【实战分享】基于 Nginx + Fail2ban 的 Discuz! X 高级防刷方案（精准拦截恶意收藏、搜索爆破、WP 扫描器）

IsaacZ

大家好！
近期我的 Discuz! X 站点（www.dianbo.org）频繁遭遇自动化脚本攻击，包括：

• 恶意刷 /search.php?source=hotsearch 导致 CPU 飙升
• 自动化脚本批量“收藏”帖子或板块（/home.php?ac=favorite），无 Referer 或自引用
• 大量 WordPress 路径扫描（如 wp-login.php, xmlrpc.php）
• 高频 PHP 请求试探漏洞
  

经过一段时间优化，我构建了一套 Nginx 层精准拦截 + Fail2ban 动态封禁 的组合防御体系，效果显著：日均拦截异常请求 数万次，服务器负载明显下降。


现将完整配置开源分享，欢迎交流优化建议！

---

一、Nginx 核心防护配置（基于宝塔环境）

环境说明：宝塔面板 + Nginx 1.26 + PHP 8.2（Unix Socket: /tmp/php-cgi-82.sock）

1. 通用限流与判断逻辑（置于 nginx.conf 的 http{} 块中）

1. # 优化大黑名单性能（支持 15w+ IP）
   
2. map_hash_max_size 262144;
   
3. map_hash_bucket_size 256;
   
4. 
   
5. # Fail2ban 持久化黑名单（可选）
   
6. map $remote_addr $blocked_ip {
   
7.     default 0;
   
8.     include /www/fail2ban-persist/bad-ips.map;
   
9. }
   
10. 
    
11. # 判断是否为收藏操作
    
12. map $args $is_favorite {
    
13.     default 0;
    
14.     ~(^|&)ac=favorite(&|$) 1;
    
15. }
    
16. 
    
17. # 判断 Referer 是否为空
    
18. map $http_referer $is_empty_referer {
    
19.     default 0;
    
20.     "" 1;
    
21. }
    
22. 
    
23. # 判断是否为自引用（Referer 与当前 URI 相同）
    
24. map "$http_referer|$request_uri" $is_self_referer {
    
25.     default 0;
    
26.     "~*^https?://[^/]+(/home\.php\?.+)\|\1$" 1;
    
27. }
    
28. 
    
29. # 限流 Zone 定义
    
30. limit_req_zone $binary_remote_addr zone=search:10m rate=10r/s;
    
31. limit_req_zone $binary_remote_addr zone=test:10m rate=1r/s;
    
32. limit_req_zone $server_name zone=search_total:10m rate=30r/s;
    
33. limit_req_zone $binary_remote_addr zone=general:10m rate=5r/s;
    
34. limit_req_zone $binary_remote_addr zone=login:10m rate=2r/s;
    
35. limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
    
36. limit_req_zone $binary_remote_addr zone=attachment:10m rate=3r/s;
    
37. limit_req_zone $binary_remote_addr zone=malicious:10m rate=3r/s;  # 高危请求
    
38. limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;
    
39. 
    
40. # 日志辅助配置（宝塔默认路径）
    
41. include /www/server/nginx/conf/log_filter.conf;
    
42. include /www/server/nginx/conf/404_map.conf;

复制代码

---

2. 精准站点规则（置于站点配置文件，如 www.dianbo.org.conf）

1. # 🔍 搜索接口防刷（独立限流 + 屏蔽恶意参数）
   
2. location = /search.php {
   
3.     if ($args ~* "(^|&)source=hotsearch(&|$)") {
   
4.         access_log off;
   
5.         return 444;  # 静默丢弃
   
6.     }
   
7.     limit_req zone=search burst=5 nodelay;
   
8.     limit_req zone=search_total burst=10;
   
9.     fastcgi_pass unix:/tmp/php-cgi-82.sock;
   
10.     fastcgi_index index.php;
    
11.     include fastcgi.conf;
    
12.     fastcgi_param PHP_ADMIN_VALUE "open_basedir=$document_root/:/tmp/:/proc/";
    
13. }
    
14. 
    
15. # ❤️ 收藏操作防护（防自动化脚本）
    
16. location = /home.php {
    
17.     set $should_block "";
    
18.     if ($is_favorite = "1") { set $should_block "F"; }
    
19.     if ($is_empty_referer = "1") { set $should_block "${should_block}E"; }
    
20.     if ($is_self_referer = "1") { set $should_block "${should_block}S"; }
    
21. 
    
22.     # 拦截：收藏 + 无 Referer（FE） 或 收藏 + 自引用（FS）
    
23.     if ($should_block = "FE") { access_log off; return 444; }
    
24.     if ($should_block = "FS") { access_log off; return 444; }
    
25. 
    
26.     include fastcgi.conf;
    
27.     fastcgi_pass unix:/tmp/php-cgi-82.sock;
    
28.     fastcgi_index index.php;
    
29.     fastcgi_param PHP_ADMIN_VALUE "open_basedir=$document_root/:/tmp/:/proc/";
    
30. }
    
31. 
    
