# 宝塔面板网站遭遇CC攻击怎么防？Nginx防火墙WAF配置与拦截策略指南

> 网站遭遇CC攻击导致CPU 满载或502报错时，应立即在宝塔专业版或企业版中启用「Nginx防火墙（WAF）」。通过开启「增强模式」或「人机验证」拦截高频代理IP请求，配置URL级CC限流保护搜索与登录接口，并结合恶意User-Agent过滤、海外高危地区屏蔽及搜索引擎蜘蛛白名单，即可在不误伤正常访客的前提下快速平息CC攻击。

- 分类: 功能插件
- 发布: 2026-10-25
- 更新: 2026-10-25
- 原文: https://pay.baota.in/article/bt-waf-cc-attack-defense-guide

## 网站遭遇 CC 攻击的典型症状与免费版防御局限

在日常运维中，很多站长会突然发现网站打开极慢，甚至直接弹出 `502 Bad Gateway` 或 `504 Gateway Time-out` 错误。登录宝塔面板查看监控状态时，通常会看到以下典型特征：

1. **CPU 与负载瞬间飙升 全面**：`php-fpm` 和 `mysqld` 进程占满了所有计算资源，导致正常用户的请求无法被处理（延伸阅读：[宝塔面板网站出现 502 Bad Gateway 怎么排查？PHP 并发与日志定位](/article/bt-panel-502-fix-notes)）。
2. **访问日志激增**：站点日志（Access Log）在短时间内暴涨数倍，充斥着大量来自不同代理 IP 的高频请求，往往集中攻击动态页面（如搜索页 `?s=`、登录接口 `wp-login.php` 或 API 接口）。
3. **宝塔免费版基础限流失效**：免费版仅自带 Nginx 基础的 `limit_req` 流量限制。如果把阈值调得太低，稍微点击快一点的正常访客或搜索引擎蜘蛛就会被直接拦截返回 503；如果调得太高，面对成千上万个肉鸡 IP 发起的分布式 CC（Challenge Collapsar）攻击又毫无招架之力。

要真正解决应用层 CC 攻击，必须在 Web 服务器最前端引入具备行为识别能力的 WAF。在宝塔专业版与企业版中，核心插件 **Nginx 防火墙（WAF）** 基于 Lua 模块在 Nginx 层面直接清洗恶意请求，不让垃圾流量穿透到后端的 PHP 和 MySQL，从而实现毫秒级阻断。

| 防御维度 | 宝塔免费版（Nginx 基础限流） | 宝塔专业版 / 企业版（Nginx 防火墙 WAF） |
| :--- | :--- | :--- |
| **CC 拦截机制** | 仅支持简单并发连接与单 IP 速率死板限制 | 支持五秒盾、点击验证、滑动人机验证、浏览器指纹识别 |
| **系统资源消耗** | 容易穿透至 PHP/MySQL，导致 CPU 跑满 | 在 Nginx 内存层直接丢弃或验证，保护后端 PHP 与数据库 |
| **蜘蛛白名单** | 无智能识别，极易误杀百度/Google 蜘蛛 | 内置主流搜索引擎蜘蛛 IP 库与反查校验，保障 SEO 收录 |
| **地域与 UA 封禁** | 需手动编写复杂 Nginx 配置文件 | 可视化一键禁止海外访问、自定义拦截恶意爬虫 User-Agent |
| **恶意 IP 联动封禁** | 仅返回 HTTP 错误码，依然消耗网络握手资源 | 支持联动系统防火墙（iptables/firewalld）直接从网卡层拉黑 |

---

## 如何在宝塔专业版/企业版安装与分步配置 Nginx 防火墙

当服务器具备专业版或企业版授权后，可以按照以下标准流程快速部署 CC 攻击防御体系（更多配置细节可参考：[宝塔企业版/专业版「网站防火墙 WAF」怎么配置 CC 防护与防注入？](/article/bt-waf-firewall-cc-defense-guide)）。

### 步骤 1：安装并启用 Nginx 防火墙插件
1. 登录宝塔面板，进入左侧菜单的 **「软件商店」 → 「专业版插件」**（或「企业版插件」）。
2. 找到 **「Nginx 防火墙」**，点击右侧的安装按钮。插件会自动适配当前 Nginx 环境并加载 Lua 防护模块。
3. 安装完成后打开插件，确保顶部的 **「总开关」** 处于开启状态。

