# 宝塔面板网站频繁被CC攻击打挂怎么彻底防御？

> 针对高并发CC攻击与恶意爬虫导致网站502或CPU跑满的问题，仅靠Nginx自带限流难以识别伪造请求。最直接有效的方案是启用宝塔专业版/企业版自带的“Nginx防火墙(WAF)”，开启增强型CC防御与人机验证，一键精准拦截恶意流量并保障正常访客访问。

- 分类: 功能插件
- 发布: 2026-10-25
- 更新: 2026-10-25
- 原文: https://pay.baota.in/article/bt-waf-cc-attack-defense-setup

## 为什么高并发 CC 攻击会让宝塔网站瞬间 502 崩溃？

在日常建站与服务器运维中，许多站长会突然遇到服务器负载飙升至 全面、MySQL 数据库连接池耗尽、PHP-FPM 进程卡死，前台网页直接返回 `502 Bad Gateway` 或 `504 Gateway Time-out` 的情况。如果排查带宽占用并不高，但这台服务器却完全无法响应正常访客请求，通常说明站点正在遭遇高并发 **CC 攻击（Challenge Collapsar）** 或大规模恶意爬虫抓取。

与消耗机房物理带宽的 DDoS 流量攻击不同，CC 攻击属于应用层（HTTP/HTTPS 七层）攻击。攻击者利用大量代理 IP 池或肉鸡，高频次请求网站中极耗费算力的动态页面（如搜索接口、登录鉴权页、未做静态缓存的分类列表页）。

如果仅依赖宝塔免费版 Nginx 自带的简单并发限制（`limit_conn` / `limit_req`），往往面临以下局限：

1. **难以识别慢速与代理池轮询攻击**：攻击者将单 IP 请求频率控制在阈值以下，通过成千上万个代理 IP 轮番请求动态接口，普通限流规则形同虚设。
2. **误封正常访客与搜索引擎蜘蛛**：调低 Nginx 并发阈值后，静态资源加载或同一局域网出口的真实用户极易被直接返回 503 报错，甚至误杀百度、Google 等搜索引擎爬虫。
3. **无法进行 JS 跳转与人机交互挑战**：基础配置缺乏应用层会话校验能力，无法区分“真实浏览器渲染”与“无头脚本伪造请求”。

要从根源上拦截恶意并发请求，最直接有效的方案是启用宝塔专业版与企业版核心插件——**网站防火墙（Nginx/Apache WAF）**，在 Web 服务器最前端将恶意 CC 流量直接过滤，避免请求穿透到后端的 PHP 与 MySQL。

---

## 如何在宝塔企业版/专业版安装与分步配置 WAF 防御 CC 攻击？

开通宝塔专业版或企业版授权（当前宝塔 Linux 版本为 v13.1.0，Windows 版本为 v8.5.2，国际版 aaPanel PRO 为 v8.0.7）后，可按以下标准步骤部署并调优 CC 防护策略：

### 第一步：安装并启用 Nginx/Apache 网站防火墙

1. 登录宝塔面板后台，进入左侧菜单的 **「软件商店」**。
2. 切换至 **「专业版插件」** 或 **「企业版插件」** 标签页，找到 **「Nginx防火墙」**（若使用 Apache 环境则选择 Apache 防火墙）并点击安装。
3. 安装完成后，打开防火墙主界面，确认「全局开关」及目标站点的「站点防护」均处于开启状态。

### 第二步：分级配置 CC 防御规则与模式

在防火墙的 **「站点配置」→「CC防御」** 设置中，建议根据网站当前遭受攻击的烈度，选择合适的防护等级与触发阈值：

| 防护模式 | 核心拦截机制 | 适用场景建议 | 推荐阈值参考（周期/频率/封锁时间） |
| :--- | :--- | :--- | :--- |
| **普通模式** | 基于单 IP 在指定时间窗口内的请求次数进行统计与封锁 | 日常平稳运行期、防基础采集器与低频扫描 | 60 秒内请求超过 120 次，封锁 300 秒 |
| **增强模式** | 引入浏览器 Cookie / JS 跳转验证或验证码挑战，过滤无头脚本 | 正在遭受中等规模代理池 CC 攻击、CPU 负载明显异常 | 60 秒内请求超过 60 次，封锁 600 秒 |
| **强力模式 / 穿盾防御** | 对所有新会话强制执行人机验证或滑块挑战，验证通过后放行 | 遭遇高强度穿盾 CC 攻击、PHP 频繁 502 假死急救期 | 30 秒内请求超过 30 次，封锁 1800 秒 |

