基于ddos-deflate增强实时扫描高连接数 IP自动封禁超过阈值的 IP整合 Fail2ban、宝塔nginx防火墙、用户自定义白名单的防御攻击

基于ddos-deflate增强实时扫描高连接数 IP自动封禁超过阈值的 IP整合 Fail2ban、宝塔nginx防火墙、Redis CC L7层防御、用户自定义白名单的防御攻击脚本：【⭐⭐⭐⭐⭐推荐！】
DZ插件网的实际运用效果图：

本次更新日志： [2025.9.20 下午终极更新]

功能分类	功能模块	v25.2 终极版状态	审计说明与优化点
核心防御引擎	L7 应用层防御	✅ 包含	完整包含CC、灰色机器人、Discuz!精准打击、搜索引擎保护。
	L4 网络层防御	✅ 包含	采用最终修正的awk $NF引擎，精准统计连接数。
智能防御体系	自适应攻击模式	✅ 包含	可根据全局流量，自动升降L4和L7防御阈值。
	渐进式封禁	✅ 包含	完整实现：对反复攻击的IP自动升级封禁时长，直至永久封禁。
	恶意IP情报库	✅ 包含	完整实现：永久记录被“顶格处罚”的IP，便于取证。
	自进化白名单	✅ 包含	完整实现：可定期从CDN服务商自动获取并更新IP列表。
	Redis CC原子引擎	✅ 包含	完整实现：引入“Redis原生CC防御引擎”，自动检测并使用Redis缓存，极大降低磁盘I/O。
	动态扫描频率	✅ 包含	完整实现：攻击模式下自动加速扫描，平息后自动降速。
	真假蜘蛛DNS校验	✅ 包含	通过DNS双向解析，100%识别伪装成核心搜索引擎的攻击者。
告警与交互	“状态+战报”双告警	✅ 包含	同时拥有“进入/退出攻击模式”的状态告警和包含精准攻击列表的“批次战报”。
	用户定制化格式	✅ 包含	告警格式、Emoji、服务器IP等均已按您的最终要求定制。
白名单与调优	全来源白名单	✅ 包含	完整支持ignore.ip.list, ignore.host.list, 宝塔, Fail2ban。
	内核参数调优	✅ 包含	tune命令完整保留。
	用户定制化阈值	✅ 已修正	L4层阈值已严格按照DZ插件网最终实践 40/15/60 进行预设。
代码质量	完整性与可读性	✅ 100%保证	所有代码均已恢复为清晰、带缩进和详尽注释的多行格式，无任何省略。

2025.9.20增强防御前置防御参数配置：[即在/etc/ddos 路径下面创建 host-thresholds.json]（下面域名都替换为你自己实际域名）
直接命令创建完整 网站细分颗粒度防御阈值引导文件（哪怕忘记创建 脚本也有冗余保底） ：【2025.9.20 新增引入"蜜罐"系统】

1. sudo cat <<'EOF' > /etc/ddos/host-thresholds.json
   
2. {
   
3.   "GLOBAL": {
   
4.     "NO_OF_SYN": 180,
   
5.     "NO_OF_EST": 260,
   
6.     "NO_OF_CONNTRACK": 15000
   
7.   },
   
8. 
   
9.   "default": {
   
10.     "HOST_WEIGHT": 1.0,
    
11.     "REQ_PER_MIN": { "L1": 30, "L2": 60, "L3": 120 },
    
12.     "SYN_PER_IP": 0,
    
13.     "EST_PER_IP": 0,
    
14.     "PATH_TIERS": [
    
15.       { "KIND": "PREFIX", "PAT": "/favicon.ico", "L1": 200, "L2": 400, "L3": 800 },
    
16.       { "KIND": "PREFIX", "PAT": "/static/",     "L1": 200, "L2": 400, "L3": 800 }
    
17.     ]
    
18.   },
    
19. 
    
20.   "www.dz-x.net": {
    
21.     "HOST_WEIGHT": 1.0,
    
22.     "REQ_PER_MIN": { "L1": 28, "L2": 56, "L3": 112 },
    
23.     "SYN_PER_IP": 60,
    
24.     "EST_PER_IP": 90,
    
25.     "PATH_TIERS": [
    
26.           { "KIND": "PREFIX", "PAT": "/trap-page.html", "L1": 1, "L2": 1, "L3": 1 },
    
27.       { "KIND": "PREFIX", "PAT": "/avatar.php",                 "L1": 10, "L2": 20, "L3": 40 },
    
28.       { "KIND": "REGEX",  "PAT": "^/misc\\.php\\?mod=seccode",  "L1": 6,  "L2": 12, "L3": 24 },
    
29.       { "KIND": "REGEX",  "PAT": "^/forum\\.php\\?mod=image",   "L1": 8,  "L2": 16, "L3": 32 },
    
30.       { "KIND": "PREFIX", "PAT": "/ajax.php",                   "L1": 12, "L2": 24, "L3": 48 },
    
31.       { "KIND": "REGEX",  "PAT": "^/plugin\\.php\\?id=",        "L1": 8,  "L2": 16, "L3": 32 },
    
32.       { "KIND": "PREFIX", "PAT": "/search.php",                 "L1": 4,  "L2": 8,  "L3": 16 },
    
33.       { "KIND": "PREFIX", "PAT": "/home.php",                   "L1": 16, "L2": 32, "L3": 64 },
    
34.       { "KIND": "PREFIX", "PAT": "/member.php",                 "L1": 10, "L2": 20, "L3": 40 },
    
35.       { "KIND": "REGEX",  "PAT": "^/forum\\.php\\?mod=viewthread", "L1": 14, "L2": 28, "L3": 56 },
    
36.       { "KIND": "PREFIX", "PAT": "/api/mobile/",                "L1": 10, "L2": 20, "L3": 40 },
    
37.       { "KIND": "PREFIX", "PAT": "/uc_server/",                 "L1": 12, "L2": 24, "L3": 48 }
    
38.     ]
    
39.   },
    
40. 
    
41.   "demo.dz-x.net": {
    
42.     "HOST_WEIGHT": 0.8,
    
43.     "REQ_PER_MIN": { "L1": 24, "L2": 48, "L3": 96 },
    
44.     "SYN_PER_IP": 50,
    
45.     "EST_PER_IP": 80,
    
46.     "PATH_TIERS": [
    
47.           { "KIND": "PREFIX", "PAT": "/trap-page.html", "L1": 1, "L2": 1, "L3": 1 },
    
48.       { "KIND": "PREFIX", "PAT": "/avatar.php",                "L1": 10, "L2": 20, "L3": 40 },
    
49.       { "KIND": "REGEX",  "PAT": "^/misc\\.php\\?mod=seccode", "L1": 6,  "L2": 12, "L3": 24 },
    
50.       { "KIND": "PREFIX", "PAT": "/ajax.php",                  "L1": 12, "L2": 24, "L3": 48 },
    
51.       { "KIND": "REGEX",  "PAT": "^/plugin\\.php\\?id=",       "L1": 8,  "L2": 16, "L3": 32 },
    
52.       { "KIND": "PREFIX", "PAT": "/search.php",                "L1": 4,  "L2": 8,  "L3": 16 }
    
53.     ]
    
54.   }
    
55. }
    
56. EOF

复制代码

创建并编辑防御系统脚本文件：

1. sudo vi /usr/local/sbin/ddos-guard

复制代码

粘贴如下经过DZ插件网优化实战的核心安装脚本内容：【2025-09-20 更新并实测验证无错，请将脚本内容的部分参数根据自己实际情况改写】
完整脚本内容：
【记得批量搜索“你的”替换为你自己的实际信息】（注意完整复制不要有任何格式符号编码错误）[手搓1600行+的防御核心，钻研2月+，耗费5k+成本的成果，网上绝无仅有！就算是AI，你确定能让它给你手搓出一两千行的代码？]

1. #!/usr/bin/env bash
   
2. # ==============================================================================
   
3. # ddos-guard v25.2-Stable (Debian 12 + BT Panel + Discuz! X3.5)
   
4. # 核心清单（简要）
   
5. # - BTWAF v4/v6 白名单解析，带详细来源统计与丁钉推送
   
6. # - 统一白名单：ignore.ip.list / ignore.host.list / BTWAF / Fail2ban ignoreip
   
7. # - 白名单更新后自动解封被误杀 IP，带解封计数
   
8. # - nftables 引擎（wl{4,6}/tmp{4,6}/bl{4,6}），回退 iptables+ipset
   
9. # - L4/L7 混合：SYN/EST per-IP、全局 CT，自适应 GLOBAL 阈值；Redis 原子计数的 L7 限速
   
10. # - 站点覆写/权重（/etc/ddos/host-thresholds.json），短窗 IP→Host 索引
    
11. # - 真假蜘蛛（UA 模式 + 反查/正向回证），Discuz 精打 + 泛动态页 CC
    
12. # - 渐进式封禁（T1/T2/T3→永久），恶意 IP 情报库（基于 Redis 计数）
    
13. # - L7 防御 升级到智能版本（包含威胁评分和UA/Referer分析）
    
14. # - 升级L4/L7 灵敏度：增强 should_attack_mode 和 perip_escalation_from_errorlog 函数，
    
15. #   使其能通过 TIME_WAIT 和 PHP 错误“症状”更早地发现攻击
    
16. # - 新增检测连接数高到离谱（默认500），也会被无条件封禁，防止了白名单被滥用导致的服务瘫痪。
    
17. # - 引入引入“攻击信誉”与“观察名单”，提对“低速分布式CC攻击”（Low-and-Slow Attacks）的识别与打击能力。
    
18. # - 提升“真假蜘蛛”和“恶意采集”识别能力的最终优化策略。
    
19. # - 扩充“机器人特征库”，部署“Honeypot (蜜罐)”页面和增强nginx真实IP日志格式强化。
    
20. # - 引入高风险IP信誉源(IP威胁情报库)，实时情报纵深防御。
    
21. # - 子命令：install / uninstall / run / daemon / status / top / history /
    
22. #           check / tune / tune-guide / whitelist-reload / whitelist-show /
    
23. #           ban / unban / flush-bans / blacklist / f2b-setup
    
24. # ==============================================================================
    
25. 
    
26. set -euo pipefail
    
27. IFS=$'\n\t'
    
28. 
    
29. SCRIPT_NAME="ddos-guard"
    
30. SELF_PATH="/usr/local/sbin/${SCRIPT_NAME}"
    
31. 
    
32. # ----------------------------- 运行目录/日志 --------------------------------
    
33. LOG_FILE="/var/log/ddos-guard.log"            # 脚本运行日志
    
34. BAN_HISTORY="/var/log/ddos-guard-history.csv"  # 封禁历史（CSV）
    
35. WORKDIR="/usr/local/ddos-deflate"              # 兼容/保留的数据目录
    
36. RUNDIR="/run/ddos-guard"                       # 运行态数据、快照、节流标记等
    
37. TMPDIR="/tmp/ddos-guard"                       # 临时文件目录
    
38. mkdir -p "$WORKDIR" "$RUNDIR" "$TMPDIR"
    
39. 
    
40. LOCK_FILE="/var/lock/ddos-guard.lock"          # 跨进程互斥锁
    
41. LOCK_FD=200
    
42. 
    
43. # ----------------------------- 外部依赖 ------------------------------------
    
44. SS=$(command -v ss || true)
    
45. IPT=$(command -v iptables || true)
    
46. IP6T=$(command -v ip6tables || true)
    
47. IPSET=$(command -v ipset || true)
    
48. CT=$(command -v conntrack || true)
    
49. TAIL=$(command -v tail || true)
    
50. GREP=$(command -v grep || true)
    
51. AWK=$(command -v awk || true)
    
52. SED=$(command -v sed || true)
    
53. SORT=$(command -v sort || true)
    
54. UNIQ=$(command -v uniq || true)
    
55. CUT=$(command -v cut || true)
    
56. HEAD=$(command -v head || true)
    
57. DATE=$(command -v date || true)
    
58. HOST=$(command -v host || true)
    
59. PY3=$(command -v python3 || true)
    
60. CURL=$(command -v curl || true)
    
61. REDIS_CLI=$(command -v redis-cli || true)
    
62. GETENT=$(command -v getent || true)
    
63. STAT=$(command -v stat || true)
    
64. SHA1=$(command -v sha1sum || command -v shasum || true)
    
65. MD5=$(command -v md5sum || true)
    
66. 
    
67. # ----------------------------- 钉钉告警 ------------------------------------
    
68. # - 设置 DINGTALK_WEBHOOK 即可启用钉钉机器人
    
69. # - 同类告警节流默认 600s（10 分钟）
    
70. DINGTALK_WEBHOOK="${DINGTALK_WEBHOOK:-https://oapi.dingtalk.com/robot/send?access_token=你钉钉的webhook机器人信息}"
    
71. DINGTALK_THROTTLE_SEC="${DINGTALK_THROTTLE_SEC:-600}"
    
72. ALERT_TS_DIR="$RUNDIR/alert-ts"; mkdir -p "$ALERT_TS_DIR"
    
73. 
    
74. # ----------------------------- L4 兜底阈值 ---------------------------------
    
75. # 若 /etc/ddos/host-thresholds.json 的 GLOBAL 段存在，会覆盖这些“兜底”
    
76. NO_OF_SYN=${NO_OF_SYN:-180}               # 全局 SYN（总量）触发线
    
77. NO_OF_EST=${NO_OF_EST:-260}               # 全局 EST（总量）触发线
    
78. NO_OF_CONNTRACK=${NO_OF_CONNTRACK:-15000} # 全局 conntrack（总量）触发线
    
79. NO_OF_CT="$NO_OF_CONNTRACK"
    
80. 
    
81. # 攻击模式下 per-IP 的 L4 更严阈值
    
82. ENABLE_DYNAMIC_THRESHOLDS=${ENABLE_DYNAMIC_THRESHOLDS:-true}
    
83. NO_OF_EST_ATTACK_MODE=${NO_OF_EST_ATTACK_MODE:-120}        # 参考 www.dz-x.net/t/151300/1/1.html
    
84. NO_OF_SYN_ATTACK_MODE=${NO_OF_SYN_ATTACK_MODE:-68}        # 参考 www.dz-x.net/t/151300/1/1.html
    
85. # 新增紧急连接数阈值，此阈值将绕过白名单检查
    
86. # EMERGENCY_CONN_THRESHOLD=${EMERGENCY_CONN_THRESHOLD:-500}
    
87. 
    