### 步骤 2：调整全局与站点级 CC 防御参数
1. **日常防护配置**：进入插件的 **「全局配置」 → 「CC 防御」**，默认情况下可设置周期为 `60` 秒，最大请求数为 `120` 次，封锁时间为 `600` 秒，防御模式选择「普通模式」。
2. **遭受攻击时的应急配置**：若当前正在遭受猛烈的 CC 攻击，请切入 **「站点配置」**，针对被攻击的域名单独开启 **「CC 防御增强模式」**。
3. **选择验证方式**：在增强模式下，WAF 支持配置「跳转验证（5 秒盾）」、「点击验证」或「滑动验证」。对于海量无头浏览器或脚本发起的 CC 攻击，强制触发人机交互验证能过滤掉绝大多数自动化工具流量。

### 步骤 3：针对动态接口配置 URL 专属 CC 规则
攻击者最喜欢挑消耗数据库性能的页面下手（如 WordPress 搜索、商城订单查询、会员登录）。
1. 在「站点配置」中点击对应的网站设置，切换到 **「URL 规则」 → 「URL 级 CC 防御」**。
2. 添加高危路径正则（例如 `^/search`、`wp-login\.php` 或 `/api/v1/login`）。
3. 设置更严格的阈值：例如在 `30` 秒内超过 `10` 次请求即触发人机验证或直接封锁 IP `1800` 秒。这样既锁死了数据库慢查询漏洞，又不会影响普通访客浏览静态文章页。

### 步骤 4：开启地区访问限制与恶意 UA 过滤
1. **禁止海外访问（针对纯国内业务）**：大多数廉价 CC 攻击代理池集中在海外。如果您的网站仅面向国内用户，可在 WAF 的 **「地区限制」** 中一键勾选拦截海外 IP 访问（仅放行中国大陆及搜索引擎蜘蛛），瞬间即可削减大半攻击源。
2. **封禁异常 User-Agent**：查看插件的 **「封锁历史」** 或通过 [宝塔专业版/企业版「网站监控报表」](/article/bt-monitor-visitors-and-spiders) 提取高频请求特征。将常见的压测工具与恶意采集头（如 `python-requests`、`Go-http-client`、`curl`、`Scrapy`、`Bench` 等）加入 UA 黑名单。

---

## 防护规则验证与防误杀实操技巧

配置完防火墙后，很多站长担心防御过严会影响正常业务或导致网站样式错乱。以下是生产环境必备的防误杀与调优技巧（排查详情可见：[宝塔 Nginx 网站防火墙（专业版/企业版插件）规则配置与误杀排查指南](/article/bt-nginx-waf-config-notes)）：

1. **排除静态资源统计**：一个网页往往包含几十个 CSS、JS 和图片文件。如果静态文件也被计入 CC 请求次数，正常用户打开一个页面就会被封锁。务必在 WAF 全局设置中确认已开启 **「静态文件不计入 CC」**，或使用 CDN 缓存静态资源。
2. **CDN 环境下的真实 IP 识别**：如果网站套用了 Cloudflare、阿里云或腾讯云 CDN，直接获取到的访问 IP 全是 CDN 节点 IP。此时必须在 Nginx 防火墙全局设置中开启 **「使用 HTTP 头部获取真实 IP」**（如 `X-Forwarded-For` 或 `CF-Connecting-IP`），并将 CDN 节点 IP 段加入 WAF 白名单，否则一旦触发拉黑，会导致全站所有用户集体无法访问。
3. **放行第三方支付异步回调與 Webhook**：如果网站接入了微信支付、支付宝回调或外部 API 推送，请将这些接口的固定服务器 IP 或回调 URL 路径（如 `/pay/notify`）加入 **「IP 白名单」** 或 **「URL 白名单」**，避免支付成功后因触发 POST 防护或人机验证导致掉单。
4. **善用系统层联动封禁**：当遇到单 IP 每秒成百上千次暴力请求时，仅在 Nginx 层面返回 403 依然会消耗 TCP 连接。可在 WAF 全局配置中勾选 **「自动调用系统防火墙封禁」**，让恶意 IP 直接在 Linux 内核网卡层被丢弃。

