宝塔面板网站防CC攻击与WAF防火墙最佳实战配置指南

1. 遭受 CC 攻击时的紧急响应三步法

当您的服务器突然出现 CPU 占用 100%、Nginx 响应变慢甚至 502 Bad Gateway 时，请立即按以下步骤快速止血：

第一步：排查当前攻击的 URL 与来源 IP

在 SSH 终端中执行以下命令，快速抓取 Nginx 实时访问日志中请求量最大的前 10 个 IP 和页面：

bash复制
# 抓取访问量最高的 IP 地址
tail -n 10000 /www/wwwlogs/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 10

# 抓取被高频刷取的目标 URI
tail -n 10000 /www/wwwlogs/access.log | awk '{print $7}' | sort | uniq -c | sort -nr | head -n 10

第二步：开启宝塔系统防火墙的紧急防CC模式

如果服务器已安装系统防火墙插件，可直接进入面板【安全】菜单，临时开启“防CC攻击”开关：

• 触发阈值：单 IP 每秒超过 30 次请求即触发拦截。
• 封禁时长：建议设置为 600 秒至 3600 秒。

第三步：针对特征接口启用 WAF 人机验证

单纯的 IP 封锁很容易误伤正常用户或遇到分布式肉鸡。最根本的解决方案是开启 宝塔网站应用防火墙（WAF） 的 CC 人机验证模式（Cookie 验证或滑动验证码）。

2. 宝塔企业级 WAF 防火墙的核心优势对比

普通免费版只能通过手写 Nginx limit_req_zone 进行简单限速，极易误伤 API 请求或百度搜索引擎爬虫。而宝塔企业版 WAF 防火墙具备多维度协同防护能力：

| 功能特性 | 免费版手动配置 | 宝塔企业版 WAF 防火墙 |
| :--- | :--- | :--- |
| 规则库更新 | 需手动编写 Lua / Nginx 规则 | 官方安全团队每日云端自动同步规则 |
| 人机交互验证 | 不支持（只能直接 403 阻断） | 支持静默 JS 验证、滑动拼图、点击验证 |
| 搜索引擎白名单 | 容易误拦截百度/谷歌爬虫 | 自动反查 PTR 记录，精准识别真假搜索引擎 |
| SQL注入/XSS防御 | 无图形化拦截监控 | 秒级阻断恶意注入，附带精准攻击者指纹 |

3. WAF 规则最佳生产实践配置

1. 严格模式与普通模式选择

• 普通业务站：建议设置为“严格模式”，当单 IP 请求频次超过设定值时，自动弹出滑动验证码。
• API 接口站点：对于纯 JSON 交互的移动端接口，建议使用“白名单+Token 限流”，避免前端因无法渲染验证码而报错。

2. URL 黑白名单精细化规则

1. URL 白名单：放行 /api/webhook、支付异步回调接口 /pay/notify 等第三方不可见环境。
2. URL 黑名单与目录保护：对后台敏感目录（如 /admin、/wp-admin、/.git）设置二次密码或仅限特定 IP 访问。

nginx复制
# 配合 Nginx 限制未授权直接访问隐藏文件
location ~ /\. {
    deny all;
    access_log off;
    log_not_found off;
}

4. 总结

应对现代网络安全攻击，单靠临时防护往往顾此失彼。部署宝塔面板企业版 WAF 防火墙，不仅能为您节省排错与抗攻击的宝贵时间，更能在流量激增时确保网站业务稳定可用。