88. # L7 兜底阈值（每路径 L1 基线，Host/Path tiers 会覆盖）
    
89. CC_THRESHOLD=${CC_THRESHOLD:-30}
    
90. CC_THRESHOLD_ATTACK_MODE=${CC_THRESHOLD_ATTACK_MODE:-5}
    
91. 
    
92. # ----------------------------- 多站点日志 ----------------------------------
    
93. # 访问日志（CC 日志）：一行一个文件；无法从日志解析 Host 时，用 LOG_HOST_MAP 兜底 [以你宝塔面板的实际网站访问日志路径为准]
    
94. CC_LOG_PATHS=(
    
95.   "/www/wwwlogs/你的域名1.log"
    
96.   "/www/wwwlogs/你的域名2.log"
    
97.   "/www/wwwlogs/你的域名3.log"
    
98.   "/www/wwwlogs/你的域名4.log"
    
99.   "/www/wwwlogs/你的域名5.log"
    
100.   # 这里ip.com替换为你服务器ip
     
101.   "/www/wwwlogs/ip.com.log"
     
102. )
     
103. # 错误日志（perip 升级等线索）：一行一个文件
     
104. ERROR_LOG_PATHS=(
     
105.   "/www/wwwlogs/你的域名1.error.log"
     
106.   "/www/wwwlogs/你的域名2.error.log"
     
107.   "/www/wwwlogs/你的域名3.error.log"
     
108.   "/www/wwwlogs/你的域名4.error.log"
     
109.   "/www/wwwlogs/你的域名5.error.log"
     
110. )
     
111. # 日志 → Host 的回退映射（正则 → 域名）[以你宝塔面板的实际网站访问日志路径为准]
     
112. declare -A LOG_HOST_MAP=(
     
113.   ["^/www/wwwlogs/www\.你的\.域名1后缀\.log$"]="你的域名1"
     
114.   ["^/www/wwwlogs/www\.你的\.域名1后缀\.error\.log$"]="你的域名1"
     
115.   ["^/www/wwwlogs/www\.你的\.域名2后缀\.log$"]="你的域名2"
     
116.   ["^/www/wwwlogs/www\.你的\.域名2后缀\.error\.log$"]="你的域名2"
     
117.   ["^/www/wwwlogs/www\.你的\.域名3后缀\.log$"]="你的域名3"
     
118.   ["^/www/wwwlogs/www\.你的\.域名3后缀\.error\.log$"]="你的域名3"
     
119.   ["^/www/wwwlogs/www\.你的s\.域名4后缀\.log$"]="你的域名4"
     
120.   ["^/www/wwwlogs/www\.你的\.域名4后缀\.error\.log$"]="你的域名4"
     
121.   ["^/www/wwwlogs/www\.你的\.域名5后缀\.log$"]="你的域名5"
     
122.   ["^/www/wwwlogs/www\.p你的\.域名5后缀\.error\.log$"]="你的域名5"
     
123. )
     
124. 
     
125. # ----------------------------- Redis（限速与缓存） ------------------------
     
126. ENABLE_RATE_LIMITING=${ENABLE_RATE_LIMITING:-true}        # 是否启用 Redis L7 原子限速
     
127. RATELIMIT_TTL=${RATELIMIT_TTL:-600}                       # 计数 key 的 TTL（说明性）
     
128. RATELIMIT_RATE="${RATELIMIT_RATE:-15/minute}"             # 说明性显示
     
129. CC_RATELIMIT_THRESHOLD=${CC_RATELIMIT_THRESHOLD:-15}      # 10s 窗口阈值（INCR+EXPIRE）
     
130. 
     
131. # 日志游标缓存（显著降低 I/O）：依赖 redis-cli 与 stat
     
132. LOG_CACHE_ENABLE=${LOG_CACHE_ENABLE:-true}
     
133. LOG_CACHE_MAX_FALLBACK_LINES=${LOG_CACHE_MAX_FALLBACK_LINES:-20000}
     
134. # L7 攻击信誉系统阈值
     
135. REPUTATION_SCORE_THRESHOLD=${REPUTATION_SCORE_THRESHOLD:-100} # 信誉分封禁阈值
     
136. REPUTATION_SCORE_INCREMENT=${REPUTATION_SCORE_INCREMENT:-20}  # 每次违规增加的信誉分
     
137. 
     
138. # ----------------------------- 蜘蛛 UA 策略 --------------------------------
     
139. # 增加了对字节、神马、一搜等国内蜘蛛的识别和验证
     
140. GOOD_BOT_PATTERN='Googlebot|Baiduspider|bingbot|Sogou|360Spider|YisouSpider|YoudaoBot|msnbot|Yahoo! Slurp|YandexBot|DNSPod-Monitor|AspiegelBot|Bytespider|ToutiaoSpider|ShenmaBot'
     
141. # 半可信：允许其抓取，但会进行速率限制，防止过度消耗资源
     
142. SEMI_TRUST_BOTS='SemrushBot|AhrefsBot|MJ12bot|DotBot'
     
143. # 恶意/低价值：明确识别为恶意扫描器、采集工具或无价值的爬虫
     
144. BAD_BOT_PATTERN='Applebot|Amazonbot|GPTBot|ClaudeBot|PetalBot|DataForSeoBot|meta-externalagent|okhttp|Thinkbot|Scrapy|python-requests|aiohttp|curl|wget|python-urllib|Go-http-client|Java/|PycURL|httpx|HeadlessChrome|PhantomJS|CensysInspect|MegaIndex|serpstatbot'
     
145. declare -A GOOD_BOT_RDNS_SUFFIX=(
     
146.   ["Googlebot"]="\\.googlebot\\.com$|\\.google\\.com$"
     
147.   ["bingbot"]="\\.search\\.msn\\.com$|\\.bing\\.com$"
     
148.   ["Baiduspider"]="\\.baidu\\.com$|\\.baiducontent\\.com$"
     
149.   ["Sogou"]="\\.sogou\\.com$|\\.sogou\\.com\\.cn$"
     
150.   ["360Spider"]="\\.360\\.cn$|\\.haosou\\.com$|\\.so\\.com$"
     
151.   ["YisouSpider"]="\\.yisou\\.com$"
     
152.   ["YoudaoBot"]="\\.youdao\\.com$"
     
153.   ["YandexBot"]="\\.yandex\\.ru$|\\.yandex\\.net$"
     
154.   ["Yahoo! Slurp"]="\\.yahoo\\.com$|\\.yahoo\\.net$"
     
155.   ["msnbot"]="\\.msn\\.com$|\\.bing\\.com$"
     
156.   ["DNSPod-Monitor"]="\\.dnspod\\.cn$|\\.dnspod\\.com$"
     
157.   ["AspiegelBot"]="\\.aspiegel\\.com$|\\.petalbot\\.com$"
     
158.   # --- 新增的蜘蛛验证规则 ---
     
159.   ["Bytespider"]="\\.bytespider\\.com$"
     
160.   ["ToutiaoSpider"]="\\.toutiaospider\\.com$"
     
161.   ["ShenmaBot"]="\\.sm\\.cn$"
     
162. )
     
163. 
     
164. # ----------------------------- 白名单源 ------------------------------------
     
165. IGNORE_IP_FILE="/etc/ddos/ignore.ip.list"             # 一行一个（CIDR/单IP），支持 # 注释
     
166. IGNORE_HOST_FILE="/etc/ddos/ignore.host.list"         # 一行一个域名，解析 A/AAAA
     
167. BTWAF_IP_WHITE="${BTWAF_IP_WHITE:-/www/server/btwaf/rule/ip_white.json}"          # IPv4 整形或区间
     
168. BTWAF_IP_WHITE_V6="${BTWAF_IP_WHITE_V6:-/www/server/btwaf/rule/ip_white_v6.json}" # IPv6 CIDR/单段
     
169. 
     
170. # 白名单告警触发策略：仅根据来源文件 mtime 推送（true/false）
     
171. WL_ALERT_BY_MTIME_ONLY=${WL_ALERT_BY_MTIME_ONLY:-true}
     
172. 
     
173. # ----------------------------- Host/Path 阈值 JSON ------------------------
     
174. THRESHOLDS_JSON="${THRESHOLDS_JSON:-/etc/ddos/host-thresholds.json}"        # 模板文件参考 www.dz-x.net/t/151053/1/1.html
     
175. 
     
176. # ----------------------------- 扫描频率（动态） ---------------------------
     
177. SCAN_INTERVAL=${SCAN_INTERVAL:-8}               # 正常态 systemd timer 周期（秒）
     
178. ATTACK_SCAN_INTERVAL=${ATTACK_SCAN_INTERVAL:-2} # 攻击态 timer 周期（秒）
     
179. BAN_PERIOD=${BAN_PERIOD:-3600}                  # ipset 黑名单超时（秒）
     
180. 
     
181. # ----------------------------- ipset 名称 ---------------------------------
     
182. SET_WL_V4="ddos_whitelist_v4"
     
183. SET_WL_V6="ddos_whitelist_v6"
     
184. SET_BL_V4="ddos_blacklist_v4"
     
185. SET_BL_V6="ddos_blacklist_v6"
     
186. SET_RL_V4="ddos_ratelimit_v4"
     
187. SET_GB_V4="ddos_goodbots_v4"
     
188. SET_ADMIN_V4="ddos_admin_v4"
     
189. SET_RL_V6="ddos_ratelimit_v6"
     
190. SET_GB_V6="ddos_goodbots_v6"
     
191. # 引入“攻击信誉”与“观察名单”
     
192. SET_WATCHLIST_V4="ddos_watchlist_v4"
     
193. # 引入高风险IP信誉源(IP威胁情报库)
     
194. SET_BADREP_V4="ddos_bad_reputation_v4"
     
195. 
     
196. # ----------------------------- 颜色/状态 ----------------------------------
     
197. C_R=$'\033[0;31m'; C_G=$'\033[0;32m'; C_Y=$'\033[0;33m'; C_B=$'\033[0;34m'; C_N=$'\033[0m'
     
198. declare -a BANNED_THIS_RUN=()
     
199. declare -a LIMITED_THIS_RUN=()
     
200. 
     
201. # ----------------------------- 阈值缓存 -----------------------------------
     
202. declare -A HT_HOST_WEIGHT HT_REQ_L1 HT_REQ_L2 HT_REQ_L3 HT_SYN_PERIP HT_EST_PERIP
     
203. declare -A PT_KIND PT_PAT PT_L1 PT_L2 PT_L3 PT_COUNT
     
204. GLOBAL_SYN=${GLOBAL_SYN:-0}; GLOBAL_EST=${GLOBAL_EST:-0}; GLOBAL_CT=${GLOBAL_CT:-0}
     
205. 
     
206. # ----------------------------- 白名单变更检测（Redis） --------------------
     
207. WL_REDIS_NS="ddos:wl"               # 白名单命名空间
     
208. WL_MTIME_SIG_FILE="$RUNDIR/wl.mtime.sig"  # mtime 签名（本地快照）
     
209. 
     
210. # ----------------------------- 通用函数 -----------------------------------
     
211. log(){ echo "[$($DATE '+%F %T')] [ddos-guard] $*" | tee -a "$LOG_FILE"; }
     
212. die(){ echo >&2 "${C_R}Error:${C_N} $*"; exit 1; }
     
213. need_root(){ [ "$(id -u)" -eq 0 ] || die "需要 root 权限运行。"; }
     
214. have(){ command -v "$1" >/dev/null 2>&1; }
     
215. 
     
216. # 锁：打开 + 非阻塞尝试
     
217. lock_open(){ exec {LOCK_FD}> "$LOCK_FILE" || die "无法打开锁文件：$LOCK_FILE"; }
     
218. lock_try(){ flock -n "$LOCK_FD"; }            # 拿不到锁返回非 0
     
219. lock_wait(){ flock "$LOCK_FD"; }              # 阻塞等待
     
220. 
     
221. # 获取公网 IP (高可用)
     
222. get_public_ip(){
     
223.   local ip=""
     
224.   # 方法1: 依次尝试多个可靠的 HTTP 服务
     
225.   # 使用 --max-time 5 防止慢速传输挂起
     
226.   local http_svcs=("ip.3322.net" "icanhazip.com" "ifconfig.me" "api.ipify.org" "ipinfo.io/ip" "whatismyip.akamai.com")
     
227.   if [ -n "$CURL" ]; then
     
228.     for svc in "${http_svcs[@]}"; do
     
229.       # 使用 head -n1 确保只取第一行，防止服务返回额外信息
     
230.       ip=$($CURL -4 -s --connect-timeout 2 --max-time 5 "$svc" | head -n1)
     
231.       if is_ipv4 "$ip" || is_ipv6 "$ip"; then
     
232.         echo "$ip"
     
233.         return 0
     
234.       fi
     
235.     done
     
236.   fi
     
237. 
     
238.   # 方法2: 如果 HTTP 失败，降级到 DNS 查询 (使用 OpenDNS 的解析器)
     
239.   if [ -n "$HOST" ]; then
     
240.     ip=$(host myip.opendns.com resolver1.opendns.com 2>/dev/null | awk '/has address/ {print $NF}')
     
241.     if is_ipv4 "$ip"; then # OpenDNS 此方法通常只返回 IPv4
     
242.       echo "$ip"
     
243.       return 0
     
244.     fi
     
245.   fi
     
246. 
     
247.   # 如果所有方法都失败，返回 N/A
     
248.   echo "N/A"
     
249. }
     
250. # ==============================================================================
     
251. # 工具：IP/域名判别与转换
     
252. # ==============================================================================
     
253. is_ipv4(){ [[ "$1" =~ ^([0-9]{1,3}\.){3}[0-9]{1,3}$ ]] && IFS=. read -r a b c d <<<"$1" && ((a<=255&&b<=255&&c<=255&&d<=255)); }
     
254. is_ipv6(){ [[ "$1" == *:* ]]; }
     
255. is_cidr4(){ [[ "$1" =~ ^([0-9]{1,3}\.){3}[0-9]{1,3}/([0-9]|[1-2][0-9]|3[0-2])$ ]] && IFS='/.' read -r a b c d m <<<"${1//\//.}" && ((a<=255&&b<=255&&c<=255&&d<=255)); }
     
256. is_cidr6(){ [[ "$1" =~ :/.+ ]] && [[ "${1##*/}" =~ ^([0-9]|[1-9][0-9]|1[0-1][0-9]|12[0-8])$ ]]; }
     
257. is_ip_or_cidr(){ is_ipv4 "$1" || is_ipv6 "$1" || is_cidr4 "$1" || is_cidr6 "$1"; }
     
258. 
     
