一、問題背景網站訪問正常但服務器壓力突然升高最近維護一個 PHP 內容管理系統(tǒng)運維發(fā)現網站沒有明顯業(yè)務增長但是服務器請求量突然增加。監(jiān)控服務器 CPU90% 內存正常 訪問量 平時 5000次/小時 異常 20萬次/小時用戶訪問首頁 偶爾打不開 后臺 登錄緩慢二、問題定位發(fā)現大量異常URL請求查看 Nginx access.logtail -f /var/log/nginx/access.log發(fā)現GET /admin/login.php GET /wp-login.php GET /config.php GET /api/test.php大量重復訪問。特點請求路徑不存在IP數量很多請求頻率異常三、為什么惡意請求會影響PHP很多 PHP 項目所有請求都會進入程序。流程用戶請求 ↓ Nginx ↓ index.php ↓ PHP初始化 ↓ 數據庫連接 ↓ 返回404即使頁面不存在也消耗PHP進程CPU數據庫連接四、第一步靜態(tài)錯誤請求不要進入PHP錯誤架構不存在文件 ↓ PHP處理 ↓ 返回404優(yōu)化Nginx直接處理。配置location / { try_files $uri $uri/ /index.php?$query_string; }效果真實文件直接返回。不存在統(tǒng)一處理。五、第二步限制單IP訪問頻率如果一個IP一分鐘請求幾千次。需要限制。Nginxlimit_req_zone $binary_remote_addr zonereq_limit:10m rate10r/s;使用location /api/ { limit_req zonereq_limit burst20 nodelay; }效果超過頻率排隊或者拒絕。六、第三步限制連接數量防止一個客戶端建立大量連接。配置limit_conn_zone $binary_remote_addr zoneaddr:10m;使用location / { limit_conn addr 20; }七、第四步禁止訪問敏感文件很多攻擊掃描配置文件。例如.env .git config.php backup.sql禁止location ~ /\.(git|env) { deny all; }八、第五步PHP關閉危險功能查看php -i | grep disable_functions配置disable_functions exec, shell_exec, system, passthru避免WebShell執(zhí)行系統(tǒng)命令。九、第六步上傳文件安全處理很多漏洞來自文件上傳。錯誤move_uploaded_file( $file, upload/.$name );問題用戶可能上傳PHP文件。例如shell.php優(yōu)化限制后綴$allow[ jpg, png, webp ];檢測$ext pathinfo( $file, PATHINFO_EXTENSION ); if(!in_array($ext,$allow)){ exit(禁止上傳); }十、防止上傳目錄執(zhí)行PHP即使上傳也不能執(zhí)行。Nginxlocation /upload { location ~ \.php$ { deny all; } }十一、第七步SQL注入防護危險$sql SELECT * FROM user WHERE id.$id;攻擊?id1 OR 11使用預處理$stmt$pdo-prepare( SELECT * FROM user WHERE id? ); $stmt-execute([$id]);十二、第八步XSS攻擊防護危險echo $_GET[name];攻擊scriptalert(1)/script輸出過濾echo htmlspecialchars( $name, ENT_QUOTES, UTF-8 );十三、第九步CSRF防護場景用戶登錄后臺。攻擊頁面自動提交請求。解決Token。生成$_SESSION[csrf] bin2hex( random_bytes(16) );提交驗證Token。十四、第十步增加安全響應頭Nginxadd_header X-Frame-Options SAMEORIGIN; add_header X-Content-Type-Options nosniff; add_header X-XSS-Protection 1; modeblock;減少瀏覽器攻擊風險。十五、日志分析定位攻擊來源統(tǒng)計IPawk {print $1} access.log | sort | uniq -c | sort -nr查看請求最多IP。分析IP 1.1.1.1 請求 50000次然后結合防火墻處理。十六、使用CDN/WAF進行前置過濾架構用戶 ↓ CDN/WAF ↓ Nginx ↓ PHP攻擊請求在入口過濾。減少服務器壓力。十七、生產環(huán)境常見錯誤1. 只靠PHP判斷攻擊問題請求已經消耗資源。應該前置過濾。2. 上傳目錄直接執(zhí)行PHP風險上傳漏洞。3. 數據庫賬號權限過高錯誤root賬號運行網站應該使用業(yè)務賬號。4. 錯誤日志暴露生產環(huán)境禁止顯示詳細錯誤。配置display_errorsOff log_errorsOn十八、上線前安全檢查清單Nginx? 請求限速? 限制連接? 禁止敏感文件PHP? 關閉危險函數? 輸入過濾? 錯誤隱藏數據庫? 預處理SQL? 最小權限賬號? 定期備份上傳? 文件類型限制? 上傳目錄禁止執(zhí)行PHP十九、優(yōu)化效果優(yōu)化前大量異常請求 ↓ PHP全部處理 ↓ 服務器資源耗盡 ↓ 網站卡頓優(yōu)化后請求進入 ↓ Nginx過濾 ↓ 惡意請求攔截 ↓ PHP處理正常業(yè)務總結PHP網站安全不是只靠代碼。完整防護需要Nginx限流 PHP安全配置 SQL防注入 上傳保護 日志監(jiān)控 CDN/WAF防護線上系統(tǒng)只有建立多層防護才能在面對異常訪問時保持穩(wěn)定。