怎么排查Workerman项目被DDOS/CC攻击时的真实流量来源？-php教程-PHP中文网

iftop是基于libpcap的实时流量监控工具，可显示网卡连接的ip、端口及2s/10s/40s平均速率，用于快速定位ddos或cc攻击源；需配合-nnp参数禁dns解析、显端口，并结合tcpdump抓包验证是否到达应用层。

怎么排查workerman项目被ddos/cc攻击时的真实流量来源？

用 `iftop` 看实时入站流量，别信 `netstat` 的连接数

Workerman 是常驻进程模型，netstat 统计的 ESTABLISHED 连接数容易误导——它包含大量已关闭但未完全释放的 TIME_WAIT，也混着健康长连接。真正反映攻击压力的是实时带宽占用。

直接运行：
sudo iftop -nNP -i eth0

重点关注左列 IP 和右列「2s/10s/40s」三档速率。DDoS 攻击通常表现为单个 IP 持续占满 80/443 端口的 90%+ 入站带宽；CC 攻击则更隐蔽，可能多个 IP 均匀分布，但每 IP 的请求频率异常高（需结合日志确认）。

-n 禁 DNS 解析，避免卡顿导致漏看关键帧
-P 显示端口，快速区分是 HTTP 流量还是异常 UDP/ICMP
若看到大量 *:random → your_ip:80，极可能是 SYN Flood，不是 Workerman 能拦住的层级

从 Nginx 日志反查 Workerman 的真实请求来源

Workerman 常作为后端被 Nginx 反代（如 WebSocket 或 HTTP 接口）。此时 $_SERVER['REMOTE_ADDR'] 在 Workerman 里拿到的是 Nginx 的内网地址（如 127.0.0.1），不是真实客户端 IP。

必须检查 Nginx 配置是否透传了真实 IP：

确认 nginx.conf 中 upstream 段有 proxy_set_header X-Real-IP $remote_addr;
Workerman 代码中要读 $connection->getHeader('x-real-ip')，而非 $connection->getRemoteIp()
若用了 Cloudflare 或高防 IP，还要检查 X-Forwarded-For 链，并只取最左边非可信代理的 IP（防伪造）

漏掉这步，所有基于 IP 的限流、封禁都等于对空气开枪。

Picell

一款AI视频创作工具，主要用于一站式电商图文 + 短视频生成平台，前身为 Picset AI，适合需要提升相关任务效率的用户。

下载

在 Workerman `onMessage` 里加轻量级请求频控，别等 Redis

DDoS/CC 攻击发生时，Redis 可能成为瓶颈或单点故障。先用内存级简单计数做第一道过滤：

$ip = $connection->getHeader('x-real-ip') ?: $connection->getRemoteIp();
$now = time();
$window = 60; // 60秒窗口
$key = "req:$ip";
<p>// 简单数组计数（注意：仅适用于单 Worker 进程，多进程需换 Redis）
if (!isset($this->reqCount[$key])) {
$this->reqCount[$key] = ['count' => 0, 'start' => $now];
}
if ($now - $this->reqCount[$key]['start'] > $window) {
$this->reqCount[$key] = ['count' => 0, 'start' => $now];
}
if (++$this->reqCount[$key]['count'] > 100) {
$connection->close();
return;
}
</p>