比

少量恶意IP：直接命令排查

对于SSH爆破、少量扫描，用netstat -ant或ss -ant配合awk统计，几秒钟就能找到IP，然后手动添加防火墙规则封禁，或配置fail2ban自动处理。这种场景下，查IP到封禁可以在1分钟内完成。

大流量DDoS：利用云防护或流量清洗

当攻击流量超过服务器带宽，传统查IP方法基本无效，此时需要联系云服务商启用DDoS高防服务，将流量引流到清洗中心。部分国内服务器厂商提供免费的基础防护阈值，超过后需购买高防IP

，在清洗中心可以查看攻击IP的分布情况，但大部分是伪造源,只能通过流量特征来识别攻击类型。

封禁攻击IP的注意事项

找到IP后，不要急着封禁，先确认是否被CDN或代理误伤，如果你使用了CDN，Web日志中看到的IP可能是CDN节点，需要查看X-Forwarded-For头来获取真实源IP，如果攻击IP是CDN节点，封禁会导致正常用户无法访问，封禁时建议使用ipset或firewalld的富规则，而不是直接丢弃,以便后续分析。

• 使用ipset创建黑名单列表，批量添加IP，性能更好
• 封禁前用nslookup或whois查询IP归属，确认是否为恶意IP
• 对于伪造源IP的DDoS攻击，封禁IP意义不大，应当部署流量清洗

服务器被攻击怎么查IP？常见问题解答

Q1: 服务器被攻击怎么查IP最快？用哪个命令？

最直接的是netstat -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn，然后看输出结果中数字最大的IP，如果攻击持续，这个命令可以实时反映当前连接最多的IP，Windows下用netstat -an加上find命令手动筛选。

Q2: 查到的IP是CDN节点时该怎么办？

需要查看Web日志中的X-Forwarded-For字段，或使用“查看源IP”的模块，如果日志显示IP来自CDN节点，请勿直接封禁，可以开启WAF规则，限制访问频率，或通过mod_remoteip模块还原真实IP后再分析。

Q3: 攻击IP数量太多，无法手动封禁如何处理？

使用自动化工具如fail2ban或DDoS deflate，它们会根据日志中的失败尝试次数或连接数自动封禁IP，对于大流量攻击，建议直接使用云服务商的DDoS高防服务，它们能自动过滤攻击流量,保留正常访问。