背景說明

在大量來自海外的機器人、爬蟲與攻擊流量中，我發現除了 TCP SYN Flood 之外，Apache 的 access.log 與 error.log 裡也有大量異常存取行為，例如：

• 不存在的網址（404）
• 權限拒絕（403）
• 掃描漏洞（例如嘗試連到 /wp-login.php, /phpmyadmin 等）

這些都是潛在攻擊前兆，因此我撰寫一份腳本，定期分析 Apache 的 log 檔，自動封鎖惡意 IP。

腳本偵測規則

支援以下條件：

• 來自 access.log 或 error.log
• 出現大量 403 或 404 回應（可自訂次數門檻）
• 僅掃描 .log 結尾的檔案，跳過 .log.1 或 .gz 歷史檔
• 可選擇性分析過去 N 分鐘內的 log 記錄（例如搭配 date + awk 過濾）

例如：

grep -hE ' 403 | 404 ' /var/log/apache2/*access.log \
  | awk -v since="$(date --date='5 minutes ago' '+%d/%b/%Y:%H:%M')" \
         '$4 > "["since' {print $1}'

此方法可限制分析最近 5 分鐘內的異常行為，避免封鎖過時的 IP。

腳本實作邏輯：apache-ban-ip.sh

#!/bin/bash

export PATH=/usr/sbin:/usr/bin:/bin:/sbin
LOG_DIR=/var/log/apache2
IPSET_NAME="blacklist"
THRESHOLD=50
IPSET_TIMEOUT=3600
WHITELIST=("127.0.0.1" "你的管理員IP")

# 初始化 ipset
ipset list $IPSET_NAME >/dev/null 2>&1 || ipset create $IPSET_NAME hash:ip timeout $IPSET_TIMEOUT

is_whitelisted() {
  for wip in "${WHITELIST[@]}"; do
    [[ "$1" == "$wip" ]] && return 0
  done
  return 1
}

# 計算最近 5 分鐘的時間戳格式（Apache log 格式）
SINCE=$(date --date='5 minutes ago' '+%d/%b/%Y:%H:%M')

# 擷取最近 5 分鐘內 access.log 中 403, 404 的來源 IP（僅限 .log 結尾）
grep -hE ' 403 | 404 ' $LOG_DIR/*access.log \
  | awk -v since="$SINCE" '$4 > "["since {print $1}' \
  | sort | uniq -c | sort -nr \
  | awk -v thr=$THRESHOLD '$1 > thr {print $2}' \
  | while read ip; do
    if is_whitelisted "$ip"; then
      echo "[略過] $ip 為白名單"
      continue
    fi
    echo "[封鎖] $ip 超過異常門檻，加入黑名單"
    ipset add $IPSET_NAME $ip timeout $IPSET_TIMEOUT 2>/dev/null
  done

建議排程（每 5 分鐘一次）

sudo crontab -e

加入：

*/5 * * * * /usr/local/bin/apache-ban-ip.sh >> /var/log/apache-ban.log 2>&1

補充設定（若未設）

請確保你已有正確的 iptables drop 規則：

sudo iptables -I INPUT -m set --match-set blacklist src -j DROP

後續可進階方向

• 加入封鎖 IP 通知（LINE Notify / Email）
• 將每次封鎖記錄存入 SQLite / JSON Log
• 做出白名單 / 灰名單 / 封鎖名單 dashboard
• 用 fail2ban 整合也可以，但此腳本更輕量彈性

結語

這支腳本已幫助我自動防禦數千次非法掃描與惡意請求，等同為 Apache 建立了應用層 WAF 界限。

若你正在經營 WordPress、WooCommerce、或自架 API Gateway，這個腳本將成為你最值得信任的守門員。

開源、自由擴充，安全你自己定義。

Reality Breaker — 拒絕被動，用邏輯穿透風暴。

這篇文章 Apache Log 智能封鎖腳本：自動擷取異常存取與黑名單管理（含 ipset 實作） 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

