# 恶意 IP 自动封禁与站点恢复记录

时间：2026-09-02  
服务器：47.106.181.28  
说明：本记录不保存任何登录密码。

## 已完成

1. 安装宝塔官方 `Fail2ban防爆破` 2.5，并设置开机启动。
   - 服务状态：active / enabled
   - 基础 jail：`sshd`、`ftpd`
   - SSH/FTP：5 次失败、5 分钟统计窗口、封禁 24 小时

2. 开启宝塔内置“恶意 IP 自动封禁”。
   - 开关文件：`/www/server/panel/config/firewalld_malicious_ip.pl`
   - 当前值：`open`
   - 宝塔系统任务：每天 04:43 执行
   - 封禁集合：`in_bt_malicious_ipset`

3. 增加 Web 高频恶意访问自动封禁。
   - Fail2ban jail：`nginx-web-abuse`
   - 统计窗口：60 秒
   - 阈值：单 IP 180 次请求
   - 封禁时间：24 小时
   - 封禁集合：`in_bt_web_abuse`
   - 该机制达到阈值后直接封禁，不使用 Nginx 请求排队或全站限速。
   - 已将当时确认的 15 个高频攻击地址加入 24 小时封禁集合。

4. 搜索引擎蜘蛛保护。
   - 放行范围仅限 TCP 80/443，不放行 SSH 等其他端口。
   - 白名单规则排在恶意 IP 丢弃规则之前。
   - 每分钟读取新增 Nginx 日志。
   - User-Agent 命中后还会进行反向 DNS 和正向 DNS 一致性验证，防止普通攻击者伪造蜘蛛 UA。
   - 覆盖百度、360/So、搜狗、神马、必应、谷歌，以及 Yandex、DuckDuckGo、Yahoo、Bytespider、Amazon 等常见蜘蛛标识。
   - 最终检查时白名单内有 38 个已验证地址；最近一次任务从 10 个候选地址中验证通过 2 个。

5. Nginx 免费防火墙 IP 黑名单。
   - 用户提供的文本解析出 757 个唯一公网 IPv4 地址。
   - 宝塔免费 WAF 的 `ip_black.json` 中已存在同样 757 条规则，导入检查未产生重复项。
   - 与当时搜索蜘蛛白名单无重叠。

## 攻击原因与处理

本次高负载并非单纯的 MySQL 索引问题，主要由两轮分布式请求造成：

- 第一轮对 `www.txiaw.com` 使用固定 `TG@td666` 参数，样本中占比超过 98%。
- 第二轮改为 `/?r=随机字符串`，并伪造 Chrome、手机和微信浏览器 UA。查询字符串会绕过公共 FastCGI 缓存，导致每次请求进入 PHP。
- `m.bchongw.com` 同时出现多个地址短时间随机抓取数百个 `/down/...` 动态页面，产生大量 502/499。

已实施：

- 在 Nginx 进入 PHP 前精准拒绝上述两个已确认攻击特征。
- 真实搜索蜘蛛 UA 保留例外；网络层白名单另外执行 DNS 双向验证。
- 被精准拒绝的请求不再写入 `www.txiaw.com.log`，避免 4 GB 以上日志继续高速增长并拖累磁盘。
- 保留正常首页、正常带参页面和站内功能。

验证结果：

- 正常 `www.txiaw.com` 首页：HTTP 200，服务器本机约 0.045 秒。
- 随机 `r=` 攻击：约 0.017 秒断开，未进入 PHP。
- `TG@td666` 攻击：约 0.011 秒断开，未进入 PHP。
- 百度蜘蛛 UA 访问相同 `r=` 测试路径：HTTP 200。
- 攻击日志连续 5 秒无增长。

## 站点性能修复

1. 恢复 Nginx 监听，并修复宝塔防火墙重载后本机回环连接被国家规则误处理的问题。
2. 重启已饱和的 PHP 5.6 FPM；保留现有 80 个最大子进程和 8192 backlog 配置。
3. 对以下 PHP 5.6 站点启用 120 秒公共 FastCGI 微缓存：
   - `www.bchongw.com`
   - `m.bchongw.com`
   - `www.xxiaw.com`
   - `m.xxiaw.com`
   - `www.txiaw.com`
4. 微缓存绕过 POST、查询字符串、登录/管理/会员/API/支付/上传等路径，以及带会话或授权信息的请求。
5. `www.xxiaw.com/app_games/indexN.html` 增加应用层列表缓存：
   - 新鲜期 900 秒
   - 过载时可返回 24 小时内的有效旧缓存，避免占用 PHP-FPM 执行昂贵旧查询
   - `index3.html` 最终外网测试 HTTP 200，约 2.12 秒

外网最终测试：

- `https://www.bchongw.com/`：HTTP 200，约 1.48 秒
- `https://m.bchongw.com/`：HTTP 200，约 0.61 秒
- `https://www.xxiaw.com/app_games/index3.html`：HTTP 200，约 2.12 秒
- 宝塔 8686 端口可访问；未登录访问面板路由返回 404 属正常面板隐藏入口行为

压力回落记录：

- 1 分钟 load average：约 39.10 降至 13.70，并继续下降
- 已建立 Web 连接：约 1801 降至 571
- PHP 5.6 子进程：70 降至 30
- MySQL 最终检查约占 4.8% CPU，因此没有盲目增加数据库索引

## 宝塔官方接口状态

`https://www.bt.cn/api/bt_waf/get_system_malicious` 在最终检查时仍返回 HTTP 502。该问题来自宝塔官方接口，不是本机网络或脚本错误。

已对 `/www/server/panel/script/malicious_ip_task.py` 增加：

- 最多 3 次请求重试与超时控制
- 官方接口失败时不清空 `/var/log/IP-DAILY-LOG.log`
- 下次计划任务继续处理保留下来的候选地址
- 每次处理前后恢复蜘蛛白名单和本机回环规则

因此官方情报接口恢复后会在每天 04:43 自动同步；接口不可用期间，本机 Fail2ban Web 自动封禁仍独立工作。

## 主要备份

- `/www/backup/fail2ban-install-20260902-181216`
- `/www/backup/malicious-ip-enable-20260902-184145`
- `/www/backup/malicious-ip-task-retry-20260902-185346.py`
- `/www/backup/free-waf-ip-black-20260902-185156.json`
- `/www/backup/public-microcache-20260902-185748`
- `/www/backup/txiaw-attack-marker-20260902-190622`
- `/www/backup/xxiaw-list-cache-20260902-191226`
- `/www/backup/web-autoban-20260902-192605`
- `/www/backup/txiaw-r-flood-20260902-193050`

## 最终检查

- Nginx 配置检测成功
- Fail2ban ping 返回 pong
- Fail2ban jail：`ftpd`、`sshd`、`nginx-web-abuse`
- 蜘蛛白名单定时器 active / enabled
- 宝塔恶意 IP 自动封禁开关为 open
- Nginx 免费 WAF IP 黑名单共 757 条
- 站点首页和指定列表页均返回 HTTP 200