259. is_private_ip(){
     
260.   local ip="$1"
     
261.   if have python3; then
     
262.     python3 - <<'PY' "$ip" || exit 1
     
263. import ipaddress,sys
     
264. ip=sys.argv[1]
     
265. try:
     
266.   o=ipaddress.ip_address(ip)
     
267.   print("1" if (o.is_private or o.is_loopback or o.is_link_local or o.is_reserved) else "0")
     
268. except: print("0")
     
269. PY
     
270.   else
     
271.     [[ "$ip" =~ ^10\.|^127\.|^169\.254\.|^192\.168\.|^172\.(1[6-9]|2[0-9]|3[0-1])\. ]] && echo 1 || echo 0
     
272.   fi
     
273. }
     
274. 
     
275. resolve_host_to_ips(){
     
276.   local host="$1" out=()
     
277.   if have getent; then
     
278.     while read -r ip; do out+=("$ip"); done < <(getent ahosts "$host" | awk '{print $1}' | sort -u)
     
279.   elif have host; then
     
280.     while read -r ip; do out+=("$ip"); done < <(host -W1 "$host" 2>/dev/null | awk '/has address|IPv6 address/ {print $NF}' | sort -u)
     
281.   fi
     
282.   printf "%s\n" "${out[@]}" | sort -u
     
283. }
     
284. 
     
285. guess_host_from_file(){
     
286.   local file="$1" k
     
287.   for k in "${!LOG_HOST_MAP[@]}"; do [[ "$file" =~ $k ]] && { echo "${LOG_HOST_MAP[$k]}"; return 0; }; done
     
288.   echo "default"
     
289. }
     
290. 
     
291. ipset_members(){ $IPSET list "$1" 2>/dev/null | awk '/^Members:/ {flag=1; next} flag && NF {print $1}'; }
     
292. 
     
293. redis_hincrby(){
     
294.   [ -n "$REDIS_CLI" ] || return 1
     
295.   local hash_key="$1" field="$2" increment="$3"
     
296.   $REDIS_CLI HINCRBY "$hash_key" "$field" "$increment" 2>/dev/null || true
     
297. }
     
298. redis_hget(){
     
299.   [ -n "$REDIS_CLI" ] || return 1
     
300.   local hash_key="$1" field="$2"
     
301.   $REDIS_CLI HGET "$hash_key" "$field" 2>/dev/null || echo ""
     
302. }
     
303. 
     
304. # BTWAF IPv4 整形/区间 → CIDR/单 IP
     
305. parse_btwaf_ipv4_json(){
     
306.   local json="$1"; [ -f "$json" ] || return 0
     
307.   [ -n "$PY3" ] || { log "跳过 BTWAF IPv4：未安装 python3"; return 0; }
     
308.   python3 - "$json" <<'PY' || exit 1
     
309. import sys,json,ipaddress
     
310. from math import log2, floor
     
311. def range_to_cidrs(a,b):
     
312.     res=[]; cur=a
     
313.     while cur<=b:
     
314.         max_size = 32 - int(floor(log2((cur & -cur))))
     
315.         max_allowed = 32 - int(floor(log2(b - cur + 1)))
     
316.         mask = max(max_size, max_allowed)
     
317.         res.append(f"{str(ipaddress.IPv4Address(cur))}/{mask}")
     
318.         cur += (1 << (32-mask))
     
319.     return res
     
320. p=sys.argv[1]
     
321. data=json.load(open(p,'r',encoding='utf-8'))
     
322. out=[]
     
323. for it in data:
     
324.     if isinstance(it,list) and len(it)==2:
     
325.         a,b=int(it[0]),int(it[1])
     
326.         if a==b: out.append(str(ipaddress.IPv4Address(a)))
     
327.         else:    out.extend(range_to_cidrs(a,b))
     
328.     elif isinstance(it,int):
     
329.         out.append(str(ipaddress.IPv4Address(it)))
     
330. for line in out: print(line)
     
331. PY
     
332. }
     
333. 
     
334. # BTWAF IPv6 直接读取（字符串或一维 list）
     
335. parse_btwaf_ipv6_json(){
     
336.   local json="$1"; [ -f "$json" ] || return 0
     
337.   [ -n "$PY3" ] || { log "跳过 BTWAF IPv6：未安装 python3"; return 0; }
     
338.   python3 - "$json" <<'PY' || exit 1
     
339. import sys,json
     
340. data=json.load(open(sys.argv[1],'r',encoding='utf-8'))
     
341. for it in data:
     
342.     if isinstance(it,list) and it:
     
343.         s=str(it[0]).strip()
     
344.         if s: print(s)
     
345.     elif isinstance(it,str):
     
346.         s=it.strip()
     
347.         if s: print(s)
     
348. PY
     
349. }
     
350. 
     
351. # 最近 UA 获取 + 真假蜘蛛校验
     
352. recent_ua_by_ip(){
     
353.   local ip="$1" n="${2:-2000}" f ua
     
354.   for f in "${CC_LOG_PATHS[@]}"; do
     
355.     [ -f "$f" ] || continue
     
356.     ua=$($TAIL -n "$n" "$f" | $GREP -F " $ip " | awk -F" '{print $(NF-1)}' | tail -n 1)
     
357.     [ -n "$ua" ] && { echo "$ua"; return 0; }
     
358.   done
     
359.   echo ""
     
360. }
     
361. rdns_ptr(){ [ -n "$HOST" ] || { echo ""; return; }; host -W1 "$1" 2>/dev/null | awk '/pointer/ {gsub(/\.$/,"",$NF); print $NF; exit}'; }
     
362. forward_confirms(){ local n="$1" ip="$2"; [ -z "$n" ] && { echo 0; return; }; local ips; ips=$(resolve_host_to_ips "$n" | tr '\n' ' '); [[ " $ips " == *" $ip "* ]] && echo 1 || echo 0; }
     
363. good_bot_key_from_ua(){ local ua="$1" k; for k in "${!GOOD_BOT_RDNS_SUFFIX[@]}"; do echo "$ua" | $GREP -Eiq -- "$k" && { echo "$k"; return; }; done; echo ""; }
     
364. classify_ua_for_ip(){
     
365.   local ip="$1"; local ua; ua="$(recent_ua_by_ip "$ip")"
     
366.   [ -z "$ua" ] && { echo "OTHER"; return; }
     
367.   if echo "$ua" | $GREP -Eiq -- "$GOOD_BOT_PATTERN"; then
     
368.     local key; key=$(good_bot_key_from_ua "$ua")
     
369.     if [ -n "$key" ]; then
     
370.       local ptr; ptr="$(rdns_ptr "$ip")"
     
371.       if [ -n "$ptr" ] && echo "$ptr" | $GREP -Eiq -- "${GOOD_BOT_RDNS_SUFFIX[$key]}"; then
     
372.         [ "$(forward_confirms "$ptr" "$ip")" = "1" ] && echo "GOOD" || echo "FAKEGOOD"
     
373.       else echo "FAKEGOOD"; fi
     
374.       return
     
375.     fi
     
376.   fi
     
377.   echo "$ua" | $GREP -Eiq -- "$SEMI_TRUST_BOTS" && { echo "SEMI"; return; }
     
378.   echo "$ua" | $GREP -Eiq -- "$BAD_BOT_PATTERN" && { echo "BAD"; return; }
     
379.   echo "OTHER"
     
380. }
     
381. 
     
382. # ==============================================================================
     
383. # ipset/iptables 初始化
     
384. # ==============================================================================
     
385. ensure_ipset_and_iptables(){
     
386.   have ipset || die "缺少 ipset"
     
387.   have iptables || die "缺少 iptables"
     
388.   
     
389.   # --- ↓↓↓↓ 新增：创建高风险信誉集合 ↓↓↓↓ ---
     
390.   $IPSET create "$SET_BADREP_V4" hash:net -exist maxelem 262144
     
391. 
     
392.   $IPSET create "$SET_WL_V4" hash:net -exist maxelem 524288
     
393.   $IPSET create "$SET_WL_V6" hash:net -exist family inet6 maxelem 262144
     
394.   $IPSET create "$SET_BL_V4" hash:ip  -exist maxelem 1048576 timeout "$BAN_PERIOD"
     
395.   $IPSET create "$SET_BL_V6" hash:ip  -exist family inet6 maxelem 524288 timeout "$BAN_PERIOD"
     
396.   $IPSET create "$SET_RL_V4" hash:ip  -exist maxelem 524288 timeout "$BAN_PERIOD"
     
397.   $IPSET create "$SET_GB_V4" hash:ip  -exist maxelem 131072
     
398.   $IPSET create "$SET_ADMIN_V4" hash:ip  -exist maxelem 1024 timeout 3600
     
399.   $IPSET create "$SET_RL_V6" hash:ip  -exist family inet6 maxelem 524288 timeout "$BAN_PERIOD"
     
400.   $IPSET create "$SET_GB_V6" hash:ip  -exist family inet6 maxelem 131072
     
401.   $IPSET create "$SET_WATCHLIST_V4" hash:ip -exist maxelem 65536 timeout 7200
     
402.   # 这条规则的优先级非常高，会先于黑名单和白名单进行匹配
     
403.   $IPT -C INPUT -m set --match-set "$SET_BADREP_V4" src -j DROP 2>/dev/null || $IPT -I INPUT 1 -m set --match-set "$SET_BADREP_V4" src -j DROP
     
404.   
     
405.   $IPT -C INPUT -m set --match-set "$SET_WL_V4" src -j ACCEPT 2>/dev/null || $IPT -I INPUT -m set --match-set "$SET_WL_V4" src -j ACCEPT
     
406.   $IPT -C INPUT -m set --match-set "$SET_BL_V4" src -j DROP    2>/dev/null || $IPT -I INPUT -m set --match-set "$SET_BL_V4" src -j DROP
     
407.   $IPT -C INPUT -m set --match-set "$SET_RL_V4" src -j DROP    2>/dev/null || $IPT -I INPUT -m set --match-set "$SET_RL_V4" src -j DROP
     
408. 
     
409.   if have ip6tables; then
     
410.     $IP6T -C INPUT -m set --match-set "$SET_WL_V6" src -j ACCEPT 2>/dev/null || $IP6T -I INPUT -m set --match-set "$SET_WL_V6" src -j ACCEPT
     
411.     $IP6T -C INPUT -m set --match-set "$SET_BL_V6" src -j DROP    2>/dev/null || $IP6T -I INPUT -m set --match-set "$SET_BL_V6" src -j DROP
     
412.     # --- 下面是新增的规则 ---
     
413.     $IP6T -C INPUT -m set --match-set "$SET_RL_V6" src -j DROP    2>/dev/null || $IP6T -I INPUT -m set --match-set "$SET_RL_V6" src -j DROP
     
414.   fi
     
415. }
     
416. 
     
417. # ==============================================================================
     
418. # BTWAF 路径探测
     
419. # ==============================================================================
     
420. autodetect_btwaf_paths(){
     
421.   if [ ! -r "$BTWAF_IP_WHITE" ] || [ ! -s "$BTWAF_IP_WHITE" ]; then
     
422.     local alt="/www/server/panel/plugin/btwaf/rule/ip_white.json"; [ -r "$alt" ] && BTWAF_IP_WHITE="$alt"
     
423.   fi
     
424.   if [ ! -r "$BTWAF_IP_WHITE_V6" ] || [ ! -s "$BTWAF_IP_WHITE_V6" ]; then
     
425.     local alt6="/www/server/panel/plugin/btwaf/rule/ip_white_v6.json"; [ -r "$alt6" ] && BTWAF_IP_WHITE_V6="$alt6"
     
426.   fi
     
427. }
     
428. 
     
429. # ==============================================================================
     
430. # systemd timer 间隔在线调整
     
431. # ==============================================================================
     
432. timer_unit="/etc/systemd/system/ddos-guard.timer"
     
433. get_current_interval(){ awk -F= '/^OnUnitActiveSec=/{print $2}' "$timer_unit" 2>/dev/null | tail -n1; }
     
434. set_timer_interval(){
     
435.   local new="$1"
     
436.   [ -f "$timer_unit" ] || return 0
     
437.   sed -i "s/^OnUnitActiveSec=.*/OnUnitActiveSec=${new}s/" "$timer_unit"
     
438.   systemctl daemon-reload
     
439.   systemctl try-restart ddos-guard.timer >/dev/null 2>&1 || systemctl restart ddos-guard.timer >/dev/null 2>&1
     
440.   echo "$new" > "$RUNDIR/scan-interval.current" || true
     
441. }
     
442. attack_state_file="$RUNDIR/attack.state" # 内容：0/1
     
443. 
     
444. # ==============================================================================
     
445. # 白名单聚合/加载 + 变更检测/自愈 + mtime 判定告警
     
446. # ==============================================================================
     
447. WL_SNAPSHOT_V4="$RUNDIR/wl.v4.txt"
     
448. WL_SNAPSHOT_V6="$RUNDIR/wl.v6.txt"
     
449. 
     
450. file_mtime(){ [ -f "$1" ] && $STAT -c %Y "$1" 2>/dev/null || echo 0; }
     
451. compute_wl_mtime_sig(){
     
452.   autodetect_btwaf_paths
     
453.   local m1 m2 m3 m4
     
454.   m1=$(file_mtime "$IGNORE_IP_FILE");    m2=$(file_mtime "$IGNORE_HOST_FILE")
     
455.   m3=$(file_mtime "$BTWAF_IP_WHITE");    m4=$(file_mtime "$BTWAF_IP_WHITE_V6")
     
456.   echo "${m1}-${m2}-${m3}-${m4}"
     
457. }
     
458. 
     
459. redis_set(){ [ -n "$REDIS_CLI" ] && $REDIS_CLI SETEX "$1" 86400 "$2" >/dev/null 2>&1 || true; }
     
460. redis_get(){ [ -n "$REDIS_CLI" ] && $REDIS_CLI GET "$1" 2>/dev/null || echo ""; }
     
461. 
     