本篇介紹一套我親自實作、已成功抵擋上千次攻擊的 自動封鎖系統腳本，專門對付 TCP SYN Flood 攻擊。適用於 Linux + Apache + ipset 環境，完全開源，輕巧高效，歡迎自由使用與改造！

問題起點：SYN Flood 攻擊讓我 HTTPS 掛點

某天，我的伺服器連線數飆升，Apache 回應延遲，ss -tanp | grep "SYN-RECV" 看到數百條類似這樣的紀錄：

SYN-RECV   0 0 [::ffff:10.140.0.3]:443 [::ffff:179.107.51.201]:37425

這表示 TCP 三次握手被卡住，對方故意不回 ACK，讓伺服器卡在 SYN_RECV 狀態，進而癱瘓。

我的想法：伺服器需要一個「黑盾守門員」

我需要一個 自動偵測＋即時反制 的防火牆腳本，來對抗這種 TCP 層的資源消耗型攻擊。

黑盾守門員的核心邏輯：

1. 每分鐘掃描 ss -tanp | grep SYN-RECV 中的連線
2. 解析來源 IP（含 ::ffff:x.x.x.x 格式）
3. 每個 IP 若連線數 > 門檻（例如 10），就用 ipset 封鎖
4. 封鎖一段時間（如一小時），之後自動解除
5. 可設定白名單，避免誤殺管理者或內網

最新修正版腳本（支援 IPv6 包裝格式）

請將下列內容儲存為 /usr/local/bin/synflood-defender.sh：

#!/bin/bash

IPSET_NAME="blacklist"
IPSET_TIMEOUT=3600
SYN_THRESHOLD=10
WHITELIST=("127.0.0.1" "你的管理員IP")

# 建立 ipset（若尚未存在）
ipset list $IPSET_NAME >/dev/null 2>&1 || ipset create $IPSET_NAME hash:ip timeout $IPSET_TIMEOUT

# 判斷是否白名單
is_whitelisted() {
  for white_ip in "${WHITELIST[@]}"; do
    [[ "$1" == "$white_ip" ]] && return 0
  done
  return 1
}

# 掃描 SYN_RECV 並解析 IP
ss -tanp | grep "SYN-RECV" \
| awk '{print $5}' \
| grep -oP '(?<=::ffff:)(\d{1,3}(\.\d{1,3}){3})' \
| sort | uniq -c \
| awk -v thr=$SYN_THRESHOLD '$1 >= thr {print $2}' \
| while read ip; do
  if is_whitelisted "$ip"; then
    echo "[略過] 白名單 IP：$ip"
    continue
  fi
  echo "[封鎖] $ip 達到 SYN_RECV 門檻，封鎖中..."
  ipset add $IPSET_NAME "$ip" timeout $IPSET_TIMEOUT 2>/dev/null
done

# 輸出目前封鎖總數
COUNT=$(ipset list $IPSET_NAME | grep -c 'add ')
echo "[done] 當前 SYN 封鎖 IP 數：$COUNT"

自動化建議（每分鐘執行）

請加入 crontab：

sudo crontab -e

加入以下內容：

* * * * * /usr/local/bin/synflood-defender.sh >> /var/log/synflood.log 2>&1

搭配 iptables DROP 設定（只要設定一次）

sudo iptables -I INPUT -m set --match-set blacklist src -j DROP

附加工具：查看 SYN 攻擊 IP 排行榜

ss -tanp | grep "SYN-RECV" \
| awk '{print $5}' \
| sed -E 's/.*::ffff:([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+):.*/\1/' \
| sort | uniq -c | sort -nr | head

