网站遭遇 CC 攻击的典型症状与免费版防御局限
在日常运维中，很多站长会突然发现网站打开极慢，甚至直接弹出 502 Bad Gateway 或 504 Gateway Time-out 错误。登录宝塔面板查看监控状态时，通常会看到以下典型特征：
- CPU 与负载瞬间飙升 全面：
php-fpm和mysqld进程占满了所有计算资源，导致正常用户的请求无法被处理（延伸阅读：宝塔面板网站出现 502 Bad Gateway 怎么排查？PHP 并发与日志定位）。 - 访问日志激增：站点日志（Access Log）在短时间内暴涨数倍，充斥着大量来自不同代理 IP 的高频请求，往往集中攻击动态页面（如搜索页
?s=、登录接口wp-login.php或 API 接口）。 - 宝塔免费版基础限流失效：免费版仅自带 Nginx 基础的
limit_req流量限制。如果把阈值调得太低，稍微点击快一点的正常访客或搜索引擎蜘蛛就会被直接拦截返回 503；如果调得太高，面对成千上万个肉鸡 IP 发起的分布式 CC（Challenge Collapsar）攻击又毫无招架之力。
要真正解决应用层 CC 攻击，必须在 Web 服务器最前端引入具备行为识别能力的 WAF。在宝塔专业版与企业版中，核心插件 Nginx 防火墙（WAF） 基于 Lua 模块在 Nginx 层面直接清洗恶意请求，不让垃圾流量穿透到后端的 PHP 和 MySQL，从而实现毫秒级阻断。
| 防御维度 | 宝塔免费版（Nginx 基础限流） | 宝塔专业版 / 企业版（Nginx 防火墙 WAF） |
|---|---|---|
| CC 拦截机制 | 仅支持简单并发连接与单 IP 速率死板限制 | 支持五秒盾、点击验证、滑动人机验证、浏览器指纹识别 |
| 系统资源消耗 | 容易穿透至 PHP/MySQL，导致 CPU 跑满 | 在 Nginx 内存层直接丢弃或验证，保护后端 PHP 与数据库 |
| 蜘蛛白名单 | 无智能识别，极易误杀百度/Google 蜘蛛 | 内置主流搜索引擎蜘蛛 IP 库与反查校验，保障 SEO 收录 |
| 地域与 UA 封禁 | 需手动编写复杂 Nginx 配置文件 | 可视化一键禁止海外访问、自定义拦截恶意爬虫 User-Agent |
| 恶意 IP 联动封禁 | 仅返回 HTTP 错误码，依然消耗网络握手资源 | 支持联动系统防火墙（iptables/firewalld）直接从网卡层拉黑 |
如何在宝塔专业版/企业版安装与分步配置 Nginx 防火墙
当服务器具备专业版或企业版授权后，可以按照以下标准流程快速部署 CC 攻击防御体系（更多配置细节可参考：宝塔企业版/专业版「网站防火墙 WAF」怎么配置 CC 防护与防注入？）。
步骤 1：安装并启用 Nginx 防火墙插件
- 登录宝塔面板，进入左侧菜单的 「软件商店」 → 「专业版插件」（或「企业版插件」）。
- 找到 「Nginx 防火墙」，点击右侧的安装按钮。插件会自动适配当前 Nginx 环境并加载 Lua 防护模块。
- 安装完成后打开插件，确保顶部的 「总开关」 处于开启状态。
步骤 2：调整全局与站点级 CC 防御参数
- 日常防护配置：进入插件的 「全局配置」 → 「CC 防御」，默认情况下可设置周期为
60秒，最大请求数为120次，封锁时间为600秒，防御模式选择「普通模式」。 - 遭受攻击时的应急配置：若当前正在遭受猛烈的 CC 攻击，请切入 「站点配置」，针对被攻击的域名单独开启 「CC 防御增强模式」。
- 选择验证方式：在增强模式下，WAF 支持配置「跳转验证（5 秒盾）」、「点击验证」或「滑动验证」。对于海量无头浏览器或脚本发起的 CC 攻击，强制触发人机交互验证能过滤掉绝大多数自动化工具流量。
步骤 3：针对动态接口配置 URL 专属 CC 规则
攻击者最喜欢挑消耗数据库性能的页面下手（如 WordPress 搜索、商城订单查询、会员登录）。
- 在「站点配置」中点击对应的网站设置，切换到 「URL 规则」 → 「URL 级 CC 防御」。
- 添加高危路径正则（例如
^/search、wp-login\.php或/api/v1/login）。 - 设置更严格的阈值：例如在
30秒内超过10次请求即触发人机验证或直接封锁 IP1800秒。这样既锁死了数据库慢查询漏洞，又不会影响普通访客浏览静态文章页。
步骤 4：开启地区访问限制与恶意 UA 过滤
- 禁止海外访问（针对纯国内业务）：大多数廉价 CC 攻击代理池集中在海外。如果您的网站仅面向国内用户，可在 WAF 的 「地区限制」 中一键勾选拦截海外 IP 访问（仅放行中国大陆及搜索引擎蜘蛛），瞬间即可削减大半攻击源。
- 封禁异常 User-Agent：查看插件的 「封锁历史」 或通过 宝塔专业版/企业版「网站监控报表」 提取高频请求特征。将常见的压测工具与恶意采集头（如
python-requests、Go-http-client、curl、Scrapy、Bench等）加入 UA 黑名单。
防护规则验证与防误杀实操技巧