462. escape_json(){ echo -n "$1" | python3 -c 'import json,sys; print(json.dumps(sys.stdin.read())[1:-1])'; }
     
463. should_throttle(){
     
464.   local tag="$1"; local tsf="$ALERT_TS_DIR/${tag}.ts"; local now; now=$(date +%s)
     
465.   if [ -f "$tsf" ]; then local last; last=$(cat "$tsf" 2>/dev/null || echo 0); (( now - last < DINGTALK_THROTTLE_SEC )) && return 0; fi
     
466.   echo "$now" > "$tsf"; return 1
     
467. }
     
468. alert_markdown(){
     
469.   # 夜间免打扰 (23:30 ~ 06:30)
     
470.   local h; h=$(date '+%H')
     
471.   local m; m=$(date '+%M')
     
472.   # 修正：使用 10# 强制将小时和分钟作为十进制处理，避免八进制错误
     
473.   if (( (10#$h == 23 && 10#$m >= 30) || 10#$h < 6 || (10#$h == 6 && 10#$m < 30) )); then
     
474.     return 0 # 在静默时段，直接退出函数，不发送任何通知
     
475.   fi
     
476. 
     
477.   [ -n "$DINGTALK_WEBHOOK" ] || return 0
     
478.   local tag="$1" title="$2" text="$3"
     
479.   if should_throttle "$tag"; then
     
480.     return 0
     
481.   fi
     
482.   
     
483.   local payload
     
484.   payload=$(cat <<JSON
     
485. {"msgtype":"markdown","markdown":{"title":"${title}","text":"$(escape_json "$text")"}}
     
486. JSON
     
487. )
     
488.   $CURL -s -H 'Content-Type: application/json' -X POST -d "$payload" "$DINGTALK_WEBHOOK" >/dev/null 2>&1 || true
     
489. }
     
490. 
     
491. load_whitelist(){
     
492.   set +e
     
493.   ensure_ipset_and_iptables
     
494.   autodetect_btwaf_paths
     
495. 
     
496.   log "开始重载白名单（BTWAF + ignore.ip + ignore.host） ..."
     
497.   log "BTWAF IPv4：$BTWAF_IP_WHITE"
     
498.   log "BTWAF IPv6：$BTWAF_IP_WHITE_V6"
     
499. 
     
500.   local tmp4="$TMPDIR/wl4.txt"; local tmp6="$TMPDIR/wl6.txt"
     
501.   : > "$tmp4"; : > "$tmp6"
     
502. 
     
503.   local cnt_src_ignore_ip4=0 cnt_src_ignore_ip6=0
     
504.   local cnt_src_ignore_host_in=0 cnt_src_ignore_host_ok4=0 cnt_src_ignore_host_ok6=0
     
505.   local cnt_src_btwaf4=0 cnt_src_btwaf6=0
     
506. 
     
507.   # 1) ignore.ip.list：解析并区分 v4/v6
     
508.   if [ -r "$IGNORE_IP_FILE" ]; then
     
509.     while IFS= read -r raw; do
     
510.       line="${raw%%#*}"; line="${line//$'\r'/}"; line="$(echo "$line" | xargs || true)"
     
511.       [ -n "$line" ] || continue
     
512.       fam=""
     
513.       if [ -n "$PY3" ]; then
     
514.         fam="$(
     
515. python3 - <<'PY' "$line" 2>/dev/null || true
     
516. import sys, ipaddress
     
517. s=sys.argv[1]
     
518. try:
     
519.   n=ipaddress.ip_network(s, strict=False); print(6 if n.version==6 else 4)
     
520. except:
     
521.   try:
     
522.     a=ipaddress.ip_address(s); print(6 if a.version==6 else 4)
     
523.   except:
     
524.     pass
     
525. PY
     
526.         )"
     
527.       fi
     
528.       if [ "$fam" = "6" ]; then echo "$line" >> "$tmp6"; ((cnt_src_ignore_ip6++))
     
529.       elif [ "$fam" = "4" ]; then echo "$line" >> "$tmp4"; ((cnt_src_ignore_ip4++))
     
530.       else
     
531.         if is_cidr6 "$line" || is_ipv6 "$line"; then echo "$line" >> "$tmp6"; ((cnt_src_ignore_ip6++))
     
532.         elif is_cidr4 "$line" || is_ipv4 "$line"; then echo "$line" >> "$tmp4"; ((cnt_src_ignore_ip4++))
     
533.         else log "忽略非法白名单行：$line"
     
534.         fi
     
535.       fi
     
536.     done < "$IGNORE_IP_FILE"
     
537.   fi
     
538.   log "ignore.ip.list 读入：IPv4=$cnt_src_ignore_ip4 IPv6=$cnt_src_ignore_ip6"
     
539. 
     
540.   # 2) ignore.host.list：解析 A/AAAA
     
541.   if [ -r "$IGNORE_HOST_FILE" ]; then
     
542.     while IFS= read -r rawh; do
     
543.       h="${rawh%%#*}"; h="${h//$'\r'/}"; h="$(echo "$h" | xargs || true)"
     
544.       [ -n "$h" ] || continue
     
545.       ((cnt_src_ignore_host_in++))
     
546.       while read -r ip; do
     
547.         [ -z "$ip" ] && continue
     
548.         if is_ipv6 "$ip"; then echo "$ip" >> "$tmp6"; ((cnt_src_ignore_host_ok6++))
     
549.         else echo "$ip" >> "$tmp4"; ((cnt_src_ignore_host_ok4++))
     
550.         fi
     
551.       done < <(resolve_host_to_ips "$h")
     
552.     done < "$IGNORE_HOST_FILE"
     
553.   fi
     
554.   log "ignore.host.list 域名条目=$cnt_src_ignore_host_in → 解析成功 IPv4=$cnt_src_ignore_host_ok4 IPv6=$cnt_src_ignore_host_ok6"
     
555. 
     
556.   # 3) BTWAF IPv4
     
557.   if [ -r "$BTWAF_IP_WHITE" ] && [ -n "$PY3" ]; then
     
558.     local before=$(wc -l < "$tmp4" 2>/dev/null || echo 0)
     
559.     parse_btwaf_ipv4_json "$BTWAF_IP_WHITE" >> "$tmp4"
     
560.     local after=$(wc -l < "$tmp4" 2>/dev/null || echo 0)
     
561.     cnt_src_btwaf4=$(( after - before ))
     
562.   fi
     
563.   # 4) BTWAF IPv6
     
564.   if [ -r "$BTWAF_IP_WHITE_V6" ] && [ -n "$PY3" ]; then
     
565.     local before6=$(wc -l < "$tmp6" 2>/dev/null || echo 0)
     
566.     parse_btwaf_ipv6_json "$BTWAF_IP_WHITE_V6" >> "$tmp6"
     
567.     local after6=$(wc -l < "$tmp6" 2>/dev/null || echo 0)
     
568.     cnt_src_btwaf6=$(( after6 - before6 ))
     
569.   fi
     
570. 
     
571.   # 5) 去重 + 校验
     
572.   sort -u "$tmp4" -o "$tmp4"; sort -u "$tmp6" -o "$tmp6"
     
573.   local tmp4v="$TMPDIR/wl4.valid"; local tmp6v="$TMPDIR/wl6.valid"
     
574.   : > "$tmp4v"; : > "$tmp6v"
     
575.   local v4=0 v6=0
     
576.   while read -r x; do is_ip_or_cidr "$x" && { echo "$x"; ((v4++)); }; done < "$tmp4" > "$tmp4v"
     
577.   while read -r x; do is_ip_or_cidr "$x" && { echo "$x"; ((v6++)); }; done < "$tmp6" > "$tmp6v"
     
578. 
     
579.   log "聚合计数：ignore.ip → v4=$cnt_src_ignore_ip4 v6=$cnt_src_ignore_ip6；ignore.host 成功 → v4=$cnt_src_ignore_host_ok4 v6=$cnt_src_ignore_host_ok6；BTWAF → v4=$cnt_src_btwaf4 v6=$cnt_src_btwaf6；校验通过 → v4=$v4 v6=$v6"
     
580. 
     
581.   # 6) 批量注入 ipset
     
582.   {
     
583.     echo "flush $SET_WL_V4"
     
584.     while read -r net; do [ -n "$net" ] && echo "add $SET_WL_V4 $net"; done < "$tmp4v"
     
585.     echo "flush $SET_WL_V6"
     
586.     while read -r net; do [ -n "$net" ] && echo "add $SET_WL_V6 $net"; done < "$tmp6v"
     
587.   } | $IPSET restore -exist >/dev/null 2>&1 || log "WARN: ipset restore 返回非零（已忽略）"
     
588. 
     
589.   # 7) 保存快照
     
590.   ipset_members "$SET_WL_V4" > "$WL_SNAPSHOT_V4" || true
     
591.   ipset_members "$SET_WL_V6" > "$WL_SNAPSHOT_V6" || true
     
592.   local final4=$(wc -l < "$WL_SNAPSHOT_V4" 2>/dev/null || echo 0)
     
593.   local final6=$(wc -l < "$WL_SNAPSHOT_V6" 2>/dev/null || echo 0)
     
594. 
     
595.   # 7.1 记录有效聚合哈希（仅用于自愈判定，不触发告警）
     
596.   local h4="" h6=""
     
597.   if [ -n "$SHA1" ]; then
     
598.     h4=$(cat "$tmp4v" 2>/dev/null | $SHA1 | awk '{print $1}')
     
599.     h6=$(cat "$tmp6v" 2>/dev/null | $SHA1 | awk '{print $1}')
     
600.   else
     
601.     h4="$(wc -l < "$tmp4v" 2>/dev/null)-$(head -n1 "$tmp4v" 2>/dev/null)"
     
602.     h6="$(wc -l < "$tmp6v" 2>/dev/null)-$(head -n1 "$tmp6v" 2>/dev/null)"
     
603.   fi
     
604.   local p4="$(redis_get "$WL_REDIS_NS:hash:v4")"
     
605.   local p6="$(redis_get "$WL_REDIS_NS:hash:v6")"
     
606.   local src_stat="ignore.v4=$cnt_src_ignore_ip4 ignore.v6=$cnt_src_ignore_ip6 host.v4=$cnt_src_ignore_host_ok4 host.v6=$cnt_src_ignore_host_ok6 btwaf.v4=$cnt_src_btwaf4 btwaf.v6=$cnt_src_btwaf6 valid.v4=$v4 valid.v6=$v6"
     
607.   redis_set "$WL_REDIS_NS:hash:v4" "$h4"
     
608.   redis_set "$WL_REDIS_NS:hash:v6" "$h6"
     
609.   redis_set "$WL_REDIS_NS:srcstat" "$src_stat"
     
610.   echo "$src_stat" > "$RUNDIR/wl.srcstat" || true
     
611. 
     
612.   # 7.2 变更 → 自愈（无推送）
     
613.   if [ "$h4" != "$p4" ] || [ "$h6" != "$p6" ]; then
     
614.     reconcile_unban_whitelisted
     
615.   fi
     
616. 
     
617.   # 7.3 来源文件 mtime 变化才推送
     
618.   local cur_msig; cur_msig="$(compute_wl_mtime_sig)"
     
619.   local prev_msig=""
     
620.   [ -f "$WL_MTIME_SIG_FILE" ] && prev_msig="$(cat "$WL_MTIME_SIG_FILE" 2>/dev/null || echo "")"
     
621.   echo "$cur_msig" > "$WL_MTIME_SIG_FILE"
     
622. 
     
623.   if [ "${WL_ALERT_BY_MTIME_ONLY}" = true ]; then
     
624.     if [ "$cur_msig" != "$prev_msig" ]; then
     
625.       local unb="$(cat "$RUNDIR/last_unban_wl.count" 2>/dev/null || echo 0)"
     
626.       local wl_text="### 🧾 白名单更新（来源文件变更）
     
627. - **时间**：$($DATE '+%F %T')
     
628. - **来源统计**：$src_stat
     
629. - **当前快照**：IPv4=${final4} 条，IPv6=${final6} 条
     
630. - **本轮自愈解封**：${unb} 个"
     
631.       alert_markdown "wl-change" "白名单更新" "$wl_text"
     
632.     fi
     
633.   else
     
634.     # 不仅按 mtime，哈希变化也推送（可选）
     
635.     if [ "$h4" != "$p4" ] || [ "$h6" != "$p6" ]; then
     
636.       local unb="$(cat "$RUNDIR/last_unban_wl.count" 2>/dev/null || echo 0)"
     
637.       local wl_text="### 🧾 白名单更新（聚合内容变化）
     
638. - **时间**：$($DATE '+%F %T')
     
639. - **来源统计**：$src_stat
     
640. - **当前快照**：IPv4=${final4} 条，IPv6=${final6} 条
     
641. - **本轮自愈解封**：${unb} 个"
     
642.       alert_markdown "wl-change" "白名单更新" "$wl_text"
     
643.     fi
     
644.   fi
     
645. 
     
646.   log "白名单重载完成：IPv4 $final4 条，IPv6 $final6 条。"
     
647.   set -e
     
648. }
     
649. 
     
650. show_whitelist(){
     
651.   ensure_ipset_and_iptables
     
652.   echo "=== IPv4 whitelist ($SET_WL_V4) ==="; ipset_members "$SET_WL_V4" | head -n 200
     
653.   echo "=== IPv6 whitelist ($SET_WL_V6) ==="; ipset_members "$SET_WL_V6" | head -n 200
     
654.   echo "(仅展示前 200 条；完整请使用：ipset list $SET_WL_V4 / $SET_WL_V6)"
     
655. }
     
656. 
     
657. is_in_whitelist_snapshot(){
     
658.   local ip="$1"
     
659.   if is_ipv6 "$ip"; then
     
660.     grep -Fxq -- "$ip" "$WL_SNAPSHOT_V6" 2>/dev/null && return 0
     
661.   else
     
662.     $IPSET test "$SET_WL_V4" "$ip" >/dev/null 2>&1 && return 0
     
663.     grep -Fxq -- "$ip" "$WL_SNAPSHOT_V4" 2>/dev/null && return 0
     
664.   fi
     
665.   return 1
     
666. }
     
667. 
     