總結與延伸

這套「黑盾守門員」方案，結合了：

• Linux 原生網路工具（ss + ipset + iptables）
• 自動化執行（cron）
• 白名單控管
• 對 SYN Flood 針對性防禦

適用於 VPS、自架伺服器，或任何可能暴露在公網的 Apache/Nginx 主機上。

最後附註

歡迎轉載或自行改寫本腳本，若你也有實戰經驗與更強化的技巧，歡迎留言交流！如果你覺得「黑盾守門員」有幫助，也歡迎分享給更多站長朋友！

這篇文章 🛡 黑盾守門員：我如何打造一套自動反制 SYN Flood 的伺服器防火牆系統（含腳本更新） 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

wget https://downloads.php.net/~carusogabriel/php-8.0.0RC3.tar.bz2
tar xf php-8.0.0RC3.tar.bz2
cd php-8.0.0RC3

Step 2. 安裝相關套件

sudo apt install libxml2-dev libsqlite3-dev libpng-dev libonig-dev libmariadb-dev libcurl4-openssl-dev libjpeg-dev libxslt-dev

Step 3. 進行編譯

./configure --enable-opcache --enable-opcache-jit --enable-fpm --enable-cli --enable-bcmath --enable-cgi --enable-gd --enable-intl --enable-mbstring --enable-soap --enable-xml --with-mysql-sock=/var/run/mysqld/mysqld.sock --with-fpm-user=www-data --with-fpm-group=www-data --with-curl --with-imap-ssl --with-sqlite3 --with-zlib --with-xsl --with-openssl --with-jpeg --enable-exif --with-mysqli
make -j$(nproc)
make test
./sapi/cli/php -v

PHP 8.0.0RC3 (cli) (built: Oct 31 2020 12:35:04) ( NTS )
Copyright (c) The PHP Group
Zend Engine v4.0.0-dev, Copyright (c) Zend Technologies

Step 4. 編輯 php.ini 啟動 Opcache JIT

vim php.ini-development
# 新增下面內容
zend_extension=/REAL_PATH/php-8.0.0RC3/modules/opcache.so
[opcache]
opcache.enable=1
opcache.enable_cli=1
opcache.jit=1255
opcache.jit_buffer_size=64M
opcache.memory_consumption=128
opcache.max_accelerated_files=10000

Step 5. 再次執行

./sapi/cli/php -c ./php.ini-development -v

PHP 8.0.0RC3 (cli) (built: Oct 31 2020 12:35:04) ( NTS )
Copyright (c) The PHP Group
Zend Engine v4.0.0-dev, Copyright (c) Zend Technologies
    with Zend OPcache v8.0.0RC3, Copyright (c), by Zend Technologies

Step 簡單效能比較

已本身手上有一支每日固定排程，自動產生報表的 PHP 程式來坐比較，需要分析的數據目前約148萬筆資料，會進行簡單的數學運算，不需要連接資料庫，在這種條件下：

PHP 7.4.12 需要 4.448 秒
PHP 8.0.RC3(無 JIT) 需要 4.292 秒
PHP 8.0.RC3(有 JIT) 需要 4.083 秒

就這樣的結果來看，PHP 8 是值得期待的，但是不像 PHP 5 到 PHP 7 那樣子實現了大跨度的效能增進。

這篇文章 簡單試玩 PHP 8.0 RC3 及 JIT 效能測試 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

雖然可以在系統或是文章去做個別的設定，但我還是喜歡這種方式。

Step 1: 找出 comments_template()

grep comments_template *

Step 2: 註解相關頁面的程式碼

這篇文章 直接關閉 WordPress 的文章迴響功能 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

必須安裝額外的套件才能提供，步驟如下：

Step 1: 安裝函式庫

sudo apt-get install libmcrypt-dev php7.4-dev
sudo pecl install mcrypt-1.0.3

Step 2: 修改 php.ini 啟用功能，增加1行設定如下：

extension=mcrypt.so

Step 3: 重啟 PHP 載入新設定

sudo service php7.4-fpm restart

Step 4: 使用 phpinfo() 確認 mcrypt 已啟用

這篇文章 修正 PHP 7.4 無法使用 mcrypt_decrypt() 的問題 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

