$ body_bytes_sent 是识别静态资源异常攻击最有效的切入点——它精确反映响应体原始字节数，不包含响应头，能真实体现带宽消耗量。配合 $request_uri、$http_user_agent 和 $http_referer 等字段，可快速区分合法下载与恶意刷取。确保 log_format 包含关键长度与上下文变量，默认 combined 格式不记录 $body_bytes_sent，必须显式定义日志格式：log_format static_attack '$remote_addr $http_x_forwarded_for [$time_local] "$request_method $request_uri $server_protocol" $status $body_bytes_sent "$http_referer" "$http_user_agent"';access_log /var/log/nginx/static-attack.log static_attack;关键点：$body_bytes_sent 是核心指标，单位为字节，值越大说明单次响应传输的数据越多；保留 $http_x_forwarded_for 避免代理层丢失真实源 ip；$request_uri 用于识别路径后缀（如 .mp4、.zip），便于后续按资源类型过滤；$http_referer 和 $http_user_agent 是判断盗链或脚本行为的关键依据。用日志工具快速定位“带宽攻击源”：不依赖人工翻查，用命令行聚合分析近 24 小时高耗资源：# 提取所有成功返回的大文件请求（状态码 2xx，且后缀为典型大
直接看 $body_bytes_sent 是识别静态资源异常攻击最有效的切入点——它精确反映响应体原始字节数，不包含响应头，能真实体现带宽消耗量。配合 $request_uri、$http_user_agent 和 $http_referer 等字段，可快速区分合法下载与恶意刷取。
确保 log_format 包含关键长度与上下文变量
默认 combined 格式不记录 $body_bytes_sent，必须显式定义日志格式：
log_format static_attack '$remote_addr $http_x_forwarded_for [$time_local] '
'"$request_method $request_uri $server_protocol" '
'$status $body_bytes_sent "$http_referer" "$http_user_agent"';
access_log /var/log/nginx/static-attack.log static_attack;
关键点：
-
$body_bytes_sent是核心指标，单位为字节，值越大说明单次响应传输的数据越多 - 保留
$http_x_forwarded_for避免代理层丢失真实源 IP -
$request_uri用于识别路径后缀（如.mp4、.zip），便于后续按资源类型过滤 -
$http_referer和$http_user_agent是判断盗链或脚本行为的关键依据
用日志工具快速定位“带宽攻击源”
不依赖人工翻查，用命令行聚合分析近 24 小时高耗资源：
# 提取所有成功返回的大文件请求（状态码 2xx，且后缀为典型大资源）
zcat /var/log/nginx/access.log.*.gz 2>/dev/null | cat - /var/log/nginx/access.log | \
awk '$10 > 0 && $5 ~ /^2/ {
if ($7 ~ /\.(mp4|zip|pdf|iso|dmg|tar\.gz|avi|mov)$/i)
print $1, $7, $10, $9, $11
}' | \
sort -k3 -nr | head -20
输出示例：203.0.113.45 /downloads/app-v2.4.1.zip 284932015 "https://evil-scraping.com" "python-requests/2.31"
说明该 IP 正在从非业务域名盗链一个 27MB 的安装包，UA 为脚本特征，高度可疑。
识别攻击特征并配置拦截策略
发现高流量静态路径后，进一步验证是否异常：
- UA 异常：大量
python-requests、curl、空白 UA 或伪造 UA（如Mozilla/5.0 (compatible; EvilBot/1.0)） - Referer 异常：为空、或来自黑名单域名、或与业务完全无关的第三方站点
- 单 IP 短时高频：1 分钟内对同一资源发起 ≥5 次请求（尤其当
$body_bytes_sent均 >1MB） - 请求路径非常规：如
/static/backup.sql.gz、/uploads/config.php.bak，明显非公开资源
确认后，在对应 location 块中启用防护：
location ~* \.(mp4|zip|pdf|iso|dmg)$ {
valid_referers none blocked *.yourdomain.com;
if ($invalid_referer) {
return 403;
}
limit_req zone=static_burst burst=3 nodelay;
limit_conn addr 2;
}
其中 limit_req 控制请求频次，limit_conn 限制并发连接数，valid_referers 阻断盗链。
关联 client_max_body_size 做交叉验证（反向辅助）
虽然静态攻击主要看响应大小，但若攻击者同时构造超大 POST 请求试图触发 Nginx 缓冲区耗尽，可检查日志中是否伴随大量 413 Request Entity Too Large 错误，并确认 client_max_body_size 是否被设为过小值（如 1m），导致正常上传也被截断——这会掩盖真实攻击痕迹。建议将该值设为业务所需上限，并配合 $request_length 日志字段做双向比对。
不复杂但容易忽略