668. reconcile_unban_whitelisted(){
     
669.   local tmp="$TMPDIR/reconcile.$$" cnt=0
     
670.   ipset_members "$SET_BL_V4" > "$tmp" || true
     
671.   while read -r ip; do
     
672.     [ -n "$ip" ] || continue
     
673.     if is_in_whitelist_snapshot "$ip"; then
     
674.       unban_ip "$ip" "auto-unban-wl" && ((cnt++))
     
675.     fi
     
676.   done < "$tmp"
     
677.   if have ip6tables; then
     
678.     ipset_members "$SET_BL_V6" > "$tmp" || true
     
679.     while read -r ip; do
     
680.       [ -n "$ip" ] || continue
     
681.       if is_in_whitelist_snapshot "$ip"; then
     
682.         unban_ip "$ip" "auto-unban-wl" && ((cnt++))
     
683.       fi
     
684.     done < "$tmp"
     
685.   fi
     
686.   echo "$cnt" > "$RUNDIR/last_unban_wl.count"
     
687. }
     
688. 
     
689. # ==============================================================================
     
690. # L4 实时排行（修复版）
     
691. # ==============================================================================
     
692. extract_peer_ip_awk='
     
693. function peerip(s,    x){
     
694.   # [2001:db8::1]:443 / 1.2.3.4:54321 / 2001:db8::1
     
695.   if (s ~ /^\[/) { gsub(/^\[/,"",s); sub(/\].*$/,"",s); return s; }
     
696.   sub(/:[0-9]+$/,"",s);
     
697.   return s;
     
698. }
     
699. { ip=peerip($NF); if (ip!="" && ip!="-") print ip; }
     
700. '
     
701. top_talkers_l4(){
     
702.   have ss || die "缺少 ss"
     
703.   local est syn
     
704.   est=$($SS -Hnta state established 2>/dev/null | awk "$extract_peer_ip_awk" | sort | uniq -c | sort -nr | head -n 20)
     
705.   syn=$($SS -Hnta state syn-recv    2>/dev/null | awk "$extract_peer_ip_awk" | sort | uniq -c | sort -nr | head -n 20)
     
706.   echo "---- Top EST ----"; [ -n "$est" ] && echo "$est" || echo "(无活动连接)"
     
707.   echo "---- Top SYN_RECV ----"; [ -n "$syn" ] && echo "$syn" || echo "(无活动连接)"
     
708. }
     
709. 
     
710. should_attack_mode(){
     
711.   local ct_count=0; have conntrack && ct_count=$(conntrack -C 2>/dev/null || echo 0)
     
712.   local syn_total est_total time_wait_total
     
713.   syn_total=$($SS -Hnta state syn-recv    | awk '{c++} END{print c+0}')
     
714.   est_total=$($SS -Hnta state established | awk '{c++} END{print c+0}')
     
715.   time_wait_total=$($SS -Hnta state time-wait | awk '{c++} END{print c+0}') # 新增
     
716. 
     
717.   local result=0
     
718.   # 新增 TIME_WAIT > 5000 (可调) 作为触发条件
     
719.   if (( ct_count > NO_OF_CT || syn_total > NO_OF_SYN || est_total > NO_OF_EST || time_wait_total > 5000 )); then
     
720.     result=1
     
721.   fi
     
722. 
     
723.   # 第一行输出结果 1 或 0
     
724.   echo "$result"
     
725.   # 后续行输出详细的指标，用于告警
     
726.   echo "Conntrack: ${ct_count} / ${NO_OF_CT}"
     
727.   echo "SYN Total: ${syn_total} / ${NO_OF_SYN}"
     
728.   echo "EST Total: ${est_total} / ${NO_OF_EST}"
     
729.   echo "TIME_WAIT: ${time_wait_total} / 5000" # 新增
     
730. }
     
731. 
     
732. # ==============================================================================
     
733. # Host/Path 阈值（外部 JSON 优先；否则内置 Discuz PATH_TIERS）
     
734. # ==============================================================================
     
735. DEFAULT_THRESHOLDS_JSON='{
     
736.   "GLOBAL": { "SYN_GLOBAL_THRESHOLD": 180, "EST_GLOBAL_THRESHOLD": 260, "CONNTRACK_GLOBAL_THRESHOLD": 15000 },
     
737.   "*": {
     
738.     "HOST_WEIGHT": 2.0, "REQ_PER_MIN_L1": 160, "REQ_PER_MIN_L2": 300, "REQ_PER_MIN_L3": 600,
     
739.     "CONN_PER_IP_SYN_THRESHOLD": 68, "CONN_PER_IP_EST_THRESHOLD": 120,
     
740.     "PATH_TIERS": [
     
741.       { "kind": "prefix", "pattern": "/forum.php?mod=image",            "L1": 10, "L2": 20,  "L3": 40  },
     
742.       { "kind": "regex",  "pattern": "^/plugin\\.php\\?id=aljol(&|$)",  "L1":  6, "L2": 12,  "L3": 24  },
     
743.       { "kind": "regex",  "pattern": "^/ajax\\.php(\\?|$)",             "L1":  8, "L2": 16,  "L3": 32  },
     
744.       { "kind": "regex",  "pattern": "^/avatar\\.php(\\?|$)",             "L1":  8, "L2": 16,  "L3": 32  },
     
745.       { "kind": "regex",  "pattern": "^/misc\\.php\\?mod=seccode(&|$)","L1":  4, "L2":  8,  "L3": 16  },
     
746.       { "kind": "regex",  "pattern": "^/search\\.php(\\?|$)",           "L1":  8, "L2": 16,  "L3": 32  },
     
747.       { "kind": "prefix", "pattern": "/data/attachment/",                "L1": 30, "L2": 60,  "L3": 120 },
     
748.       { "kind": "prefix", "pattern": "/static/",                         "L1": 40, "L2": 80,  "L3": 160 }
     
749.     ]
     
750.   },
     
751.   "你的域名1": { "HOST_WEIGHT": 2.0, "REQ_PER_MIN_L1": 160, "REQ_PER_MIN_L2": 300, "REQ_PER_MIN_L3": 600, "CONN_PER_IP_SYN_THRESHOLD": 68, "CONN_PER_IP_EST_THRESHOLD": 120 },
     
752.   "你的域名2": { "HOST_WEIGHT": 2.0, "REQ_PER_MIN_L1": 160, "REQ_PER_MIN_L2": 300, "REQ_PER_MIN_L3": 600, "CONN_PER_IP_SYN_THRESHOLD": 68, "CONN_PER_IP_EST_THRESHOLD": 120 },
     
753.   "你的域名3": { "HOST_WEIGHT": 2.0, "REQ_PER_MIN_L1": 160, "REQ_PER_MIN_L2": 300, "REQ_PER_MIN_L3": 600, "CONN_PER_IP_SYN_THRESHOLD": 68, "CONN_PER_IP_EST_THRESHOLD": 120 },
     
754.   "你的域名4": { "HOST_WEIGHT": 2.0, "REQ_PER_MIN_L1": 160, "REQ_PER_MIN_L2": 300, "REQ_PER_MIN_L3": 600, "CONN_PER_IP_SYN_THRESHOLD": 68, "CONN_PER_IP_EST_THRESHOLD": 120 },
     
755.   "你的域名5": { "HOST_WEIGHT": 2.0, "REQ_PER_MIN_L1": 160, "REQ_PER_MIN_L2": 300, "REQ_PER_MIN_L3": 600, "CONN_PER_IP_SYN_THRESHOLD": 68, "CONN_PER_IP_EST_THRESHOLD": 120 }
     
756. }'
     
757. 
     
758. load_host_thresholds(){
     
759.   local src="$THRESHOLDS_JSON" json
     
760.   if [ -s "$src" ]; then json="$(cat "$src")"; log "已加载外部 host-thresholds.json：$src"
     
761.   else json="$DEFAULT_THRESHOLDS_JSON"; log "使用脚本内置默认阈值（固化配置 + Discuz PATH_TIERS）"; fi
     
762.   [ -n "$PY3" ] || { log "未检测到 python3，无法解析 host/path 阈值 JSON"; return 0; }
     
763. 
     
764.   local out
     
765.   out="$(python3 - <<'PY' "$json" || exit 1
     
766. import sys,json
     
767. cfg=json.loads(sys.argv[1])
     
768. 
     
769. # 增强的 g() 函数，可以检查备用键名
     
770. def g(k, d=0, alt_k=None):
     
771.     glob = cfg.get("GLOBAL", {})
     
772.     v = glob.get(k)
     
773.     if v is None and alt_k:
     
774.         v = glob.get(alt_k)
     
775.     return v if isinstance(v, (int, float)) else d
     
776. 
     
777. # 兼容 GLOBAL 区域的新旧两种键名
     
778. print("GLOBAL_SYN=%s" % g("SYN_GLOBAL_THRESHOLD", 0, alt_k="NO_OF_SYN"))
     
779. print("GLOBAL_EST=%s" % g("EST_GLOBAL_THRESHOLD", 0, alt_k="NO_OF_EST"))
     
780. print("GLOBAL_CT=%s" % g("CONNTRACK_GLOBAL_THRESHOLD", 0, alt_k="NO_OF_CONNTRACK"))
     
781. 
     
782. for host,val in cfg.items():
     
783.   if host=="GLOBAL" or not isinstance(val,dict): continue
     
784.   
     
785.   # 兼容嵌套的 REQ_PER_MIN 对象和独立的 REQ_PER_MIN_L1/L2/L3 键
     
786.   req_min_obj = val.get("REQ_PER_MIN", {})
     
787.   hw = val.get("HOST_WEIGHT",1.0)
     
788.   l1 = val.get("REQ_PER_MIN_L1") or req_min_obj.get("L1") or 0
     
789.   l2 = val.get("REQ_PER_MIN_L2") or req_min_obj.get("L2") or 0
     
790.   l3 = val.get("REQ_PER_MIN_L3") or req_min_obj.get("L3") or 0
     
791.   
     
792.   # 兼容 SYN_PER_IP 和 EST_PER_IP 键名
     
793.   syn = val.get("CONN_PER_IP_SYN_THRESHOLD") or val.get("SYN_PER_IP") or 0
     
794.   est = val.get("CONN_PER_IP_EST_THRESHOLD") or val.get("EST_PER_IP") or 0
     
795.   
     
796.   print("H|%s|%s|%s|%s|%s|%s"%(host,hw,l1,l2,l3,syn or 0)); print("E|%s|%s"%(host,est or 0))
     
797.   
     
798.   pts=val.get("PATH_TIERS",[])
     
799.   if isinstance(pts,list):
     
800.     for i,r in enumerate(pts):
     
801.       # 兼容 KIND/PAT (大写) 和 kind/pattern (小写)
     
802.       kind_val = r.get("kind") or r.get("KIND") or "regex"
     
803.       kind = str(kind_val).lower()
     
804.       pat = str(r.get("pattern") or r.get("PAT") or "").strip()
     
805.       
     
806.       L1=int(r.get("L1",0) or 0); L2=int(r.get("L2",0) or 0); L3=int(r.get("L3",0) or 0)
     
807.       if not pat: continue
     
808.       if kind not in ("regex","prefix"): kind="regex"
     
809.       print("P|%s|%d|%s|%s|%d|%d|%d"%(host,i,kind,pat.replace("|","\\|"),L1,L2,L3))
     
810.   print("PCNT|%s|%d"%(host,len(pts)))
     
811. PY
     
812. )"
     
813.   HT_HOST_WEIGHT=(); HT_REQ_L1=(); HT_REQ_L2=(); HT_REQ_L3=(); HT_SYN_PERIP=(); HT_EST_PERIP=()
     
814.   PT_KIND=(); PT_PAT=(); PT_L1=(); PT_L2=(); PT_L3=(); PT_COUNT=()
     
815. 
     
816.   while IFS= read -r line; do
     
817.     case "$line" in
     
818.       GLOBAL_SYN=*) GLOBAL_SYN="${line#GLOBAL_SYN=}" ;;
     
819.       GLOBAL_EST=*) GLOBAL_EST="${line#GLOBAL_EST=}" ;;
     
820.       GLOBAL_CT=*)  GLOBAL_CT="${line#GLOBAL_CT=}" ;;
     
821.       H|* ) IFS='|' read -r _ h w l1 l2 l3 syn <<<"$line"; HT_HOST_WEIGHT["$h"]="$w"; HT_REQ_L1["$h"]="$l1"; HT_REQ_L2["$h"]="$l2"; HT_REQ_L3["$h"]="$l3"; HT_SYN_PERIP["$h"]="$syn" ;;
     
822.       E|* ) IFS='|' read -r _ h est <<<"$line"; HT_EST_PERIP["$h"]="$est" ;;
     
823.       P|* ) IFS='|' read -r _ h idx kind pat L1 L2 L3 <<<"$line"; key="${h}|${idx}"; PT_KIND["$key"]="$kind"; PT_PAT["$key"]="$pat"; PT_L1["$key"]="$L1"; PT_L2["$key"]="$L2"; PT_L3["$key"]="$L3" ;;
     
824.       PCNT|* ) IFS='|' read -r _ h pc <<<"$line"; PT_COUNT["$h"]="$pc" ;;
     
825.     esac
     
826.   done <<< "$out"
     
827. 
     
828.   # GLOBAL 覆盖兜底
     
829.   [ "$GLOBAL_SYN" -gt 0 ] && NO_OF_SYN="$GLOBAL_SYN"
     
830.   [ "$GLOBAL_EST" -gt 0 ] && NO_OF_EST="$GLOBAL_EST"
     
831.   [ "$GLOBAL_CT"  -gt 0 ] && NO_OF_CT="$GLOBAL_CT"
     
832.   log "阈值装载：GLOBAL SYN=$NO_OF_SYN EST=$NO_OF_EST CT=$NO_OF_CT；站点数=$(printf %s "${!HT_HOST_WEIGHT[@]}" | wc -w)"
     
833. }
     
834. 
     
