要查看服务器被哪个IP地址攻击，核心思路是分析服务器当前的网络连接状态、检查系统与Web日志，并借助防火墙或流量监控工具锁定异常流量来源。
如何查看服务器被攻击的IP地址：从连接状态入手
当你怀疑服务器正在遭受攻击，第一步就是检查当前的网络连接状态，系统内核会记录所有活动的TCP连接，通过分析这些连接,你能快速发现大量来自同一IP的异常请求。
服务器被攻击怎么查IP：使用netstat和ss命令
在Linux环境下，netstat和ss是最直接的查IP工具，登录服务器后，运行以下命令查看所有连接,并统计每个IP的出现次数：
- 先查看连接总数，观察状态：
netstat -ant或ss -ant - 筛选出异常状态，比如大量
SYN_RECV说明可能遭受SYN Flood，大量TIME_WAIT但来源集中在少数IP也值得怀疑 - 统计连接数最多的IP：
netstat -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20 - 在Windows服务器上，使用
netstat -an | find "ESTABLISHED"，然后手动统计
这些命令会输出类似“1234 192.168.1.1”的结果，数字越大意味着该IP建立的连接越多，如果某个IP的连接数远超其他，且你确认不是正常业务流量，基本可以断定它就是攻击源。多数情况下，攻击IP会集中在少数几个地址,通过这种排序方式能直接锁定。
通过系统日志追溯攻击IP
如果攻击行为是暴力破解密码或尝试漏洞利用,系统日志会留下痕迹。
- Linux系统检查
/var/log/auth.log（Ubuntu/Debian）或/var/log/secure（CentOS）：grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -rn | head -10 - 查看
lastb命令输出，列出所有登录失败的记录，同样统计IP - Windows系统打开事件查看器，筛选安全日志中的登录失败事件ID（4625），查看网络地址字段
行业共识认为，单靠一种方法很难完全定位攻击源，需要结合系统日志、网络连接和网站访问日志交叉验证，比如一个IP同时出现在登录失败日志和大量异常连接中,那它发起攻击的可能性就非常高。
服务器被DDoS攻击查IP地址的几种有效方法
当攻击流量达到带宽上限或服务器明显变慢，普通命令可能无法查出真实IP，因为攻击者会伪造源地址,此时需要借助其他手段。
使用Web日志分析攻击IP
如果攻击目标是Web服务，应用层的访问日志是最可靠的依据，Web日志记录了每一个请求的真实IP（除非经过多层代理）。
- 找到Apache/Nginx的access.log，统计请求频率最高的IP：
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20 - 关注请求路径，如果大量请求集中在同一个URL（如
/wp-login.php），说明正在遭受应用层攻击 - 过滤掉正常的搜索引擎爬虫UA，只保留非正常请求
相当一部分应用层攻击都能通过这种方式找到IP，比如一个IP在1秒内请求了200次，而正常用户最多请求几次,这个IP就是攻击源。
借助防火墙工具实时监控
防火墙日志可以记录被拒绝的连接,帮助你发现正在扫描或攻击的IP。
- 在Linux上开启iptables日志：
iptables -A INPUT -j LOG --log-prefix "IPTABLES: " - 查看
/var/log/messages或/var/log/kern.log，筛选出大量来自同一IP的记录 - 使用
fail2ban自动监控日志并封禁，它默认会统计SSH和Web的失败尝试，达到阈值后自动添加防火墙规则封禁IP - Windows防火墙可以开启日志记录，查看
%windir%system32LogFilesFirewallpfirewall.log
，分析丢弃的数据包
流量抓包分析
对于流量型攻击，可以用抓包工具直接捕获网络数据包,分析源IP分布。
- 使用
tcpdump抓取进向流量：tcpdump -i eth0 -nn -c 10000 | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -rn | head -20 - 如果攻击流量巨大，抓包可能造成服务器负载过高，建议在旁路或交换机端口镜像上抓取
- 将抓包结果导入Wireshark，使用统计功能查看IP端点
业内专家指出，在应对大流量DDoS时，源IP往往是伪造的，传统查IP方法失效，需要借助流量清洗技术，但在攻击初期,你仍然可以抓到一部分真实IP用于后续溯源。
不同场景下的查IP策略对比
| 场景 | 推荐方法 | 工具 | 实时性 |
|---|---|---|---|
| 少量IP暴力破解SSH | 系统日志统计 | grep, lastb, fail2ban | 高 |
| Web应用层攻击（CC攻击） | Web日志分析 | awk, sort, uniq | 中 |
| 大流量DDoS，源IP伪造 | 流量抓包+云防护 | tcpdump, Wireshark | 低 |
| 需要长期监控 | 防火墙日志+自动化脚本 | iptables, firewalld | 高 |
少量恶意IP：直接命令排查
对于SSH爆破、少量扫描，用netstat -ant或ss -ant配合awk统计，几秒钟就能找到IP，然后手动添加防火墙规则封禁，或配置fail2ban自动处理。这种场景下，查IP到封禁可以在1分钟内完成。
大流量DDoS：利用云防护或流量清洗
当攻击流量超过服务器带宽，传统查IP方法基本无效，此时需要联系云服务商启用DDoS高防服务，将流量引流到清洗中心。部分国内服务器厂商提供免费的基础防护阈值，超过后需购买高防IP
，在清洗中心可以查看攻击IP的分布情况，但大部分是伪造源,只能通过流量特征来识别攻击类型。
封禁攻击IP的注意事项
找到IP后，不要急着封禁，先确认是否被CDN或代理误伤，如果你使用了CDN，Web日志中看到的IP可能是CDN节点，需要查看X-Forwarded-For头来获取真实源IP，如果攻击IP是CDN节点，封禁会导致正常用户无法访问，封禁时建议使用ipset或firewalld的富规则，而不是直接丢弃,以便后续分析。
- 使用
ipset创建黑名单列表，批量添加IP，性能更好 - 封禁前用
nslookup或whois查询IP归属，确认是否为恶意IP - 对于伪造源IP的DDoS攻击，封禁IP意义不大，应当部署流量清洗
服务器被攻击怎么查IP？常见问题解答
Q1: 服务器被攻击怎么查IP最快？用哪个命令？
最直接的是netstat -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn，然后看输出结果中数字最大的IP，如果攻击持续，这个命令可以实时反映当前连接最多的IP，Windows下用netstat -an加上find命令手动筛选。
Q2: 查到的IP是CDN节点时该怎么办？
需要查看Web日志中的X-Forwarded-For字段，或使用“查看源IP”的模块，如果日志显示IP来自CDN节点，请勿直接封禁，可以开启WAF规则，限制访问频率，或通过mod_remoteip模块还原真实IP后再分析。
Q3: 攻击IP数量太多，无法手动封禁如何处理？
使用自动化工具如fail2ban或DDoS deflate，它们会根据日志中的失败尝试次数或连接数自动封禁IP，对于大流量攻击，建议直接使用云服务商的DDoS高防服务，它们能自动过滤攻击流量,保留正常访问。
图片来源于AI模型，如侵权请联系管理员。作者：酷小编，如若转载，请注明出处：https://www.kufanyun.com/ask/701188.html
