服务器恶意访问屏蔽

你是不是刚搭好自己的小网站——可能是分享学习资料的博客，可能是放本地产品图的展示站，也可能是给朋友用的小工具后台？某天心血来潮打开站长后台看访问日志，突然傻眼：几十条甚至几百条请求都是404错误，还有好多不明来历的IP，几十分钟内刷了几千次页面？更糟的是，服务器原本打开只要1秒，现在刷个页面要等10秒，还收到运营商发来的流量异常警告，说你可能在被攻击？别慌，这篇就是手把手教你，把这些恶意访问全挡在外面，不用找技术大佬，自己10分钟就能搞定。

一、先给网站套个免费“防护罩”：用CDN屏蔽恶意访问

1. 直接用现成的CDN，三步开启防护

说白了CDN就是把你网站的内容存在好多地方，别人访问时就近取，同时帮你挡恶意访问。不用你懂技术，新手直接用免费的：国外的Cloudflare，国内的阿里云CDN新用户有10G免费流量，够小站用好久。操作超简单：

第一步：去CDN官网注册账号，按提示添加你的域名。

第二步：把你域名原来的DNS解析，改成CDN给你的两个地址。

第三步：在CDN后台打开“基础安全模式”，它会自动识别并拦截常见的恶意爬虫、攻击请求。

避坑提醒：一定要先删掉域名原来的DNS解析！不然CDN挡不住，等于没开。

2. 碰到反复搞事的IP，直接拉黑

要是CDN挡了之后，还是有几个特别执着的IP反复刷你的页面，你可以手动拉黑。比如在Cloudflare后台的“IP管理”里，把那个IP地址加进去，设成永久屏蔽，一次就管好久，省得服务器资源被浪费。

二、用服务器自带的“门禁系统”，精准拉黑恶意IP

1. 用iptables命令，直接封单个IP

要是你有服务器的远程登录权限（就是用工具连服务器的那个操作），可以用服务器自带的iptables命令，把搞事的IP直接封死，正常用户不受影响。操作步骤超简单：

打开你的远程终端（比如Putty、Xshell），输入下面的命令，把“192.168.1.100”换成你要封的恶意IP就行：

``` iptables -A INPUT -s 192.168.1.100 -j DROP ```

敲回车就搞定了，这个IP以后再也连不上你的服务器，不会再刷请求了。

2. 自动封高频刷访问的IP

要是你不想天天盯着日志，还有个自动工具叫fail2ban，它会自己扫服务器的访问日志，碰到短时间内刷几十次页面的IP，直接自动拉黑，不用你手动操作。安装超简单，用Linux的yum命令直接装：

``` yum install fail2ban -y ```

装完改下配置文件，把屏蔽时间设成12小时就行，别设永久，不然可能不小心封到同网段的正常用户。

三、网站程序里加“岗哨”，不让坏请求进门

1. WordPress站长，直接用插件搞定

要是你的网站是用WordPress做的，不用改代码，装个插件就行，比如WP Cerber Security，专门管安全，屏蔽恶意访问超好用。操作：

登录WordPress后台，点“插件→安装插件”，搜“WP Cerber Security”，安装激活。

激活后打开插件设置，找到“恶意访问屏蔽”，勾选“阻止1分钟内访问超过5次的IP”，再打开“机器人检测”，那些专门爬资源的恶意机器人就直接挡在门外了。

2. 自己写的小网站，加几行代码就行

要是你是自己写的小网站，比如用PHP做的，加几行代码就能挡恶意请求。比如恶意爬虫的UA（就是浏览器标识自己的一串字符），有个常见的恶意爬虫UA叫“badbot/1.0”，你可以在网站入口（比如index.php）加这段代码：

``` if ($_SERVER['HTTP_USER_AGENT'] == 'badbot/1.0') { header("HTTP/1.1 403 Forbidden"); exit; } ```

这样只要是带这个UA的请求，直接返回403错误，根本进不来。

其实搞定服务器恶意访问屏蔽，不用搞复杂技术，从新手到进阶都有对应办法：先开个CDN（零技术，10分钟就能搞定），再用服务器工具封特定搞事IP，最后给网站程序加层防护。今天你就先做第一步，把域名解析改成CDN的地址，别让你的小网站被那些无聊的恶意请求搞炸。