835. # ==============================================================================
     
836. # Redis 日志游标缓存（降 I/O）
     
837. # ==============================================================================
     
838. stream_new_lines(){
     
839.   local f="$1"; [ -f "$f" ] || return 0
     
840.   if [ "$LOG_CACHE_ENABLE" = true ] && [ -n "$REDIS_CLI" ] && [ -n "$STAT" ]; then
     
841.     local key="ddos:logpos:$(echo -n "$f" | ${MD5:-md5sum} | awk '{print $1}')"
     
842.     local size; size=$($STAT -c %s "$f" 2>/dev/null || echo 0)
     
843.     local pos; pos=$($REDIS_CLI GET "$key" 2>/dev/null || echo "")
     
844.     if [[ -z "$pos" || "$pos" -gt "$size" ]]; then
     
845.       $TAIL -n "$LOG_CACHE_MAX_FALLBACK_LINES" "$f"
     
846.       $REDIS_CLI SETEX "$key" 86400 "$size" >/dev/null 2>&1 || true
     
847.     else
     
848.       local start=$(( pos + 1 ))
     
849.       tail -c +$start "$f" 2>/dev/null || $TAIL -n "$LOG_CACHE_MAX_FALLBACK_LINES" "$f"
     
850.       $REDIS_CLI SETEX "$key" 86400 "$size" >/dev/null 2>&1 || true
     
851.     fi
     
852.   else
     
853.     $TAIL -n "$LOG_CACHE_MAX_FALLBACK_LINES" "$f"
     
854.   fi
     
855. }
     
856. 
     
857. # ==============================================================================
     
858. # L7 统计/处置 + Redis 限速决策
     
859. # ==============================================================================
     
860. count_hits_in_logs(){
     
861.   local tmp="$TMPDIR/l7_hits.$$"; : > "$tmp"
     
862.   for f in "${CC_LOG_PATHS[@]}"; do
     
863.     [ -f "$f" ] || continue
     
864.     local fb; fb="$(guess_host_from_file "$f")"
     
865.     stream_new_lines "$f" | $AWK -v fb="$fb" '
     
866.       function g(line,   h) {
     
867.         if (match(line, /"https?:\/\/([^\/"]+)/, a)) return a[1];
     
868.         if (match(line, /"[^"]+ (https?:\/\/([^\/ ]+))?\/[^"]*"/, b)) { if (b[2]!="") return b[2]; }
     
869.         return fb;
     
870.       }
     
871.       {
     
872.         ip=$1; line=$0;
     
873.         path="/"; req=""; status_code=0; threat_weight=1; ua="-"; ref="-";
     
874. 
     
875.         if (match(line, /"([^"]+)"/, a)) {
     
876.             req=a[1]
     
877.             if (match(line, /" "([0-9]{3})/, s)) status_code=s[1]
     
878. 
     
879.             # 1. 威胁评分逻辑
     
880.             if (status_code == 404 || status_code == 403) threat_weight=3
     
881.             if (status_code == 499) threat_weight=5 # 客户端主动断开
     
882.             if (status_code >= 500) threat_weight=4 # 服务端错误
     
883. 
     
884.             if (match(req, /[^ ]+ ([^ ?"]+)/, p)) path=p[1]
     
885. 
     
886.             # 2. UA/Referer 提取
     
887.             if (match(line, /"([^"]*)" "([^"]*)"$/, fields)) {
     
888.                 ref=fields[1]; ua=fields[2];
     
889.             }
     
890.             
     
891.             # 3. 管理员后台页面操作豁免
     
892.             if (path ~ /^/(dismall|admin|plugin)\.php$/ && status_code == 200) {
     
893.                 # 管理员权重为0，字段需要对齐
     
894.                 print "ADMIN_LOGIN", ip, g(line), path, 0, ua, ref
     
895.             } else {
     
896.                 print "NORMAL_HIT", ip, g(line), path, threat_weight, ua, ref
     
897.             }
     
898.         }
     
899.       }' >> "$tmp"
     
900.   done
     
901.   
     
902.   # 4. 升级聚合逻辑以处理新字段
     
903.   $AWK '{
     
904.     tag=$1; ip=$2; host=$3; path=$4; weight=$5; ua=$6; ref=$7;
     
905.     # 对于管理员登录，直接输出
     
906.     if (tag == "ADMIN_LOGIN") {
     
907.         print 0, tag, ip, host, path, ua, ref;
     
908.         next;
     
909.     }
     
910.     # 对于普通访问，按 key 累加权重
     
911.     key=ip"|"host"|"path;
     
912.     weights[key] += weight;
     
913.     # 只需记录第一次出现的 ua 和 ref
     
914.     if (!(key in uas)) uas[key]=ua;
     
915.     if (!(key in refs)) refs[key]=ref;
     
916.   } END {
     
917.     for (k in weights) {
     
918.         split(k,a,"|");
     
919.         print weights[k], "NORMAL_HIT", a[1], a[2], a[3], uas[k], refs[k]
     
920.     }
     
921.   }' "$tmp" | sort -nr
     
922. }
     
923. 
     
924. perip_escalation_from_errorlog(){
     
925.   local tmp="$TMPDIR/perip.$$"; : > "$tmp"
     
926.   for f in "${ERROR_LOG_PATHS[@]}"; do
     
927.     [ -f "$f" ] || continue
     
928.     local fb; fb="$(guess_host_from_file "$f")"
     
929.     stream_new_lines "$f" | $AWK -v fb="$fb" '
     
930.       # --- 新增规则：匹配 PHP 致命错误 ---
     
931.       /PHP Fatal error:.*(Maximum execution time|Too many connections|Allowed memory size)/ {
     
932.         ip=""; if (match($0, /client: ([^, ]+)/, a)) ip=a[1];
     
933.         if (ip!="") {print ip, fb, "php-fatal"}
     
934.       }
     
935.       # --- 原有规则 ---
     
936.       /limiting connections by zone "perip"/ {
     
937.         ip="";host="";
     
938.         if (match($0, /client: ([0-9.]+)/, a)) ip=a[1];
     
939.         if (match($0, /server: ([^, ]+)/, b)) host=b[1];
     
940.         if (ip!="") {print ip, (host==""?fb:host), "nginx-limit"}
     
941.       }
     
942.     ' >> "$tmp"
     
943.   done
     
944.   
     
945.   if [ -s "$tmp" ]; then
     
946.     # --- 升级聚合逻辑 ---
     
947.     $AWK '{k=$1"|" $2"|" $3; c[k]++} END{for (k in c){split(k,a,"|"); print c[k], a[1], a[2], a[3]}}' "$tmp" \
     
948.     | sort -nr \
     
949.     | while read -r cnt ip host reason; do
     
950.         # 只要出现 2 次以上 PHP 致命错误，就提高封禁优先级
     
951.         local esc_thr=2
     
952.         if [ "$reason" == "nginx-limit" ]; then
     
953.             local base="${HT_REQ_L3[$host]:-${HT_REQ_L3["*"]:-$((CC_THRESHOLD*4))}}"
     
954.             esc_thr=$(( base/2 )); [ "$esc_thr" -lt 5 ] && esc_thr=5
     
955.         fi
     
956. 
     
957.         if (( cnt >= esc_thr )); then
     
958.           if $IPSET test "$SET_RL_V4" "$ip" >/dev/null 2>&1; then
     
959.             ban_ip "$ip" "L7-perip-escalation(cnt=$cnt,thr=$esc_thr)"
     
960.           else
     
961.             $IPSET add "$SET_RL_V4" "$ip" -exist
     
962.             LIMITED_THIS_RUN+=("$ip ($host perip-escalation cnt=$cnt thr=$esc_thr)")
     
963.           fi
     
964.         fi
     
965.       done
     
966.   fi
     
967. }
     
968. 
     
969. redis_should_limit(){
     
970.   [ -n "$REDIS_CLI" ] || { echo 0; return; }
     
971.   local ip="$1" k="ddos:l7:$ip" r
     
972.   r=$($REDIS_CLI -x <<EOF
     
973. MULTI
     
974. INCR $k
     
975. EXPIRE $k 10
     
976. EXEC
     
977. EOF
     
978. )
     
979.   local cnt; cnt=$(echo "$r" | tail -n1 | tr -dc 0-9)
     
980.   if [ -z "$cnt" ]; then echo 0; else [ "$cnt" -ge "$CC_RATELIMIT_THRESHOLD" ] && echo 1 || echo 0; fi
     
981. }
     
982. 
     
983. # ==============================================================================
     
984. # Ban/Unban/Flush
     
985. # ==============================================================================
     
986. ban_ip(){
     
987.   local ip="$1" reason="${2:-unknown}"
     
988.   if is_in_whitelist_snapshot "$ip"; then log "跳过封禁（白名单）：$ip"; return 0; fi
     
989.   if is_ipv6 "$ip"; then have ip6tables || { log "IPv6 不可用，跳过 $ip"; return 0; }; $IPSET add "$SET_BL_V6" "$ip" -exist
     
990.   else $IPSET add "$SET_BL_V4" "$ip" -exist; fi
     
991.   BANNED_THIS_RUN+=("$ip ($reason)") # 将原因加入批次战报
     
992.   echo "$($DATE '+%F %T'),BAN,$ip,$reason" >> "$BAN_HISTORY"
     
993. }
     
994. unban_ip(){
     
995.   local ip="$1" reason="${2:-unknown}"
     
996.   is_ipv6 "$ip" && $IPSET del "$SET_BL_V6" "$ip" 2>/dev/null || $IPSET del "$SET_BL_V4" "$ip" 2>/dev/null || true
     
997.   echo "$($DATE '+%F %T'),UNBAN,$ip,$reason" >> "$BAN_HISTORY"
     
998. }
     
999. flush_bans(){ $IPSET flush "$SET_BL_V4" 2>/dev/null || true; $IPSET flush "$SET_BL_V6" 2>/dev/null || true; log "已清空黑名单"; have fail2ban-client && fail2ban-client unban --all 2>/dev/null || true; }
     
1000. 
      
1001. # ==============================================================================
      
1002. # 主巡检：动态调速 + L4/L7 判决 + 告警
      
1003. # ==============================================================================
      
1004. # 全新的“封禁摘要”函数，替代旧的 alert_markdown_batch
      
1005. alert_ban_summary(){
      
1006.   [ -n "$DINGTALK_WEBHOOK" ] || return 0
      
1007.   [ "${#BANNED_THIS_RUN[@]}" -eq 0 ] && [ "${#LIMITED_THIS_RUN[@]}" -eq 0 ] && return 0
      
1008. 
      
1009.   local pub; pub="$(get_public_ip)"
      
1010.   local ban_count="${#BANNED_THIS_RUN[@]}"
      
1011.   local limit_count="${#LIMITED_THIS_RUN[@]}"
      
1012.   
      
1013.   local top_ips="" reason_dist="" limited_list=""
      
1014.   
      
1015.   # 统计封禁的 Top IP
      
1016.   if [ "$ban_count" -gt 0 ]; then
      
1017.     top_ips=$(printf "%s\n" "${BANNED_THIS_RUN[@]}" | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 5 | awk '{printf "| %s | %s |\\n", $2, $1}')
      
1018.   fi
      
1019.   
      
1020.   # 统计封禁的原因分布
      
1021.   if [ "$ban_count" -gt 0 ]; then
      
1022.     reason_dist=$(printf "%s\n" "${BANNED_THIS_RUN[@]}" | sed -E 's/^[0-9.:a-fA-F]+ \(([^ (]+).*/\1/' | sort | uniq -c | sort -nr | awk '{printf "| %s | %s |\\n", $2, $1}')
      
1023.   fi
      
1024.   
      
1025.   # 格式化限速列表
      
1026.   if [ "$limit_count" -gt 0 ]; then
      
1027.     limited_list=$(printf -- "- %s\n" "${LIMITED_THIS_RUN[@]}" | head -n 10)
      
1028.     [ "$limit_count" -gt 10 ] && limited_list+=$'\n- ...等'"$limit_count"'个条目'
      
1029.   fi
      
1030. 
      
1031.   local text="### 🚧 DDoS-Guard 封禁摘要
      
1032. - **时间**: $($DATE '+%F %T')
      
1033. - **主机**: $pub
      
1034. - **封禁IP数**: ${ban_count}
      
1035. - **限速IP数**: ${limit_count}
      
1036. "
      
1037.   if [ -n "$top_ips" ]; then
      
1038.     text+=$'\n#### Top 5 被封禁 IP\n| IP地址 | 次数 |\n|:---|:---|\n'"$top_ips"
      
1039.   fi
      
1040.   if [ -n "$reason_dist" ]; then
      
1041.     text+=$'\n#### 封禁原因分布\n| 原因 | 次数 |\n|:---|:---|\n'"$reason_dist"
      
1042.   fi
      
1043.   if [ -n "$limited_list" ]; then
      
1044.     text+=$'\n#### 限速IP列表 (最多10条)\n'"$limited_list"
      
1045.   fi
      
1046. 
      
1047.   alert_markdown "ban-summary" "DDoS-Guard 封禁摘要" "$text"
      
1048. }
      
1049. 
      
1050. # --- alert_attack_state 函数开始 ---
      
1051. alert_attack_state(){
      
1052.   local state="$1"      # 参数1: enter / exit
      
1053.   local metrics="$2"    # 参数2: 触发指标
      
1054.   local banned_ips="$3" # 参数3: 当轮封禁的IP列表
      
1055.   local pub="N/A" lan="N/A"
      
1056.   pub="$(get_public_ip)"
      
1057.   lan="$(hostname -I 2>/dev/null | awk '{print $1}')"
      
1058.   
      
1059.   # 获取当前的扫描间隔
      
1060.   local current_interval
      
1061.   current_interval=$(get_current_interval || echo '?')
      
1062.   
      
1063.   # 使用 $'' 语法来确保 \n 被正确解析为换行符
      
1064.   local text="### ⚠️ 攻击模式$( [ "$state" = "enter" ] && echo 进入 || echo 退出 )"
      
1065.   text+=$'\n- **时间**：'"$($DATE '+%F %T')"
      
1066.   text+=$'\n- **主机**：'"$pub / $lan"
      
1067.   text+=$'\n- **扫描间隔**：'"${current_interval%s}s"
      
1068.   
      
1069.   if [ "$state" = "enter" ]; then
      
1070.     [ -n "$metrics" ] && text+=$'\n- **触发原因**:\n'"${metrics}"
      
1071.     [ -n "$banned_ips" ] && text+=$'\n- **当场封禁 (部分)**:\n'"${banned_ips}"
      
1072.   fi
      
1073.   
      