配置完防火墙后，很多站长担心防御过严会影响正常业务或导致网站样式错乱。以下是生产环境必备的防误杀与调优技巧（排查详情可见：宝塔 Nginx 网站防火墙（专业版/企业版插件）规则配置与误杀排查指南）：
- 排除静态资源统计：一个网页往往包含几十个 CSS、JS 和图片文件。如果静态文件也被计入 CC 请求次数，正常用户打开一个页面就会被封锁。务必在 WAF 全局设置中确认已开启 「静态文件不计入 CC」，或使用 CDN 缓存静态资源。
- CDN 环境下的真实 IP 识别：如果网站套用了 Cloudflare、阿里云或腾讯云 CDN，直接获取到的访问 IP 全是 CDN 节点 IP。此时必须在 Nginx 防火墙全局设置中开启 「使用 HTTP 头部获取真实 IP」（如
X-Forwarded-For或CF-Connecting-IP），并将 CDN 节点 IP 段加入 WAF 白名单，否则一旦触发拉黑，会导致全站所有用户集体无法访问。 - 放行第三方支付异步回调與 Webhook：如果网站接入了微信支付、支付宝回调或外部 API 推送，请将这些接口的固定服务器 IP 或回调 URL 路径（如
/pay/notify）加入 「IP 白名单」 或 「URL 白名单」，避免支付成功后因触发 POST 防护或人机验证导致掉单。 - 善用系统层联动封禁：当遇到单 IP 每秒成百上千次暴力请求时，仅在 Nginx 层面返回 403 依然会消耗 TCP 连接。可在 WAF 全局配置中勾选 「自动调用系统防火墙封禁」，让恶意 IP 直接在 Linux 内核网卡层被丢弃。
如何一键开通永久企业版/专业版解锁 WAF 等全部安全插件
Nginx 防火墙（WAF）、网站监控报表属于宝塔专业版及以上版本的核心功能；如果您除了防 CC 攻击外，还需要防范木马植入与暗链篡改，宝塔企业版更进一步包含 网站防篡改、多云防灾备份、数据同步工具、系统加固、负载均衡 等全套企业级插件（版本对比详见：宝塔面板免费版、专业版、企业版有什么区别？）。
在本站（授权开通首页）可自助开通宝塔永久专业版与企业版授权，涵盖四大主流版本：
- 宝塔 Linux 专业版与企业版：当前同步版本
v13.1.0（更新于 2026-10-01），适配 Ubuntu、Debian、CentOS、AlmaLinux 等。 - 宝塔 Windows 专业版与企业版：当前同步版本
v8.5.2（更新于 2026-08-13），适配 Windows Server。 - 国际英文版 aaPanel PRO：当前同步版本
v8.0.7（更新于 2026-10-20），适合海外与外贸建站。
1. 永久授权套餐选择
- 固定 IP 永久授权：单价 ¥19.99/台，一次付费无月费，长期绑定所填写的服务器公网 IPv4，适合公网 IP 固定不变的生产服务器。
- 可换 IP 永久授权：单价 ¥88.88/台，一次付费无月费。新订单默认支持自助更换 10 次 IP，购买时设置 4–12 位换 IP 密码。后续若因机房被大流量 DDOS 封堵需要迁移服务器，可随时在 自助更换 IP 页面 即时转移授权。
- 多台批量优惠：同时输入多台服务器 IP 可享阶梯折扣（2 台 9.5 折、3 台 9 折、4 台 8.5 折、5 台及以上 8 折）。无需注册账号，微信或支付宝扫码付款后系统自动将 IP 写入授权白名单，可在 订单查询页 实时核验。
2. 免费版一行命令无损升级（保留全部网站与数据）
在 授权开通首页 绑定服务器公网 IP 付款后，无需重装系统或重新部署网站，直接通过 SSH 连接服务器执行对应命令即可平滑升级（完整文档见 安装与升级实操文档）：
- 宝塔 Linux 免费版无损升级企业版/专业版：
SSH 终端命令 (Bash)
setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &- 宝塔 Linux 全新安装企业版/专业版（适用于刚开通的空白服务器）：
SSH 终端命令 (Bash)
curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh- 宝塔 Windows 专业版/企业版升级（管理员身份打开 CMD 执行）：
管理员 CMD 命令 (Windows)
wget --no-check-certificate https://baota.in/win/install/panel_update.py -O C:/update.py && "C:\Program Files\python\python.exe" C:/update.py 8.5.2- aaPanel 免费版无损升级 PRO 版：
SSH 终端命令 (Bash)
setsid bash -c "curl -s https://baota.in/install/update_panel_en.sh | bash" &升级脚本执行完毕后，刷新宝塔面板后台，左上角即会显示最新的版本标识（如 Linux v13.1.0）及永久企业版/专业版授权状态，此时即可立即前往「软件商店」安装 Nginx 防火墙拦截 CC 攻击。