### 第三步：针对高危动态接口配置 URL 专属 CC 规则

整站开启强力验证可能会影响普通访客的首屏体验。更精细的做法是结合 [网站监控报表插件](/article/bt-monitor-visitors-and-spiders) 或面板日志，定位出被高频攻击的具体路径（例如 `/search.php`、`/wp-login.php`、`/api/query`），然后在 WAF 的 **「自定义规则 → URL 专属 CC 防御」** 中单独为这些高消耗接口设置严苛阈值（例如 60 秒内仅允许请求 10 次并开启强制人机验证），从而兼顾全站访问流畅度与核心接口安全。

### 第四步：启用地域限制与海外 IP 拦截（按需配置）

如果您的业务仅面向国内用户，而攻击源大多来自海外廉价代理节点，可在宝塔网站防火墙的 **「地区限制」** 模块中一键添加规则，禁止海外地区或特定高危国家 IP 访问目标站点，瞬间削减 80% 以上的境外肉鸡扫描流量。

---

## 规则验证、套用 CDN 真实 IP 获取与防误杀技巧

在实战开启高强度 CC 防御后，站长还需要做好以下三项关键核查，确保防护精准且不误伤正常业务（更多细节可参考 [宝塔 Nginx 网站防火墙规则配置与误杀排查指南](/article/bt-nginx-waf-config-notes)）：

1. **开启 CDN 后的真实访客 IP 识别**：
   如果网站前端接入了 Cloudflare、阿里云或腾讯云等 CDN 加速，必须在宝塔 WAF 全局设置中开启 **「使用 CDN」** 选项（从 HTTP Header 如 `X-Forwarded-For` 或 `CF-Connecting-IP` 中提取真实 IP）。否则防火墙会将所有流量识别为 CDN 节点 IP，一旦触发 CC 规则就会直接封禁 CDN 节点，导致全站正常用户无法访问。
2. **搜索引擎爬虫白名单保护**：
   宝塔企业版/专业版 WAF 内置了主流搜索引擎（百度、Google、必应、搜狗等）的蜘蛛 IP 库白名单。切勿随意清空系统默认白名单，以免在开启增强型 CC 防御时将正常抓取网页的搜索引擎蜘蛛拦截，影响网站 SEO 收录。
3. **第三方支付回调与 API 接口加白**：
   如果网站包含微信支付、支付宝异步回调接口（Notify URL）或小程序后端 API，由于第三方服务器回调无法完成浏览器的 JS 人机验证，务必将这些回调 URL 路径或服务端 IP 加入 WAF **「URL 白名单」** 或 **「IP 白名单」**，防止掉单。
4. **结合 502 故障排查优化后端并发**：
   拦截恶意流量后，若高峰期仍有偶发卡顿，可配合 [宝塔面板网站 502 Bad Gateway 排查指南](/article/bt-panel-502-fix-notes) 适当调优 PHP-FPM 进程数与开启 Redis/Memcached 对象缓存。

---

## 如何一键开通永久企业版/专业版解锁 WAF 防火墙与全部安全插件？

当服务器正在遭受 CC 攻击或恶意扫描时，时间就是业务生命线。您无需重装操作系统或迁移网站数据，直接在本站（[授权开通首页](/)）绑定服务器公网 IPv4 即可在线解锁宝塔永久专业版与企业版全部防线的插件能力（除 WAF 外，企业版还包含 [网站防篡改](/article/bt-tamper-proof-security-configuration)、[系统加固](/article/bt-enterprise-system-hardening-plugin-guide)、[WebShell 木马查杀](/article/bt-php-security-webshell-defense) 与多云容灾备份等，完整对比见 [免费版、专业版与企业版区别选型](/article/bt-free-vs-enterprise-edition-comparison)）。

