Nginx 中如何利用 Nginx 记录并分析异常访问的 IP-Nginx-PHP中文网

nginx可通过自定义log_format、map模块标记异常请求、logrotate+脚本分析及fail2ban联动实现异常ip识别与封禁，需注意代理环境下真实ip获取（set_real_ip_from+realip模块）。

nginx 中如何利用 nginx 记录并分析异常访问的 ip

在 Nginx 中记录并分析异常访问 IP，核心是结合日志配置、条件过滤与外部工具（或简单脚本）实现识别与归因。不需要额外模块，原生功能即可支撑大部分场景。

配置精准的访问日志格式

默认日志格式不包含足够信息来判断“异常”，需自定义 log_format，加入关键字段：

$status：HTTP 状态码，用于识别 4xx/5xx 请求
$request_time：请求耗时，识别慢速攻击或资源耗尽行为
$body_bytes_sent：响应体大小，辅助判断是否返回了大量数据（如扫描探测）
$http_user_agent 和 $http_referer：辅助识别爬虫、恶意 UA 或非法来源
$remote_addr 和 $http_x_forwarded_for：确保获取真实客户端 IP（注意代理链处理）

示例配置：

log_format custom '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time $upstream_response_time';
access_log /var/log/nginx/access.log custom;

用 map 模块标记可疑请求

利用 Nginx 的 map 指令，根据请求特征动态打标，再写入独立日志，便于后续聚焦分析：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

对高频 404、403、500 请求的 IP 打上 “abnormal_4xx” 标签
对 $request_time > 10 的慢请求标记为 “slow_attack”
对空 UA、含 sqlmap/burpsuite/nikto 等关键词的 UA 标记为 “scanner”

示例：

map $status $is_abnormal {
  ~^(4|5)[0-9]{2}$ "1";
}
map $request_time $is_slow {
  >10 "1";
}
map $http_user_agent $is_scanner {
  ~*(sqlmap|burp|nikto|dirb) "1";
}
log_format abnormal '$remote_addr [$time_local] "$request" $status $request_time "$http_user_agent" $is_abnormal $is_slow $is_scanner';
access_log /var/log/nginx/abnormal.log abnormal if=$is_abnormal;

用 logrotate + 脚本做轻量级实时分析

无需引入 ELK 或 Prometheus，用 shell 脚本配合 logrotate 定期提取高频异常 IP：

每小时执行一次：awk '{print $1}' /var/log/nginx/abnormal.log | sort | uniq -c | sort -nr | head -20
过滤出 5 分钟内出现 >50 次 403 的 IP，可直接加入 deny 规则或通知运维
配合 fail2ban：将异常日志路径加入 fail2ban 的 filter，自动封禁 IP（推荐用于生产环境）