使用微信扫一扫
扫一扫关注官方微信 巴西云主机Nginx如何拦截恶意扫描器?
- 来源：纵横数据
- 作者：中横科技
- 时间：2026/10/9 16:57:58
- 类别：新闻资讯
运营面向巴西市场的网站，运维人员几乎都遇到过这样的场景：日志里出现大量来自陌生IP的请求，路径五花八门，从wp-admin到phpmyadmin，从.env到.git，状态码清一色404。这些请求不是真人用户发出来的，而是自动化扫描器在探测服务器上有没有可乘之机。巴西的网络环境有个特点，本地IP段在国际扫描器列表中出现频率很高，加上不少中小站点用的是开源CMS，漏洞特征明显，被扫描的概率自然不低。如果放任不管，轻则日志膨胀消耗磁盘，重则扫描器找到入口直接入侵。今天我们就聊一聊，在巴西云主机的Nginx层面，怎么把这些恶意扫描器挡住。
先看一个真实案例。一位做巴西本地电商的站长，服务器放在圣保罗机房，网站用的是WordPress。某天他发现服务器CPU占用莫名升高，登录后台查看Nginx访问日志，发现从凌晨开始，有一个IP在短短十分钟内请求了上千次，路径全是/wp-admin/、/xmlrpc.php、/.env这些敏感入口。更离谱的是，这个IP的User-Agent写的是“sqlmap/1.6.7”，等于直接告诉服务器“我是扫描工具”。他手动封了那个IP之后，第二天又来了三四个不同的IP，用的UA各不相同，但行为模式完全一样。这就是典型的自动化扫描行为，攻击者手里有成千上万的IP池，手动封禁根本封不过来。
这个案例说明一个核心思路：拦截扫描器不能靠人工封IP，要在Nginx层面建立自动化的识别和阻断机制。而识别扫描器最便宜、最有效的手段，就是看User-Agent。
第一件事，用User-Agent特征做第一层过滤。 绝大多数自动化扫描工具在请求时不会费心伪造UA，它们用的就是工具自带的默认UA字符串。比如sqlmap的UA里带“sqlmap”字样，nikto的UA里带“Nikto”，nmap的HTTP脚本会带“Nmap Scripting Engine”。把这些已知特征整理成正则表达式，在Nginx配置里做匹配，匹配到就直接返回444状态码。444是Nginx特有的响应码，意思是直接关闭连接，不发送任何数据包。相比返回403，444对扫描器来说更“安静”，也节省了服务器发送响应的开销。配置上建议用map指令在http块里统一预编译UA分类变量，比在每个server块里写if效率更高。
第二件事，关注空UA和异常UA。 正规浏览器发出的请求几乎不可能没有User-Agent头。如果一个请求的UA是空的、只有一个横杠、或者短得离谱，那基本可以判定为自动化工具。这类请求应该和已知扫描器UA一样被直接拒绝。还有一种情况是UA看起来像正常浏览器，但请求频率极高且路径规律，比如每秒请求几十次、全部集中在管理后台路径，这种就需要结合限流来处置。
第三件事，用请求速率限制兜底。 不是所有扫描器都会暴露UA，有些会用正常的浏览器UA来伪装。这时候光靠UA匹配就不够了，需要加上速率限制作为第二道防线。Nginx的limit_req模块可以按IP限制请求速率，比如设置单个IP每秒最多5个请求，突发允许10个，超过的直接拒绝。对于登录页面、搜索接口这些容易被针对性扫描的路径，可以把限制调得更严格一些。速率限制的参数需要根据网站的正常访问量来调整，设得太松起不到防护作用，设得太紧可能误伤真实用户。
第四件事，从日志里发现漏网之鱼。 拦截规则不可能一开始就覆盖所有扫描器，需要定期看日志来完善。一个简单有效的方法是统计触发404最多的IP和路径。扫描器在探测漏洞时会产生大量404，正常用户很少会连续访问不存在的路径。用命令行快速统计：提取日志里的IP和状态码，筛选404，按IP计数排序，就能找出正在扫描的源头。如果某个IP在短时间内产生了大量404，就可以把它的特征加入到拦截规则里。另外，路径特征也是重要线索，比如请求里包含“../”、“/etc/passwd”、“union select”这些字符串的，基本都是攻击行为，可以在Nginx层面直接返回444。
第五件事，用deny指令封禁确认恶意的IP段。 对于已经确认的恶意来源，比如某个IP段反复出现扫描行为，可以在Nginx配置里用deny指令直接封禁整个网段。格式是deny 203.0.113.0/24，表示拒绝这个网段的所有访问。需要注意的是，如果你的网站前面有CDN或者反向代理，日志里记录的可能是代理IP而不是真实客户端IP，这时候需要配置set_real_ip_from和real_ip_header，让Nginx从X-Forwarded-For头里提取真实IP，否则deny指令封的可能是CDN节点，导致正常用户也无法访问。
总结一下，巴西云主机上Nginx拦截恶意扫描器，核心是三层防护：UA特征过滤负责识别已知工具，速率限制负责兜底伪装流量，日志分析负责持续优化规则。UA过滤是成本最低、见效最快的手段，但不要指望它挡住所有扫描器。速率限制能拦住高频探测，但对低速扫描效果有限。两者结合，再配合定期的日志复盘，就能把绝大多数自动化扫描行为挡在门外。扫描器本质上是广撒网找软柿子，你的服务器越难扫，它越倾向于换个目标。
纵横云服务器租赁，欢迎随时联系，客服联系方式：QQ3494196421，手机微信19906048601。