下面簡單紀錄一下整個升級安裝的過程：

Step 1: 新增 PHP PPA Repository

sudo apt-get update
sudo apt install software-properties-common
sudo add-apt-repository ppa:ondrej/php
sudo apt-get update

Step 2: 安裝 PHP 7.4

sudo apt install php7.4
sudo apt install php7.4-common php7.4-mysql php7.4-xml php7.4-xmlrpc php7.4-curl php7.4-gd php7.4-imagick php7.4-cli php7.4-dev php7.4-imap php7.4-mbstring php7.4-opcache php7.4-soap php7.4-zip php7.4-intl php7.4-bcmath php7.4-bz2 php7.4-fpm

Step 3: 檢查 PHP 版本

php -v

~$ php -v
PHP 7.4.11 (cli) (built: Oct  6 2020 10:35:19) ( NTS )
Copyright (c) The PHP Group
Zend Engine v3.4.0, Copyright (c) Zend Technologies
    with Zend OPcache v7.4.11, Copyright (c), by Zend Technologies

Step 4: 啟用 PHP 7.4 FPM 模組

sudo a2disconf php7.0-fpm
sudo a2enconf php7.4-fpm
sudo service apache2 stop
sudo a2dismod mpm_prefork php7.4 
sudo a2enmod mpm_event
sudo service php7.4-fpm restart
sudo service apache2 restart

這篇文章 Ubuntu 16.04 安裝 PHP 7.4 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

下面是在Linux系統上安裝CPU Miner程式的步驟：

介紹網頁：

https://en.bitcoin.it/wiki/Cpu_Miner

執行檔下載：

Sourceforge: 	
https://sourceforge.net/projects/cpuminer/ 	
tar xf pooler-cpuminer-2.4.5-linux-x86_64.tar.gz

取得 Source Code：

Git Hub: 	
https://github.com/pooler/cpuminer 	
git clone https://github.com/pooler/cpuminer.git

編譯過程：

Build: 	
sudo apt-get install libcurl4-openssl-dev 	
cd cpuminer 	
./autogen.sh 	
./configure 	
make 	
./minerd --help 	
./minerd --benchmark

測試結果：

[2017-02-02 11:41:34] Binding thread 0 to cpu 0 
[2017-02-02 11:41:34] 4 miner threads started, using 'scrypt' algorithm. 
[2017-02-02 11:41:34] Binding thread 2 to cpu 2 
[2017-02-02 11:41:34] Binding thread 3 to cpu 3 
[2017-02-02 11:41:34] Binding thread 1 to cpu 1 
[2017-02-02 11:41:34] thread 1: 4104 hashes, 18.99 khash/s 
[2017-02-02 11:41:34] thread 3: 4104 hashes, 18.77 khash/s 
[2017-02-02 11:41:34] thread 0: 4104 hashes, 18.69 khash/s 
[2017-02-02 11:41:34] thread 2: 4104 hashes, 18.63 khash/s 
[2017-02-02 11:41:39] thread 2: 93144 hashes, 19.29 khash/s 
[2017-02-02 11:41:39] thread 1: 94944 hashes, 19.43 khash/s 
[2017-02-02 11:41:39] thread 0: 93456 hashes, 19.09 khash/s 
[2017-02-02 11:41:39] thread 3: 93864 hashes, 19.15 khash/s 
[2017-02-02 11:41:39] Total: 76.95 khash/s

問題就是出在上面的 76.95 khash/s，以 Intel i5 CPU 這種一般家用等級的運算效能，根本上不了檯面，至少我是放棄了，興趣的可以繼續參考下面的網頁資料。

https://litecoin.info/Mining_hardware_comparison

https://btcserv.net/bitcoin-mining-calculator

計算出的結果，一年都賺不到一塊。

這篇文章 用CPU採礦的時代已經過去了！ 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

那麼一個單日30萬PV，而且還是使用虛擬主機建成的網站，有可能嗎？當然有，下面就來完整揭露所有配置。

這個客戶選擇的虛擬主機服務商是： GoDaddy（先聲明，這絕對不是業配文），其實客戶要選擇什麼主機商，我一向是沒意見，因為付錢的是大爺，當初這位客戶是直接選擇了”豪華型的套餐”，然後他又升級成 2 CPU + 1 GB RAM，Total 加起來，虛擬主機這邊的費用，一年聽說約 3000-NT而已，有用 GoDaddy 的就知道這個規格並不是”一拜”的等級。

