Linux服务器PHP如何防止DDoS攻击

Linux服务器 PHP 防 DDoS 实用方案

一 分层防御总体思路

• 在边界与网络层尽早丢弃异常流量：用iptables/ufw封禁恶意来源、限制新连接速率，必要时只放行22/80/443等必要端口，减少攻击面。
• 在反向代理/Web 服务器层做速率与并发控制：用 Nginx 的 limit_req/limit_conn 限制单 IP 请求速率与并发连接，优先拦截“洪水型”与“慢速耗尽型”攻击。
• 在应用层（PHP）做二次校验与节流：对敏感接口实施令牌桶/漏桶限流、验证码、关键操作互斥与超时控制，降低被滥用风险。
• 在安全服务层叠加防护：启用 Fail2Ban 自动封禁、部署 **WAF（如 ModSecurity）**识别恶意请求，使用 CDN/高防吸收与清洗大流量。
• 在运维与响应层持续监测与联动：监控 CPU/带宽/连接数，异常时自动切换维护页/静态化，超大流量及时与ISP协同处置。

二 PHP 层关键配置与代码实践

• 禁用危险函数，阻断“PHP 外联型”攻击载体：在 php.ini 的 disable_functions 中禁用如 exec、shell_exec、passthru、system、popen、proc_open、fsockopen、pfsockopen 等；同时关闭 allow_url_fopen 可显著降低通过 file_get_contents/fsockopen 发起外联的风险（注意评估业务是否依赖）。
• 控制脚本资源与执行时长：设置 max_execution_time（如 30 秒）、memory_limit 合理上限，防止单个请求长时间占用进程与内存。
• 目录与上传安全：对上传目录移除 PHP 执行权限（Nginx 通过 location 配置 php 解析关闭；Apache 通过 .htaccess 或目录策略），避免上传 Webshell 后被用于放大攻击。
• 应用层限流与互斥：对登录、短信、评论、API 等接口实现令牌桶/漏桶限流；对高消耗操作（如导出、图片处理）使用信号量控制并发；验证码与User-Agent/Referer基础校验拦截简单脚本。
• 示例（简化版漏桶限流与并发信号量）：
  • 漏桶限流（单进程内存示例，生产建议用 Redis + Lua 或 Memcached 共享存储）
    • 设定速率 $rate = 10/秒、桶容量 $capacity = 20；每次请求计算可放行量并重置时间；超过容量返回 429。
  • 并发信号量（基于 System V 信号量）
    • 初始化 $sem = sem_get(ftok(FILE, ‘s’))；处理前 sem_acquire，超时或失败返回 503；结束后 sem_release。
      以上做法能在 PHP 层减少被滥用后的资源消耗，但应与前置的 Nginx/Fail2Ban/CDN 组合使用。

三 Web 服务器与系统加固

• Nginx 速率与并发限制（示例）：
  • 速率限制：定义 limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;；在 location 中使用 limit_req zone=one burst=20 nodelay; 平滑突发。
  • 并发限制：定义 limit_conn_zone $binary_remote_addr zone=addr:10m;；在 server 或 location 中使用 limit_conn addr 10; 限制单 IP 并发连接数。
• 防火墙与端口管理：用 ufw/iptables 仅放行 22/80/443，对异常来源 IP 进行封禁或速率限制，减少无效连接压垮后端。
• Fail2Ban 自动封禁：启用 Nginx/SSH 等 jail，基于日志触发封禁，例如 maxretry=3、bantime=600，快速隔离持续攻击者。
• WAF 与协议安全：部署 ModSecurity 过滤常见攻击特征；关闭不必要的 HTTP TRACE/TRACK 等风险方法，降低被利用可能。

四 架构层与应急处置

• 架构层：使用 CDN/反向代理 缓存静态资源并吸收流量，部署 负载均衡 与多实例分散压力；对关键业务设置降级策略（静态化、排队、验证码）。
• 数据库与后端：限制 MySQL max_connections、优化慢查询，避免被单一接口拖垮；为动态接口设置连接池与超时。
• 监控与响应：实时观察 top/htop、iotop、带宽 等指标；攻击峰值时启用维护页、临时封禁高频来源；超大流量及时与ISP/云厂商联动清洗与黑洞路由。
• 重要提示：没有任何方案能“完全阻止”所有 DDoS；目标是“尽早识别、快速丢弃、分层限流、保障核心业务可用”。