[GH-ISSUE #142] 是否考虑支持针对恶意攻击行为IP的自动封禁 #106

New issue

Open

opened 2026-03-04 12:18:58 +03:00 by kerem · 3 comments

kerem commented

2026-03-04 12:18:58 +03:00

Owner

Originally created by @timeLikeSong on GitHub (Aug 11, 2024).
Original GitHub issue: https://github.com/ADD-SP/ngx_waf/issues/142

如果一个IP长期针对服务器进行恶意扫描检测、攻击等行为，考虑自动封禁此IP地址。也可以归纳为大量4xx 响应。

Originally created by @timeLikeSong on GitHub (Aug 11, 2024). Original GitHub issue: https://github.com/ADD-SP/ngx_waf/issues/142 如果一个IP长期针对服务器进行恶意扫描检测、攻击等行为，考虑自动封禁此IP地址。也可以归纳为大量4xx 响应。

kerem commented

2026-03-04 12:18:58 +03:00

Author

Owner

@ADD-SP commented on GitHub (Aug 25, 2024):

这个需求比较模糊，可能需要更明确的封禁触发逻辑，比如：

定义何为恶意扫描和攻击。
定义什么是长期。
定义自动封禁的时长，以及对应网段是否一同封禁。

@ADD-SP commented on GitHub (Aug 25, 2024): 这个需求比较模糊，可能需要更明确的封禁触发逻辑，比如： * 定义何为恶意扫描和攻击。 * 定义什么是长期。 * 定义自动封禁的时长，以及对应网段是否一同封禁。

kerem commented

2026-03-04 12:18:59 +03:00

Author

Owner

@John10240 commented on GitHub (May 30, 2025):

这个需求比较模糊，可能需要更明确的封禁触发逻辑，比如：

定义何为恶意扫描和攻击。

定义什么是长期。

定义自动封禁的时长，以及对应网段是否一同封禁。

比如很多爬虫喜欢扫描目录和.php，这种有枣没枣打一杆子的行为非常讨厌，日志里全是404响应。
自动封禁措施就是比如1h内遭到同一ip超过5次404的访问，就封他ip 72小时。

@John10240 commented on GitHub (May 30, 2025): > 这个需求比较模糊，可能需要更明确的封禁触发逻辑，比如： > > * 定义何为恶意扫描和攻击。 > * 定义什么是长期。 > * 定义自动封禁的时长，以及对应网段是否一同封禁。比如很多爬虫喜欢扫描目录和.php，这种有枣没枣打一杆子的行为非常讨厌，日志里全是404响应。自动封禁措施就是比如1h内遭到同一ip超过5次404的访问，就封他ip 72小时。

kerem commented

2026-03-04 12:18:59 +03:00

Author

Owner

@ADD-SP commented on GitHub (Jun 3, 2025):

这个需求比较模糊，可能需要更明确的封禁触发逻辑，比如：

定义何为恶意扫描和攻击。

定义什么是长期。

定义自动封禁的时长，以及对应网段是否一同封禁。

比如很多爬虫喜欢扫描目录和.php，这种有枣没枣打一杆子的行为非常讨厌，日志里全是404响应。自动封禁措施就是比如1h内遭到同一ip超过5次404的访问，就封他ip 72小时。

这类逻辑比较灵活，有点像是定制功能，每个人的需求都可能有些许不同，感觉难以用简单的功能覆盖这类逻辑。

@ADD-SP commented on GitHub (Jun 3, 2025): > > 这个需求比较模糊，可能需要更明确的封禁触发逻辑，比如： > > > > * 定义何为恶意扫描和攻击。 > > * 定义什么是长期。 > > * 定义自动封禁的时长，以及对应网段是否一同封禁。 > > 比如很多爬虫喜欢扫描目录和.php，这种有枣没枣打一杆子的行为非常讨厌，日志里全是404响应。自动封禁措施就是比如1h内遭到同一ip超过5次404的访问，就封他ip 72小时。这类逻辑比较灵活，有点像是定制功能，每个人的需求都可能有些许不同，感觉难以用简单的功能覆盖这类逻辑。