一、問題背景網(wǎng)站訪問正常但服務(wù)器壓力突然升高最近維護(hù)一個 PHP 內(nèi)容管理系統(tǒng)運(yùn)維發(fā)現(xiàn)網(wǎng)站沒有明顯業(yè)務(wù)增長但是服務(wù)器請求量突然增加。監(jiān)控服務(wù)器 CPU90% 內(nèi)存正常 訪問量 平時 5000次/小時 異常 20萬次/小時用戶訪問首頁 偶爾打不開 后臺 登錄緩慢二、問題定位發(fā)現(xiàn)大量異常URL請求查看 Nginx access.logtail -f /var/log/nginx/access.log發(fā)現(xiàn)GET /admin/login.php GET /wp-login.php GET /config.php GET /api/test.php大量重復(fù)訪問。特點(diǎn)請求路徑不存在IP數(shù)量很多請求頻率異常三、為什么惡意請求會影響PHP很多 PHP 項(xiàng)目所有請求都會進(jìn)入程序。流程用戶請求 ↓ Nginx ↓ index.php ↓ PHP初始化 ↓ 數(shù)據(jù)庫連接 ↓ 返回404即使頁面不存在也消耗PHP進(jìn)程CPU數(shù)據(jù)庫連接四、第一步靜態(tài)錯誤請求不要進(jìn)入PHP錯誤架構(gòu)不存在文件 ↓ PHP處理 ↓ 返回404優(yōu)化Nginx直接處理。配置location / { try_files $uri $uri/ /index.php?$query_string; }效果真實(shí)文件直接返回。不存在統(tǒng)一處理。五、第二步限制單IP訪問頻率如果一個IP一分鐘請求幾千次。需要限制。Nginxlimit_req_zone $binary_remote_addr zonereq_limit:10m rate10r/s;使用location /api/ { limit_req zonereq_limit burst20 nodelay; }效果超過頻率排隊(duì)或者拒絕。六、第三步限制連接數(shù)量防止一個客戶端建立大量連接。配置limit_conn_zone $binary_remote_addr zoneaddr:10m;使用location / { limit_conn addr 20; }七、第四步禁止訪問敏感文件很多攻擊掃描配置文件。例如.env .git config.php backup.sql禁止location ~ /\.(git|env) { deny all; }八、第五步PHP關(guān)閉危險功能查看php -i | grep disable_functions配置disable_functions exec, shell_exec, system, passthru避免WebShell執(zhí)行系統(tǒng)命令。九、第六步上傳文件安全處理很多漏洞來自文件上傳。錯誤move_uploaded_file( $file, upload/.$name );問題用戶可能上傳PHP文件。例如shell.php優(yōu)化限制后綴$allow[ jpg, png, webp ];檢測$ext pathinfo( $file, PATHINFO_EXTENSION ); if(!in_array($ext,$allow)){ exit(禁止上傳); }十、防止上傳目錄執(zhí)行PHP即使上傳也不能執(zhí)行。Nginxlocation /upload { location ~ \.php$ { deny all; } }十一、第七步SQL注入防護(hù)危險$sql SELECT * FROM user WHERE id.$id;攻擊?id1 OR 11使用預(yù)處理$stmt$pdo-prepare( SELECT * FROM user WHERE id? ); $stmt-execute([$id]);十二、第八步XSS攻擊防護(hù)危險echo $_GET[name];攻擊scriptalert(1)/script輸出過濾echo htmlspecialchars( $name, ENT_QUOTES, UTF-8 );十三、第九步CSRF防護(hù)場景用戶登錄后臺。攻擊頁面自動提交請求。解決Token。生成$_SESSION[csrf] bin2hex( random_bytes(16) );提交驗(yàn)證Token。十四、第十步增加安全響應(yīng)頭Nginxadd_header X-Frame-Options SAMEORIGIN; add_header X-Content-Type-Options nosniff; add_header X-XSS-Protection 1; modeblock;減少瀏覽器攻擊風(fēng)險。十五、日志分析定位攻擊來源統(tǒng)計IPawk {print $1} access.log | sort | uniq -c | sort -nr查看請求最多IP。分析IP 1.1.1.1 請求 50000次然后結(jié)合防火墻處理。十六、使用CDN/WAF進(jìn)行前置過濾架構(gòu)用戶 ↓ CDN/WAF ↓ Nginx ↓ PHP攻擊請求在入口過濾。減少服務(wù)器壓力。十七、生產(chǎn)環(huán)境常見錯誤1. 只靠PHP判斷攻擊問題請求已經(jīng)消耗資源。應(yīng)該前置過濾。2. 上傳目錄直接執(zhí)行PHP風(fēng)險上傳漏洞。3. 數(shù)據(jù)庫賬號權(quán)限過高錯誤root賬號運(yùn)行網(wǎng)站應(yīng)該使用業(yè)務(wù)賬號。4. 錯誤日志暴露生產(chǎn)環(huán)境禁止顯示詳細(xì)錯誤。配置display_errorsOff log_errorsOn十八、上線前安全檢查清單Nginx? 請求限速? 限制連接? 禁止敏感文件PHP? 關(guān)閉危險函數(shù)? 輸入過濾? 錯誤隱藏數(shù)據(jù)庫? 預(yù)處理SQL? 最小權(quán)限賬號? 定期備份上傳? 文件類型限制? 上傳目錄禁止執(zhí)行PHP十九、優(yōu)化效果優(yōu)化前大量異常請求 ↓ PHP全部處理 ↓ 服務(wù)器資源耗盡 ↓ 網(wǎng)站卡頓優(yōu)化后請求進(jìn)入 ↓ Nginx過濾 ↓ 惡意請求攔截 ↓ PHP處理正常業(yè)務(wù)總結(jié)PHP網(wǎng)站安全不是只靠代碼。完整防護(hù)需要Nginx限流 PHP安全配置 SQL防注入 上傳保護(hù) 日志監(jiān)控 CDN/WAF防護(hù)線上系統(tǒng)只有建立多層防護(hù)才能在面對異常訪問時保持穩(wěn)定。