32. # 🖼️ 用户头像免限流（确保体验）
    
33. location = /uc_server/avatar.php {
    
34.     fastcgi_pass unix:/tmp/php-cgi-82.sock;
    
35.     include fastcgi.conf;
    
36.     fastcgi_param PHP_ADMIN_VALUE "open_basedir=$document_root/:/tmp/:/proc/";
    
37.     # 注意：此处未加 limit_req
    
38. }
    
39. 
    
40. # 🚫 静默拦截 WordPress 扫描器（Discuz 不需要这些路径）
    
41. location ~* ^/(?:xmlrpc\.php|wp-login\.php|wp-admin|wp-config\.php|wp-content|wp-includes|wp-json|\.env|readme\.html|license\.txt)(?:$|/) {
    
42.     access_log off;
    
43.     log_not_found off;
    
44.     return 444;
    
45. }

复制代码

💡 说明：return 444 是 Nginx 特有指令，直接关闭连接且不返回任何响应，有效节省资源。

经验：能用 Nginx 拦截的话，尽量不用 Fail2ban，以节省 PHP 开销。Fail2ban 仅做兜底。

---

二、Fail2ban 动态封禁策略1. jail.local 配置

1. [DEFAULT]
   
2. ignoreip = 127.0.0.1/8
   
3. # 如需添加可信运维 IP，请在上一行后面追加，例如：
   
4. # ignoreip = 127.0.0.1/8 203.0.113.100
   
5. bantime = 1d
   
6. findtime = 300
   
7. maxretry = 2
   
8. banaction = iptables-ipset
   
9. logpath_discuz = /www/wwwlogs/www.dianbo.org.log
   
10. 
    
11. [sshd-ipset]
    
12. enabled = true
    
13. port = ssh,26444
    
14. logpath = /var/log/auth.log
    
15. maxretry = 2
    
16. 
    
17. [nginxwpscan-ipset]
    
18. enabled = true
    
19. filter = nginxwpscan-ipset
    
20. logpath = %(logpath_discuz)s
    
21. maxretry = 3
    
22. findtime = 1h
    
23. 
    
24. [nginxmalicious-ipset]
    
25. enabled = true
    
26. filter = nginxmalicious-ipset
    
27. logpath = %(logpath_discuz)s
    
28. maxretry = 1
    
29. findtime = 1d
    
30. 
    
31. [search-ipset]
    
32. enabled = true
    
33. filter = search-ipset
    
34. logpath = %(logpath_discuz)s
    
35. maxretry = 1
    
36. findtime = 600

复制代码

2. 示例 Filter：search-ipset.conf 用于检测异常中断或高频失败请求：

1. # /etc/fail2ban/filter.d/search-ipset.conf
   
2. [Definition]
   
3. datepattern = ^\[%%d/%%b/%%Y:%%H:%%M:%%S
   
4. 
   
5. failregex = ^<HOST> - - \[.*\] "(GET|POST) /+(search|home|member|misc|portal)\.php\?[^"]*formhash=[a-f0-9]{8}[^"]*" (?:\d{3} )?503
   
6.             ^<HOST> - - \[.*\] "POST /member\.php\?mod=logging&action=login[^"]*" 499 \d+
   
7.             ^<HOST> - - \[.*\] "GET /misc\.php\?mod=seccode&[^"]*" 503 \d+
   
8. 
   
9. ignoreregex =
   

复制代码

以上仅为示例，请从自己的网站日志提取专属攻击特征，构造自己的专属规则。

---

三、效果与建议

• ✅ CPU 负载下降 40%+：静默丢弃无效请求，减少 PHP-FPM 压力
• ✅ 自动化脚本基本失效：收藏、搜索刷量归零
• ✅ 日志干净：WP 扫描器不再污染 access.log
• ⚠️ 建议：
  
  • 定期清理 /www/fail2ban-persist/bad-ips.map（可配合 cron）
  • 对 /member.php 登录接口单独限流（如 zone=login）
  • 结合 Cloudflare 等 CDN 可进一步前置过滤
    

---

四、结语

这套方案已在生产环境稳定运行接近一个月，兼顾安全性与用户体验。所有配置均基于宝塔默认路径，可直接复用。

欢迎各位站长测试、反馈，也期待看到大家的优化思路！

附：我的站点 www.dianbo.org 已启用上述防护，欢迎“友好探测” 😄

提醒：防范不能一劳永逸，需要时刻关注网站日志，以发现新的威胁，及时更新防护规则。

---

另：为了监控防范效果，制作了一个网站安全状态仪表盘，放在页面右下角：

点开效果如图：

在攻击最高的一些日子，每天新增3万多个IP，一个多星期时间持久化黑名单已经封顶到50万，于是索性关了热搜功能（清空所有热搜词），然后在Nginx层对热搜直接进行444拦截，图上的数据一下子清静了。

如果你想了解持久化黑名单的设置，欢迎回帖交流。