1074.   # 调用通用的告警函数，将上面拼接好的完整消息 ($text) 发送出去
      
1075.   alert_markdown "state-$state" "DDoS-Guard 攻击模式：${state}" "$text"
      
1076. }
      
1077. # --- alert_attack_state 函数结束 ---
      
1078. 
      
1079. run_core(){
      
1080.   ensure_ipset_and_iptables
      
1081.   load_host_thresholds
      
1082.   load_whitelist
      
1083.   reconcile_unban_whitelisted   # 双保险自愈
      
1084. 
      
1085.   BANNED_THIS_RUN=(); LIMITED_THIS_RUN=()
      
1086. 
      
1087.   # 升级后的代码
      
1088.   local attack_mode_details; attack_mode_details=$(should_attack_mode)
      
1089.   local attack_mode; attack_mode=$(echo "$attack_mode_details" | head -n 1)
      
1090.   local metrics_summary; metrics_summary=$(echo "$attack_mode_details" | tail -n +2 | sed 's/^/  - /')
      
1091. 
      
1092.   local est_thr=$NO_OF_EST syn_thr=$NO_OF_SYN cc_thr=$CC_THRESHOLD
      
1093.   local prev_state=0; [ -f "$attack_state_file" ] && prev_state=$(cat "$attack_state_file" 2>/dev/null || echo 0)
      
1094.   
      
1095.   local is_entering_attack_mode=0 # 新增一个标志位
      
1096. 
      
1097.   if [ "$ENABLE_DYNAMIC_THRESHOLDS" = true ] && [ "$attack_mode" -eq 1 ]; then
      
1098.     est_thr=$NO_OF_EST_ATTACK_MODE; syn_thr=$NO_OF_SYN_ATTACK_MODE; cc_thr=$CC_THRESHOLD_ATTACK_MODE
      
1099.     if [ "$prev_state" -ne 1 ]; then
      
1100.       set_timer_interval "$ATTACK_SCAN_INTERVAL"
      
1101.       echo 1 > "$attack_state_file"
      
1102.       is_entering_attack_mode=1 # 设置标志位，但不立即告警
      
1103.       log "进入攻击模式：EST<$est_thr SYN<$syn_thr L7<$cc_thr；扫描间隔=${ATTACK_SCAN_INTERVAL}s"
      
1104.     fi
      
1105.   else
      
1106.     if [ "$prev_state" -ne 0 ]; then
      
1107.       set_timer_interval "$SCAN_INTERVAL"
      
1108.       echo 0 > "$attack_state_file"
      
1109.       alert_attack_state "exit" "" "" # 退出告警不变
      
1110.       log "退出攻击模式：扫描间隔恢复=${SCAN_INTERVAL}s"
      
1111.     fi
      
1112.   fi
      
1113. 
      
1114. # --- ▽▽▽▽▽ 从这里开始，是新的完整代码 ▽▽▽▽▽ ---
      
1115.   # L4: EST per-IP (增强版：带紧急刹车)
      
1116.   $SS -Hnta state established \
      
1117.   | awk "$extract_peer_ip_awk" \
      
1118.   | sort | uniq -c | sort -nr \
      
1119.   | while read -r cnt ip; do
      
1120.       [ -z "$ip" ] && continue
      
1121. 
      
1122.       # 1. 紧急刹车：无论IP是否在白名单，连接数过高则立即封禁
      
1123.       if (( cnt >= EMERGENCY_CONN_THRESHOLD )); then
      
1124.         ban_ip "$ip" "L4-EMERGENCY(cnt=$cnt,thr=$EMERGENCY_CONN_THRESHOLD)"
      
1125.         continue # 封禁后继续处理下一个IP
      
1126.       fi
      
1127. 
      
1128.       # 2. 常规检查：白名单、管理员、蜘蛛等
      
1129.       is_in_whitelist_snapshot "$ip" && continue
      
1130.       # 增加动态管理员豁免检查
      
1131.       $IPSET test "$SET_ADMIN_V4" "$ip" >/dev/null 2>&1 && continue
      
1132.       [ "$(is_private_ip "$ip")" = "1" ] && continue
      
1133.       $IPSET test "$SET_GB_V4" "$ip" >/dev/null 2>&1 && continue
      
1134.       
      
1135.       # 3. 常规阈值判断
      
1136.       (( cnt >= est_thr )) && ban_ip "$ip" "L4-EST(cnt=$cnt,thr=$est_thr)"
      
1137.     done
      
1138. 
      
1139.   # L4: SYN_RECV per-IP (保持不变)
      
1140.   $SS -Hnta state syn-recv \
      
1141.   | awk "$extract_peer_ip_awk" \
      
1142.   | sort | uniq -c | sort -nr \
      
1143.   | while read -r cnt ip; do
      
1144.       [ -z "$ip" ] && continue
      
1145.       is_in_whitelist_snapshot "$ip" && continue
      
1146.       # 增加动态管理员豁免检查
      
1147.       $IPSET test "$SET_ADMIN_V4" "$ip" >/dev/null 2>&1 && continue
      
1148.       [ "$(is_private_ip "$ip")" = "1" ] && continue
      
1149.       $IPSET test "$SET_GB_V4" "$ip" >/dev/null 2>&1 && continue
      
1150.       (( cnt >= syn_thr )) && ban_ip "$ip" "L4-SYN(cnt=$cnt,thr=$syn_thr)"
      
1151.     done
      
1152. 
      
1153.   # 新增：L4 CLOSE_WAIT per-IP 监控
      
1154.   # 监控 CLOSE_WAIT 状态，高 CLOSE_WAIT 数通常是应用层处理不过来的症状
      
1155.   local close_wait_thr=$(( est_thr / 2 )); [ "$close_wait_thr" -lt 20 ] && close_wait_thr=20
      
1156.   $SS -Hnta state close-wait \
      
1157.   | awk "$extract_peer_ip_awk" \
      
1158.   | sort | uniq -c | sort -nr \
      
1159.   | while read -r cnt ip; do
      
1160.       [ -z "$ip" ] && continue
      
1161. 
      
1162.       # 紧急刹车同样适用于 CLOSE_WAIT
      
1163.       if (( cnt >= EMERGENCY_CONN_THRESHOLD )); then
      
1164.         ban_ip "$ip" "L4-EMERGENCY-CW(cnt=$cnt,thr=$EMERGENCY_CONN_THRESHOLD)"
      
1165.         continue
      
1166.       fi
      
1167.       
      
1168.       is_in_whitelist_snapshot "$ip" && continue
      
1169.       $IPSET test "$SET_ADMIN_V4" "$ip" >/dev/null 2>&1 && continue
      
1170.       $IPSET test "$SET_GB_V4" "$ip" >/dev/null 2>&1 && continue
      
1171. 
      
1172.       (( cnt >= close_wait_thr )) && ban_ip "$ip" "L4-CLOSE-WAIT(cnt=$cnt,thr=$close_wait_thr)"
      
1173.     done
      
1174. # --- △△△△△ 到这里结束，是新的完整代码 △△△△△ ---
      
1175. 
      
1176.   # L7：增量日志计数 → Host/Path Tiers → UA 分类 → Redis 限速/封禁
      
1177. local hits; hits=$(count_hits_in_logs || true)
      
1178. if [ -n "$hits" ]; then
      
1179.   # --- 这是修正后的 while read 循环 ---
      
1180. # --- ▽▽▽▽▽ 从这里开始，是新的完整 L7 循环代码 ▽▽▽▽▽ ---
      
1181. while read -r cnt tag ip host path ua ref; do
      
1182.   # 如果标签是 ADMIN_LOGIN, 说明是管理员IP
      
1183.   if [ "$tag" = "ADMIN_LOGIN" ]; then
      
1184.       $IPSET add "$SET_ADMIN_V4" "$ip" -exist
      
1185.       continue
      
1186.   fi
      
1187. 
      
1188.   [ -z "$ip" ] && continue
      
1189.     is_in_whitelist_snapshot "$ip" && continue
      
1190.     $IPSET test "$SET_ADMIN_V4" "$ip" >/dev/null 2>&1 && continue
      
1191.     local uac; uac="$(classify_ua_for_ip "$ip")"
      
1192.     # --- ↓↓↓↓ 新增：对高风险信誉IP进行降权或直接封禁 ↓↓↓↓ ---
      
1193.     if $IPSET test "$SET_BADREP_V4" "$ip" >/dev/null 2>&1; then
      
1194.       # 如果IP在高风险名单中，信誉分惩罚加倍，且无视其UA
      
1195.       redis_hincrby "ddos:reputation" "$ip" "$(($REPUTATION_SCORE_INCREMENT * 2))"
      
1196.       uac="BAD" # 直接将其标记为恶意UA
      
1197.     fi
      
1198.     # --- ↑↑↑↑ 新增结束 ↑↑↑↑ ---
      
1199.     if [ "$uac" = "GOOD" ]; then $IPSET add "$SET_GB_V4" "$ip" -exist; continue; fi
      
1200. 
      
1201.     # --- 信誉系统逻辑 Part 1: 检查IP是否已在观察名单中 ---
      
1202.     local on_watchlist=0
      
1203.     if $IPSET test "$SET_WATCHLIST_V4" "$ip" >/dev/null 2>&1; then
      
1204.         on_watchlist=1
      
1205.     fi
      
1206. 
      
1207.     local base_host="$host"; [ -n "${HT_REQ_L1[$base_host]:-}" ] || base_host="*"
      
1208.     local l1="${HT_REQ_L1[$base_host]:-$cc_thr}"
      
1209.     local l2="${HT_REQ_L2[$base_host]:-$((cc_thr*2))}"
      
1210.     local l3="${HT_REQ_L3[$base_host]:-$((cc_thr*4))}"
      
1211.     local w="${HT_HOST_WEIGHT[$base_host]:-1.0}"
      
1212. 
      
1213.     local pc="${PT_COUNT[$base_host]:-0}"
      
1214.     if [ "$pc" -gt 0 ]; then
      
1215.       local idx=0
      
1216.       while [ "$idx" -lt "$pc" ]; do
      
1217.         local key="${base_host}|${idx}"
      
1218.         local kind="${PT_KIND[$key]:-regex}"
      
1219.         local pat="${PT_PAT[$key]:-}"
      
1220.         local L1="${PT_L1[$key]:-0}"; local L2="${PT_L2[$key]:-0}"; local L3="${PT_L3[$key]:-0}"
      
1221.         if [ -n "$pat" ]; then
      
1222.           if [ "$kind" = "prefix" ]; then
      
1223.             case "$path" in
      
1224.               "$pat"*) [ "$L1" -gt 0 ] && l1="$L1"; [ "$L2" -gt 0 ] && l2="$L2"; [ "$L3" -gt 0 ] && l3="$L3"; idx=$pc; continue
      
1225.             esac
      
1226.           else
      
1227.             echo "$path" | $GREP -Eiq -- "$pat" && { [ "$L1" -gt 0 ] && l1="$L1"; [ "$L2" -gt 0 ] && l2="$L2"; [ "$L3" -gt 0 ] && l3="$L3"; idx=$pc; continue; }
      
1228.           fi
      
1229.         fi
      
1230.         idx=$((idx+1))
      
1231.       done
      
1232.     fi
      
1233. 
      
1234.     local thr=$l1
      
1235.     if [ "$ENABLE_DYNAMIC_THRESHOLDS" = true ] && [ "$attack_mode" -eq 1 ]; then
      
1236.       thr=$(python3 - <<PY "$l1" "$w"
      
1237. import sys
      
1238. l1=float(sys.argv[1]); w=float(sys.argv[2])
      
1239. print(int(max(3, l1*w*0.4)))
      
1240. PY
      
1241. )
      
1242.     fi
      
1243. 
      
1244.     local current_interval; current_interval=$(cat "$RUNDIR/scan-interval.current" 2>/dev/null || echo "$SCAN_INTERVAL")
      
1245.     thr=$(python3 -c "print(int(max(2, ($thr / 60.0) * $current_interval)))")
      
1246. 
      
1247.     # --- 信誉系统逻辑 Part 2: 如果在观察名单中，使用更严厉的阈值 ---
      
1248.     if [ "$on_watchlist" -eq 1 ]; then
      
1249.         thr=$(( thr / 4 )); # 对观察名单中的IP，阈值严厉4倍
      
1250.         [ "$thr" -lt 2 ] && thr=2
      
1251.     fi
      
1252. 
      
1253.     if [[ "$ua" == "-" || "$ua" == "" ]] && [[ "$ref" == "-" || "$ref" == "" ]]; then
      
1254.        thr=$(( thr / 2 ));
      
1255.        [ "$thr" -lt 2 ] && thr=2
      
1256.     fi
      
1257. 
      
1258.     case "$uac" in
      
1259.       SEMI) $IPSET add "$SET_RL_V4" "$ip" -exist; LIMITED_THIS_RUN+=("$ip ($host $path semi-trust UA)"); continue;;
      
1260.       BAD|FAKEGOOD) thr=$(( thr/3 )); [ "$thr" -lt 3 ] && thr=3 ;;
      
1261.     esac
      
1262. 
      
1263.     if (( cnt >= thr )); then
      
1264.       local decide_limit=0
      
1265.       if [ "$ENABLE_RATE_LIMITING" = true ]; then decide_limit=$(redis_should_limit "$ip"); fi
      
1266.       if [ "$decide_limit" -eq 1 ] && [ "$uac" != "BAD" ] && [ "$uac" != "FAKEGOOD" ]; then
      
1267.         # --- 信誉系统逻辑 Part 3: 将被限速的IP加入观察名单并增加信誉分 ---
      
1268.         $IPSET add "$SET_RL_V4" "$ip" -exist
      
1269.         $IPSET add "$SET_WATCHLIST_V4" "$ip" -exist # 加入观察名单
      
1270.         redis_hincrby "ddos:reputation" "$ip" "$REPUTATION_SCORE_INCREMENT" # 增加信誉分
      
1271.         LIMITED_THIS_RUN+=("$ip ($host $path L7-limit/watchlist cnt=$cnt thr=$thr)")
      
1272.       else
      
1273.         ban_ip "$ip" "L7-CC($host $path,cnt=$cnt,thr=$thr,ua=$uac)"
      
1274.         # 被封禁后，清空其不良信誉记录
      
1275.         $REDIS_CLI HDEL "ddos:reputation" "$ip" >/dev/null 2>&1 || true
      
1276.       fi
      
1277.     fi
      
1278. 
      