---

## 如何一键开通永久企业版/专业版解锁 WAF 等全部安全插件

Nginx 防火墙（WAF）、网站监控报表属于宝塔专业版及以上版本的核心功能；如果您除了防 CC 攻击外，还需要防范木马植入与暗链篡改，宝塔企业版更进一步包含 **网站防篡改、多云防灾备份、数据同步工具、系统加固、负载均衡** 等全套企业级插件（版本对比详见：[宝塔面板免费版、专业版、企业版有什么区别？](/article/bt-free-vs-enterprise-edition-comparison)）。

在本站（[授权开通首页](/)）可自助开通宝塔永久专业版与企业版授权，涵盖四大主流版本：
- **宝塔 Linux 专业版与企业版**：当前同步版本 `v13.1.0`（更新于 2026-10-01），适配 Ubuntu、Debian、CentOS、AlmaLinux 等。
- **宝塔 Windows 专业版与企业版**：当前同步版本 `v8.5.2`（更新于 2026-08-13），适配 Windows Server。
- **国际英文版 aaPanel PRO**：当前同步版本 `v8.0.7`（更新于 2026-10-20），适合海外与外贸建站。

### 1. 永久授权套餐选择
- **固定 IP 永久授权**：单价 **¥19.99/台**，一次付费无月费，长期绑定所填写的服务器公网 IPv4，适合公网 IP 固定不变的生产服务器。
- **可换 IP 永久授权**：单价 **¥88.88/台**，一次付费无月费。新订单默认支持自助更换 **10** 次 IP，购买时设置 4–12 位换 IP 密码。后续若因机房被大流量 DDOS 封堵需要迁移服务器，可随时在 [自助更换 IP 页面](/change-ip) 即时转移授权。
- **多台批量优惠**：同时输入多台服务器 IP 可享阶梯折扣（2 台 9.5 折、3 台 9 折、4 台 8.5 折、5 台及以上 8 折）。无需注册账号，微信或支付宝扫码付款后系统自动将 IP 写入授权白名单，可在 [订单查询页](/order-query) 实时核验。

### 2. 免费版一行命令无损升级（保留全部网站与数据）
在 [授权开通首页](/) 绑定服务器公网 IP 付款后，**无需重装系统或重新部署网站**，直接通过 SSH 连接服务器执行对应命令即可平滑升级（完整文档见 [安装与升级实操文档](https://baota.in/tutorial.html)）：

- **宝塔 Linux 免费版无损升级企业版/专业版**：
```bash
setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &
```
- **宝塔 Linux 全新安装企业版/专业版**（适用于刚开通的空白服务器）：
```bash
curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh
```
- **宝塔 Windows 专业版/企业版升级**（管理员身份打开 CMD 执行）：
```cmd
wget --no-check-certificate https://baota.in/win/install/panel_update.py -O C:/update.py && "C:\Program Files\python\python.exe" C:/update.py 8.5.2
```
- **aaPanel 免费版无损升级 PRO 版**：
```bash
setsid bash -c "curl -s https://baota.in/install/update_panel_en.sh | bash" &
```

升级脚本执行完毕后，刷新宝塔面板后台，左上角即会显示最新的版本标识（如 Linux `v13.1.0`）及永久企业版/专业版授权状态，此时即可立即前往「软件商店」安装 Nginx 防火墙拦截 CC 攻击。

