DDoS 攻击一般持续多久？按类型看时长与应对

2026-11-05技术原理约 9 分钟

「这次要打多久」是被攻击时最想知道的答案，因为它直接决定你该怎么应对——扛两小时和扛两天，完全是两套打法。

先说结论：绝大多数攻击持续 1-3 小时，但会反复来。真正长时间不间断的攻击很少，因为攻击者的成本也在烧钱。

按攻击类型看持续时间

攻击类型	典型时长	为什么
玩家报复	10 分钟 - 1 小时	情绪驱动，打一顿出气就走，成本敏感
同行竞争	1-3 小时，集中在高峰时段	目的是打掉你当晚的在线人数，打久了不划算
勒索	10 分钟 + 后续断续骚扰	先打一小段证明能力，然后谈钱；不给钱就间歇性来
CC / 假人攻击	数小时到数天	成本极低（不需要带宽），可以长时间挂着
职业团伙 / 政治目的	数小时到数周	有资金支持，不计成本

注意最后两行。CC 攻击的持续时间可以非常长，因为它消耗的不是带宽，而是你服务器的处理能力。攻击者用几百块钱的代理池就能挂一整天，对他来说成本很低，对你来说却是持续的消耗。

为什么大流量攻击不会持续太久

因为攻击本身是要花钱的。

市面上打手平台的报价大致是这样（按 2026 年的行情）：

攻击强度	大致成本	能持续多久
10-50 Gbps	几十到几百元/小时	看预算，通常几小时
100-300 Gbps	上千元/小时	通常 1-2 小时
500 Gbps 以上	数千到上万元/小时	很少超过 1 小时

所以攻击者的逻辑是：用最短的时间造成最大的破坏。打你两小时，你服停了、玩家跑了，目的就达到了。继续打下去，他的成本在涨，你的损失却不再增加——不划算。

一个反直觉的判断：如果攻击持续超过 6 小时还不间断，通常不是普通同行或玩家干的。要么是有明确商业目的（比如逼你退出某个市场），要么是勒索（在等你联系他），要么是自动化工具在跑（攻击者本人都没盯着）。

「停了」不等于结束

这是最容易被误判的地方。攻击停了两小时，你以为过去了，结果晚上又来了。

常见的反复模式：

每天固定时段来——通常是晚上 8-11 点，你在线人数最高的时候。这说明对方在观察你的数据。
打完停几天再来——试探你的防护是否升级了，或者等你放松警惕。
间歇性小流量骚扰——不打死你，但让你一直不稳，玩家慢慢流失。

所以判断「结束了没有」，不能看停了多久，要看对方的目的达成了没有。如果他的目的是抢你的玩家，而你业务完全没受影响，那他下次就不来了。

不同时长对应的应对策略

预计 1 小时内结束

硬扛。这时候最重要的是别做多余的操作：

不要急着重装系统、换 IP（时间不够，反而添乱）
不要在群里公告「被攻击了」（会放大恐慌）
盯住带宽和连接数，确认没有被打穿到业务层

超过 2 小时还在打

要开始考虑止损：

如果带宽被打满，联系云厂商申请临时升配或高防
如果业务已经不可用，考虑临时切到备用线路
开始记录证据（流量截图、攻击特征），后面申请费用减免要用

持续一天以上

这已经不是应急问题了，是持久战。需要：

隐藏源站——这是唯一能根治的办法，让攻击打不到你
评估是否要暂停业务（有时候停服比硬扛损失小）
如果是勒索，考虑报警并留证据

为什么「能扛住」比「扛多久」更重要

回到根本：攻击者要的是你疼。如果你不疼，他打多久都没意义。

实际操作中，很多客户问「他要打多久」，真正该问的是「我能不能扛住」。因为：

能扛住，打一小时和打一天对你没区别
扛不住，打十分钟你的业务就没了

而「能不能扛住」取决于一件事：攻击流量有没有打到你真正的服务器上。

源站暴露的情况下，你只能硬扛带宽，扛不住就是扛不住，跟时间无关。源站隐藏的情况下，攻击打在节点上，你源站收到的只有正常请求——这时候攻击持续多久都不影响业务。

这也是为什么所有防护方案的第一步都是隐藏源站 IP，而不是「买更大的带宽」。

一个实际的时间线参考

以我们处理过的游戏服案例，典型过程是这样的：

时间	发生什么	该做什么
T+0	玩家开始掉线，后台看到流量突增	确认是攻击，记录峰值
T+10min	流量达到峰值，业务不可用	止血：切线路或上防护
T+1h	攻击通常在这个阶段减弱或停止	确认业务恢复，别急着庆祝
T+当晚	可能二次攻击（对方发现你没防护好）	保持警惕，监控不要撤
T+1天	如果没再来，大概率结束了	复盘，加固
T+3天	部分案例会第三次试探	持续观察一周

所以「结束了没有」这个问题，至少要观察一周才能回答。

如果你现在正在被打，先看服务器被攻击怎么解决做应急处置。想知道为什么会被盯上，看服务器被攻击是什么原因。