### 1. 选择适合的永久授权套餐

本站提供两种一次付费、无月费的永久授权方案，支持微信与支付宝扫码即时自动激活：

* **固定 IP 永久授权（¥19.99/台）**：绑定当前填写的服务器公网 IPv4，适合公网 IP 长期固定不变的生产环境。
* **可换 IP 永久授权（¥88.88/台）**：新订单默认包含 **10 次** 自助换 IP 额度，购买时设置 4–12 位换 IP 密码；后续更换机房或迁移高防服务器时，可随时在 [自助更换 IP 页面](/change-ip) 凭密码即时迁移授权。
* **多台服务器批量优惠**：同时输入多台不同公网 IP 开通，系统自动按阶梯折扣结算（2 台 9.5 折、3 台 9 折、4 台 8.5 折、5 台及以上 8 折）。

### 2. 免重装一键无损升级与全新安装命令

在首页完成 IP 绑定并付款后（可在 [订单查询页](/order-query) 实时核对白名单状态），根据您的服务器操作系统执行对应命令即可激活（完整图文说明参见 [官方配套安装与升级文档](https://baota.in/tutorial.html)）：

* **宝塔 Linux 免费版无损升级企业版/专业版（推荐，保留全部网站与数据）**：
  通过 SSH 终端连接服务器，直接执行以下升级命令：
  ```bash
  setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &
  ```
* **宝塔 Linux 专业版/企业版全新安装**：
  ```bash
  curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh
  ```
* **宝塔 Windows 专业版/企业版安装与升级（当前版本 v8.5.2）**：
  先运行 `BtSoft.exe` 安装基础面板，再以管理员身份打开 CMD 执行：
  ```cmd
  wget --no-check-certificate https://baota.in/win/install/panel_update.py -O C:/update.py && "C:\Program Files\python\python.exe" C:/update.py 8.5.2
  ```
* **国际英文版 aaPanel 免费版无损升级 PRO 版（当前版本 v8.0.7）**：
  ```bash
  setsid bash -c "curl -s https://baota.in/install/update_panel_en.sh | bash" &
  ```

脚本执行完毕后，刷新宝塔面板左上角状态栏即可看到版本已同步为最新企业版/专业版（如 Linux v13.1.0），随后直接前往「软件商店」安装 Nginx 网站防火墙并开启增强型 CC 防御，即可快速恢复网站正常访问。

