Nginx 中如何利用 Nginx 记录并追踪恶意访问源-Nginx-PHP中文网

nginx 通过增强日志格式（含 $http_x_forwarded_for、$http_referer 等字段）并结合实时分析（如高频404、非常规ua、异常http方法），可精准记录与追踪恶意访问源；再通过多维关联（ip、ua、referer、地理信息、时间规律）及轻量自动化（bash+sqlite）实现闭环追踪与告警。

nginx 中如何利用 nginx 记录并追踪恶意访问源

Nginx 本身不主动“识别”恶意访问，但通过合理配置日志记录 + 后续分析手段，完全可以精准记录并有效追踪恶意访问源。关键在于：让日志包含足够线索，再用结构化方式提取、聚合、告警。

日志格式要带关键字段

默认的 combined 格式已含 IP、时间、URL、状态码、User-Agent 等基础信息，但为提升追踪能力，建议补充以下字段：

$http_x_forwarded_for：真实客户端 IP（尤其在有 CDN 或反向代理时）
$http_referer：来源页面，可发现扫描器跳转链或黑帽 SEO 流量
$request_time 和 $upstream_response_time：区分是慢速攻击还是后端瓶颈
$body_bytes_sent：结合状态码判断是否成功下载敏感文件（如 .env、wp-config.php）
（可选）JSON 格式输出：便于 ELK 或 Prometheus 直接解析

示例增强型日志格式：

log_format extended '{"time":"$time_iso8601",'
                     '"ip":"$remote_addr",'
                     '"xff":"$http_x_forwarded_for",'
                     '"host":"$host",'
                     '"url":"$request_uri",'
                     '"status":"$status",'
                     '"ua":"$http_user_agent",'
                     '"ref":"$http_referer",'
                     '"req_time":$request_time,'
                     '"bytes":$body_bytes_sent}';
access_log /var/log/nginx/access.log extended;

实时记录高频异常行为

仅记录不够，需让可疑行为“浮出水面”：

大量 404 请求：可能是目录爆破或漏洞探测

awk '$9 == "404" {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20

非常规 User-Agent：如 sqlmap, nikto, gobuster, masscan, 或空 UA、纯数字 UA

Nginx Hosting
通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载
```
grep -E '(sqlmap|nikto|gobuster|masscan|curl.*libwww|Wget)' /var/log/nginx/access.log
```

高频率低耗时请求：同一 IP 在 1 分钟内请求超 100 次且平均 request_time ，大概率是自动化工具

# 提取最近 60 秒的 IP 访问频次（需日志含精确时间）
awk -v d="$(date -d '1 minute ago' '+%d/%b/%Y:%H:%M')" '$4 ~ d {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -10

异常 HTTP 方法：PUT、DELETE、TRACE、OPTIONS 在非 API 接口大量出现

awk '$6 ~ /"(PUT|DELETE|TRACE|OPTIONS)/ {print $1, $6}' /var/log/nginx/access.log | head -10

追踪源头需关联多维信息

单看 IP 容易误判（如 NAT 网关、CDN 节点），应交叉验证：

对比 $remote_addr 与 $http_x_forwarded_for：若后者存在且不为空，优先采信后者（需 Nginx 前置可信代理，并配置 set_real_ip_from）
查看 User-Agent + Referer 组合：例如 Mozilla/5.0 (compatible; Baiduspider) 但 Referer 为空或为钓鱼域名，即存疑
结合地理信息：用 geoip2 模块或离线库（如 geoiplookup）标记非常规地区批量请求（如某非洲小国 IP 一小时扫你全部 WordPress 路径）
时间规律性：凌晨 2–4 点集中请求，且 URL 带 /phpmyadmin/, /wp-login.php, /admin/，基本可判定为暴力探测