所使用的 WordPress 目前是更新到 4.6 的版本了，沒有去改動任何的 Code，是原廠的，下面這幾張管理後台的配置圖，就是為何可以承受單日30萬PV的關鍵了，魔鬼就藏在細節裡：

其實故事說到這邊就說完了，下面都是題外話了。事實證明，使用虛擬主機+Wordpress就可以打造出可承受單日30萬PV的網站系統，但最困難的是，要如何才能吸引到單日30萬PV啊？網站技術跟網站經營真的是兩碼子的事。

這篇文章 「密技」如何用 WordPress+虛擬主機，打造一個單日30萬PV的網站？ 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

如果要求還要再更高，那就進入語意分析的領域了，很抱歉，我沒有那個水準去談語意分析。什麼是語意分析？例如說台灣說”當機”等於大陸說”死機”，台灣說”送出”等於大陸說”提交”…等等這一類就屬於語意分析的範圍，這個難度高很多，也會耗費更多計算資源，但是就像前面說的，透過簡單的字表轉換，其實已經達到實用的等級，實作上跟程式的運行效率都有不錯的CP值。

實作上，繁體轉簡體是容易的，而且效果也比較好，因為很多繁體字經過簡化後，會對應到同一個簡體字，也因為這個特性，簡轉繁難度高上許多，單純的字表轉換會出現語意不同的情況，不像繁轉簡，文章語意幾乎都是通順的，舉例來說：

在進行簡體轉繁體的時候，你要選哪一個？所以簡轉繁要做的好，幾乎都要考慮語意分析！

還有就是繁體常用字等於部份簡體字的問題，舉例來說：

前面說了一大堆，到底要如何去達到網頁的自動繁簡互轉呢？我個人是用判斷HTTP_ACCEPT_LANGUAGE的方式為主，再加上判斷HTTP_USER_AGENT為輔，這樣可以達到大部分來自中國大陸的訪問者，都是看到簡體網頁的內容，這其中當然也包含百度搜尋引擎的蜘蛛，PHP的程式碼如下：

$trans = FALSE;  

if (!empty($_SERVER['HTTP_ACCEPT_LANGUAGE'])) {         
    $lang  = explode("," , $_SERVER['HTTP_ACCEPT_LANGUAGE']);          

    if (($lang[0] == 'zh-cn') || ($lang[0] == 'zh-CN')) {
        $trans = TRUE;         
    } 
} 

if (!$trans && !empty($_SERVER['HTTP_USER_AGENT']) && 
    strstr($_SERVER['HTTP_USER_AGENT'], "Baidu")) 
{         
    $trans = TRUE; 
} // From TW -> CN 

if ($trans) {         
    require_once '/include/TWtoCN.php';         
    $app = ant_zhtw2cn($app); 
}

上面這一段 Code ，我大概使用快十年了，如果你是一個以繁體中文為主的網站，同時也想對使用簡體中文的朋友們做到 User Friendly ，這樣就已經很足夠了，當然有部份人士的個性是屬於多毛症的，那就滿足不了。

這篇文章 談談網頁內容如何實現中文繁簡體的自動轉換 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。

sign up for an API key pair : https://www.google.com/recaptcha/admin

然後到 Joomla 的後台管理頁面，啟用圖形驗證功能：

到外掛中填入剛剛取得的網站金鑰：

記得要選 2.0 版本

下面就是設定成功後的畫面：

這篇文章 Joomla 啟用 reCAPTCHA 圖形驗證的設定流程 最早出現於 碼蟻創研工坊 - CODEANT STUDIOS。