## 依据与适用范围

- 企业版与专业版核心插件矩阵: 开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
  来源: https://docs.bt.cn/
- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 官方配套安装与无损升级教程文档: 本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
  来源: https://baota.in/tutorial.html
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/
- 免费版、专业版、企业版与 aaPanel PRO 版本定位差异: 宝塔面板分为免费版、专业版与企业版（含 Linux 版、Windows 版）以及国际版 aaPanel PRO：免费版提供基础 LNMP/LAMP 建站环境；专业版解锁 WAF 防火墙与监控报表等进阶插件；企业版涵盖专业版全部能力并进一步开放网站防篡改、多云防灾备份、数据同步工具、负载均衡等企业级安全与运维插件。
  来源: https://www.bt.cn/new/linuxent.html
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html
- 宝塔 Linux 专业版/企业版全新安装命令: 宝塔 Linux 专业版/企业版全新安装：先在本站绑定服务器公网 IP 开通授权，再通过 SSH 连接服务器（root 权限）执行 `curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh`，安装完成后在云安全组放行面板端口并用输出的完整安全入口地址登录。
  来源: https://baota.in/tutorial.html
- 宝塔 Windows 专业版/企业版安装与升级命令: 宝塔 Windows 专业版/企业版安装与升级：远程桌面进入 Windows 服务器（新装先运行 BtSoft.exe 安装基础面板），以管理员身份打开 CMD 执行 `wget --no-check-certificate https://baota.in/win/install/panel_update.py -O C:/update.py && "C:\Program Files\python\python.exe" C:/update.py 8.5.2`，命令末尾参数与当前版本 8.5.2 保持一致。
  来源: https://baota.in/tutorial.html
- aaPanel PRO 升级命令: aaPanel 免费版无损升级 PRO 版：在已安装 aaPanel 的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update_panel_en.sh | bash" &`，升级完成后重新登录面板即可解锁 PRO 版插件。
  来源: https://baota.in/tutorial.html
- 固定 IP 永久授权套餐: 本站固定 IP 永久授权当前单价为 ¥19.99/台，一次付费无月费，绑定所填写的服务器公网 IPv4；适合服务器公网 IP 长期保持不变的建站与生产环境（不包含自助换 IP 权益）。
  来源: https://pay.baota.in/
- 可换 IP 永久授权套餐与换绑规则: 本站可换 IP 永久授权当前单价为 ¥88.88/台，一次付费无月费。新订单默认每个 IP 可自助更换 10 次，购买时设置 4–12 位换 IP 密码，换机或迁移机房时可随时自助迁移绑定 IP；历史订单以原订单记录的剩余额度为准。
  来源: https://pay.baota.in/change-ip
- 更换服务器与授权 IP 自助迁移: 服务器迁移或更换机房时，可换 IP 授权订单可在自助更换页面凭原绑定 IP、换 IP 密码和新服务器公网 IPv4 即时迁移授权（在订单剩余次数额度内）。授权 IP 更换后，网站文件、数据库与 SSL 证书可配合宝塔一键迁移或备份恢复工具完成搬迁。
  来源: https://pay.baota.in/change-ip

## 常见问题

### 网站正在被 CC 攻击打死，从宝塔免费版升级到企业版需要重装系统吗？会影响现有网站吗？

不需要重装系统或面板。在本站绑定服务器公网 IP 开通授权后，只需在 Linux SSH 终端执行一行无损升级命令 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本会在后台平滑升级至企业版/专业版（当前版本 v13.1.0），原有网站文件、数据库、SSL 证书与 Nginx 配置均完整保留，升级后即可立即安装 WAF 防火墙拦截攻击。

### 开启宝塔 Nginx 防火墙的增强 CC 防御后，为什么所有正常访客都被封禁了？

这种情况通常是因为您的网站前端套用了 CDN（如 Cloudflare、阿里云 CDN 等），但未在宝塔 WAF 中开启「CDN 模式」。未开启时，防火墙会把 CDN 边缘节点的回源 IP 当作访客 IP，从而触发高频阈值将 CDN 节点封锁。只需在宝塔 Nginx 防火墙全局设置中勾选「站点使用了 CDN」，即可正确解析真实访客 IP。

### 宝塔 WAF 防火墙能防御所有类型的 DDoS 和 CC 攻击吗？

宝塔 WAF（Nginx/Apache 网站防火墙）工作在应用层（HTTP/HTTPS 七层），专门针对消耗 CPU、PHP 与数据库连接池的 CC 攻击、恶意爬虫、SQL 注入及 XSS 跨站攻击进行精准识别与人机验证拦截。但如果攻击者发起的是直接塞满机房物理带宽的超大流量层（L3/L4 SYN Flood、UDP Flood）DDoS 攻击，则需要配合云厂商的高防 IP 或 CDN 流量清洗服务共同防御。

### 如果后期因为被攻击更换了高防服务器，已经开通的宝塔永久授权可以转移到新 IP 吗？

如果您在开通时选择的是「可换 IP 永久授权」（¥88.88/台），新订单默认自带 10 次自助更换 IP 额度。更换新服务器后，只需访问本站的「更换 IP」页面，输入原绑定 IP、购买时设置的换 IP 密码以及新服务器公网 IPv4，即可即时将企业版/专业版授权迁移至新服务器（固定 IP 套餐 ¥19.99/台 不包含换绑权益）。