## 依据与适用范围

- 企业版与专业版核心插件矩阵: 开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
  来源: https://docs.bt.cn/
- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 官方配套安装与无损升级教程文档: 本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
  来源: https://baota.in/tutorial.html
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/
- 免费版、专业版、企业版与 aaPanel PRO 版本定位差异: 宝塔面板分为免费版、专业版与企业版（含 Linux 版、Windows 版）以及国际版 aaPanel PRO：免费版提供基础 LNMP/LAMP 建站环境；专业版解锁 WAF 防火墙与监控报表等进阶插件；企业版涵盖专业版全部能力并进一步开放网站防篡改、多云防灾备份、数据同步工具、负载均衡等企业级安全与运维插件。
  来源: https://www.bt.cn/new/linuxent.html
- 宝塔 Linux 专业版/企业版版本与支持环境: 宝塔 Linux 专业版与企业版当前同步版本为 13.1.0（更新于 2026-10-01），支持 Ubuntu、Debian、CentOS、AlmaLinux、Rocky Linux 等主流 Linux 发行版，安装或升级完成后可在面板首页核对版本号与企业版授权标识。
  来源: https://baota.in/tutorial.html
- 宝塔 Windows 专业版/企业版版本与支持环境: 宝塔 Windows 专业版与企业版当前同步版本为 8.5.2（更新于 2026-08-13），适用于 Windows Server 系统，通过基础面板安装包配合管理员 CMD 升级脚本即可激活使用。
  来源: https://baota.in/tutorial.html
- aaPanel PRO 国际英文版版本与适用场景: aaPanel PRO 版（宝塔国际英文版）当前同步版本为 8.0.7（更新于 2026-10-20），采用全英文界面，适合海外服务器、跨境电商与外贸建站使用。
  来源: https://baota.in/tutorial.html
- 固定 IP 永久授权套餐: 本站固定 IP 永久授权当前单价为 ¥19.99/台，一次付费无月费，绑定所填写的服务器公网 IPv4；适合服务器公网 IP 长期保持不变的建站与生产环境（不包含自助换 IP 权益）。
  来源: https://pay.baota.in/
- 可换 IP 永久授权套餐与换绑规则: 本站可换 IP 永久授权当前单价为 ¥88.88/台，一次付费无月费。新订单默认每个 IP 可自助更换 10 次，购买时设置 4–12 位换 IP 密码，换机或迁移机房时可随时自助迁移绑定 IP；历史订单以原订单记录的剩余额度为准。
  来源: https://pay.baota.in/change-ip
- 多服务器批量开通优惠: 多台服务器同时开通宝塔企业版或专业版授权可享阶梯批量优惠（2 台 9.5 折、3 台 9 折、4 台 8.5 折、5 台及以上 8 折），系统按去重后的不同公网 IP 数量自动计算结算金额。
  来源: https://pay.baota.in/
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html

## 常见问题

### 网站正在被 CC 攻击导致 502，现在从宝塔免费版升级企业版会影响现有网站数据吗？

不会影响。先在本站绑定服务器公网 IPv4 开通授权，再在 SSH 终端执行无损升级命令 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本仅升级面板主程序并同步授权状态，原有的网站文件、MySQL 数据库、SSL 证书及 Nginx 配置均完整保留。升级完成后即可立即安装 Nginx 防火墙开启 CC 增强防御。

### 开启宝塔 Nginx 防火墙的 CC 增强模式后，会影响百度和 Google 蜘蛛抓取收录吗？

不会。宝塔专业版与企业版的 Nginx 防火墙内置了主流搜索引擎（百度、Google、必应、搜狗等）的蜘蛛白名单及 IP 反查机制。当真实搜索引擎爬虫访问网站时，WAF 会自动放行而不会弹出人机验证；同时还能精准识别并拦截伪装成百度蜘蛛 User-Agent 的恶意 CC 攻击流量。

### 网站套了 Cloudflare 或国内 CDN，配置宝塔 WAF 防 CC 时需要注意什么？

使用 CDN 后，直接连接到服务器的 IP 是 CDN 边缘节点。必须在宝塔 Nginx 防火墙的「全局配置」中开启「使用 HTTP 头部获取真实 IP」（即解析 X-Forwarded-For 头），并将所用 CDN 服务商的节点 IP 段添加到 WAF 白名单中，这样 WAF 才能精准封禁真实的攻击者 IP，避免误封 CDN 节点导致全站打不开。

### 如果服务器因攻击过猛需要更换高防机房或新 IP，已开通的永久授权怎么办？

如果您在开通时选择了「可换 IP 永久授权」（¥88.88/台），新订单默认自带 10 次自助换绑额度。更换新服务器后，只需访问本站的「自助更换 IP」页面，输入原绑定 IP、购买时设置的换 IP 密码以及新服务器公网 IPv4，即可即时将企业版/专业版授权迁移至新机器。