1279.     # --- 信誉系统逻辑 Part 4: 信誉分升级封禁：检查总分是否超限 ---
      
1280.     # 仅当IP在观察名单中，且本次没被封禁时，才检查总分
      
1281.     if [ "$on_watchlist" -eq 1 ] && ! [[ " ${BANNED_THIS_RUN[*]} " =~ " $ip " ]]; then
      
1282.         local current_score
      
1283.         current_score=$(redis_hget "ddos:reputation" "$ip")
      
1284.         if [[ -n "$current_score" && "$current_score" -ge "$REPUTATION_SCORE_THRESHOLD" ]]; then
      
1285.             ban_ip "$ip" "L7-Reputation(score=$current_score)"
      
1286.             # 被封禁后，清空其不良信誉记录
      
1287.             $REDIS_CLI HDEL "ddos:reputation" "$ip" >/dev/null 2>&1 || true
      
1288.         fi
      
1289.     fi
      
1290.   done <<< "$hits"
      
1291. # --- △△△△△ 到这里结束，是新的完整 L7 循环代码 △△△△△ ---
      
1292.   fi
      
1293. 
      
1294.   # 错误日志 perip 升级：多次限流 → 限速/封禁
      
1295.   perip_escalation_from_errorlog
      
1296.   # 如果是刚进入攻击模式，发送增强的“进入”告警
      
1297.   if [ "$is_entering_attack_mode" -eq 1 ]; then
      
1298.     local banned_now_list=""
      
1299.     if [ "${#BANNED_THIS_RUN[@]}" -gt 0 ]; then
      
1300.         banned_now_list=$(printf -- '- %s\n' "${BANNED_THIS_RUN[@]}" | head -n 10)
      
1301.         [ "${#BANNED_THIS_RUN[@]}" -gt 10 ] && banned_now_list+=$'\n- ...等'"${#BANNED_THIS_RUN[@]}"'个IP'
      
1302.     fi
      
1303.     alert_attack_state "enter" "$metrics_summary" "$banned_now_list"
      
1304.   fi
      
1305.   
      
1306.   # “封禁摘要”新版告警
      
1307.   alert_ban_summary
      
1308. }
      
1309. 
      
1310. # 运行一次（锁控制：--nowait 非阻塞；默认阻塞等待）
      
1311. run_once(){
      
1312.   local mode="${1:-wait}"  # wait / nowait
      
1313.   lock_open
      
1314.   if [ "$mode" = "nowait" ]; then
      
1315.     if ! lock_try; then
      
1316.       log "检测到已有实例在运行（nowait 模式，跳过本轮）。"
      
1317.       return 0
      
1318.     fi
      
1319.   else
      
1320.     lock_wait   # CLI 调用：阻塞等待，不再报“已有实例在运行”
      
1321.   fi
      
1322.   run_core
      
1323. }
      
1324. 
      
1325. # ==============================================================================
      
1326. # 子命令
      
1327. # ==============================================================================
      
1328. cmd_install(){
      
1329.   need_root
      
1330.   # 1) systemd 单元
      
1331.   cat >/etc/systemd/system/ddos-guard.service <<SERVICE
      
1332. [Unit]
      
1333. Description=DDoS Guard one-shot scan
      
1334. After=network-online.target
      
1335. Wants=network-online.target
      
1336. 
      
1337. [Service]
      
1338. Type=oneshot
      
1339. ExecStart=$SELF_PATH run --nowait
      
1340. User=root
      
1341. Group=root
      
1342. Nice=-5
      
1343. IOSchedulingClass=realtime
      
1344. 
      
1345. [Install]
      
1346. WantedBy=multi-user.target
      
1347. SERVICE
      
1348. 
      
1349.   cat >"$timer_unit" <<TIMER
      
1350. [Unit]
      
1351. Description=Run ddos-guard every ${SCAN_INTERVAL}s
      
1352. 
      
1353. [Timer]
      
1354. OnBootSec=30s
      
1355. OnUnitActiveSec=${SCAN_INTERVAL}s
      
1356. AccuracySec=1s
      
1357. Unit=ddos-guard.service
      
1358. Persistent=true
      
1359. 
      
1360. [Install]
      
1361. WantedBy=timers.target
      
1362. TIMER
      
1363. 
      
1364.   systemctl daemon-reload
      
1365.   systemctl enable --now ddos-guard.timer
      
1366. 
      
1367.   # 2) 目录/白名单文件
      
1368.   mkdir -p /etc/ddos
      
1369.   touch "$IGNORE_IP_FILE" "$IGNORE_HOST_FILE"
      
1370. 
      
1371.   # 3) 首次白名单加载（失败不阻断）
      
1372.   load_whitelist || true
      
1373.   reconcile_unban_whitelisted || true
      
1374. 
      
1375.   log "安装完成：systemd timer 每 ${SCAN_INTERVAL}s 巡检一次。"
      
1376.   alert_markdown "install" "DDoS-Guard 安装完成" "✅ 安装完成 @ $($DATE '+%F %T')，定时巡检 ${SCAN_INTERVAL}s；攻击模式自动提升至 ${ATTACK_SCAN_INTERVAL}s。"
      
1377.   echo "可用子命令：status/top/history/check/tune/tune-guide/whitelist-reload/whitelist-show/whitelist-debug/redis-status/ban/unban/flush-bans/blacklist/f2b-setup/btwaf-sync-whitelist"
      
1378. }
      
1379. 
      
1380. cmd_uninstall(){ need_root; systemctl disable --now ddos-guard.timer 2>/dev/null || true; systemctl disable --now ddos-guard.service 2>/dev/null || true; rm -f /etc/systemd/system/ddos-guard.{service,timer}; systemctl daemon-reload; log "已卸载 systemd 配置。"; }
      
1381. cmd_daemon(){ need_root; log "进入前台守护（${SCAN_INTERVAL}s）..."; while :; do run_once nowait || true; sleep "$SCAN_INTERVAL"; done; }
      
1382. 
      
1383. cmd_status(){
      
1384.   echo "== ipset 概览 =="
      
1385.   ipset_members "$SET_WL_V4" | awk 'END{print "WLv4:", NR+0}'
      
1386.   ipset_members "$SET_WL_V6" | awk 'END{print "WLv6:", NR+0}'
      
1387.   ipset_members "$SET_BL_V4" | awk 'END{print "BLv4:", NR+0}'
      
1388.   ipset_members "$SET_BL_V6" | awk 'END{print "BLv6:", NR+0}'
      
1389.   ipset_members "$SET_RL_V4" | awk 'END{print "RLv4:", NR+0}'
      
1390.   ipset_members "$SET_GB_V4" | awk 'END{print "GBv4:", NR+0}'
      
1391.   echo "== systemd =="; systemctl status --no-pager ddos-guard.timer 2>/dev/null | sed -n '1,12p'
      
1392.   echo "== whitelist srcstat =="; [ -f "$RUNDIR/wl.srcstat" ] && cat "$RUNDIR/wl.srcstat" || echo "(暂无)"
      
1393.   echo "== scan interval =="; [ -f "$RUNDIR/scan-interval.current" ] && cat "$RUNDIR/scan-interval.current" || echo "${SCAN_INTERVAL}"
      
1394.   echo "== attack state =="; [ -f "$attack_state_file" ] && cat "$attack_state_file" || echo 0
      
1395. }
      
1396. 
      
1397. cmd_top(){ top_talkers_l4; }
      
1398. cmd_history(){ [ -f "$BAN_HISTORY" ] && tail -n 50 "$BAN_HISTORY" || echo "暂无历史。"; }
      
1399. 
      
1400. cmd_check(){
      
1401.   echo "== 依赖检查 =="; for c in ss iptables ipset python3 host conntrack redis-cli; do printf "%-12s : " "$c"; have "$c" && echo OK || echo MISSING; done
      
1402.   autodetect_btwaf_paths
      
1403.   echo "== BTWAF 文件 =="; ls -l "$BTWAF_IP_WHITE" 2>/dev/null || echo "无 IPv4 整形白名单"; ls -l "$BTWAF_IP_WHITE_V6" 2>/dev/null || echo "无 IPv6 白名单"
      
1404.   echo "== 白名单源 =="; echo "$IGNORE_IP_FILE"; [ -s "$IGNORE_IP_FILE" ] && echo "(has content)"; echo "$IGNORE_HOST_FILE"; [ -s "$IGNORE_HOST_FILE" ] && echo "(has content)"
      
1405.   echo "== Host/Path JSON =="; [ -s "$THRESHOLDS_JSON" ] && echo "$THRESHOLDS_JSON (present)" || echo "使用脚本内置默认"
      
1406. }
      
1407. 
      
1408. cmd_tune(){ echo "保底阈值：SYN=${NO_OF_SYN} EST=${NO_OF_EST} CT=${NO_OF_CT}；攻击态 L7 起点=${CC_THRESHOLD_ATTACK_MODE}"; }
      
1409. cmd_tune_guide(){
      
1410. cat <<'EOF'
      
1411. [调优指南]
      
1412. - 多站点：CC_LOG_PATHS/ERROR_LOG_PATHS 一行一个；LOG_HOST_MAP 可指定“路径正则 → 域名”。
      
1413. - 阈值 JSON：GLOBAL 覆盖兜底；每 host 配 HOST_WEIGHT 和 L1/L2/L3；PATH_TIERS 支持 regex/prefix。
      
1414. - 蜘蛛：GOOD(UA+PTR+回证) → ddos_goodbots_v4 免扰；SEMI 先限速；BAD/FAKE 收紧阈值优先封禁。
      
1415. - 白名单：聚合 BTWAF v4/v6 + ignore.ip/host；Redis 哈希用于静默自愈；**告警仅按 mtime**。
      
1416. - Redis：用于 L7 原子计数(10s窗口) 与“日志游标缓存”；无 Redis 自动退化。
      
1417. - 动态调速：攻击模式→timer 降至 ATTACK_SCAN_INTERVAL；退出恢复 SCAN_INTERVAL。
      
1418. - 钉钉：状态告警（进/退）+ 批次战报；同类 10 分钟节流（DINGTALK_THROTTLE_SEC）。
      
1419. EOF
      
1420. }
      
1421. 
      
1422. cmd_whitelist_reload(){ load_whitelist; reconcile_unban_whitelisted; }
      
1423. cmd_whitelist_show(){ show_whitelist; }
      
1424. 
      
1425. cmd_whitelist_debug(){
      
1426.   autodetect_btwaf_paths
      
1427.   echo "== 路径与环境 =="
      
1428.   echo "IGNORE_IP_FILE    : $IGNORE_IP_FILE"
      
1429.   echo "IGNORE_HOST_FILE  : $IGNORE_HOST_FILE"
      
1430.   echo "BTWAF_IP_WHITE    : $BTWAF_IP_WHITE"
      
1431.   echo "BTWAF_IP_WHITE_V6 : $BTWAF_IP_WHITE_V6"
      
1432.   echo "python3           : $PY3"
      
1433.   echo "host              : $HOST"
      
1434.   echo "getent            : $GETENT"
      
1435.   echo
      
1436.   echo "== ignore.ip.list 预览 =="; [ -r "$IGNORE_IP_FILE" ] && nl -ba "$IGNORE_IP_FILE" | sed -n '1,30p' || echo "(不存在或不可读)"
      
1437.   echo
      
1438.   echo "== ignore.host.list 解析测试（前 10 个域名）=="
      
1439.   if [ -r "$IGNORE_HOST_FILE" ]; then
      
1440.     head -n 50 "$IGNORE_HOST_FILE" | sed 's/#.*$//' | sed '/^[[:space:]]*$/d' | head -n 10 | while read -r h; do
      
1441.       echo "-- $h"; resolve_host_to_ips "$h" | head -n 5 | sed 's/^/   /'
      
1442.     done
      
1443.   else
      
1444.     echo "(不存在或不可读)"
      
1445.   fi
      
1446.   echo
      
1447.   echo "== BTWAF IPv4 JSON 转换（前 20 条）=="
      
1448.   if [ -r "$BTWAF_IP_WHITE" ] && [ -n "$PY3" ]; then parse_btwaf_ipv4_json "$BTWAF_IP_WHITE" 2>/dev/null | head -n 20; else echo "(文件不存在/不可读或 python3 不可用)"; fi
      
1449.   echo
      
1450.   echo "== BTWAF IPv6 JSON 转换（前 20 条）=="
      
1451.   if [ -r "$BTWAF_IP_WHITE_V6" ] && [ -n "$PY3" ]; then parse_btwaf_ipv6_json "$BTWAF_IP_WHITE_V6" 2>/dev/null | head -n 20; else echo "(文件不存在/不可读或 python3 不可用)"; fi
      
1452. }
      
1453. 
      
1454. cmd_redis_status(){
      
1455.   if [ -z "$REDIS_CLI" ]; then echo "redis-cli 未安装"; return 1; fi
      
1456.   echo "== Redis 连接测试 =="; $REDIS_CLI PING 2>/dev/null || { echo "PING 失败"; return 1; }; echo "PONG"
      
1457.   echo "== 原子计数 10s 窗口测试 =="
      
1458.   local key="ddos:test:$$"; local r
      
1459.   r=$($REDIS_CLI -x <<EOF
      
1460. MULTI
      
1461. DEL $key
      
1462. INCR $key
      
1463. EXPIRE $key 10
      
1464. EXEC
      
1465. EOF
      
1466. )
      
1467.   echo "$r" | sed 's/^/  /'
      
1468.   local cnt; cnt=$(echo "$r" | tail -n1 | tr -dc 0-9)
      
1469.   [ -n "$cnt" ] && echo "计数=$cnt（>=1 正常）" || echo "未拿到计数值"
      
1470. }
      
1471. 
      
1472. cmd_ban(){   [ $# -ge 2 ] || die "用法：$0 ban <ip>";   ban_ip "$2" "manual"; }
      
1473. cmd_unban(){ [ $# -ge 2 ] || die "用法：$0 unban <ip>"; unban_ip "$2" "manual"; }
      
1474. cmd_flush_bans(){ flush_bans; }
      
1475. cmd_blacklist(){
      
1476.   [ $# -ge 2 ] || die "用法：$0 blacklist <ip|file>"
      
1477.   local arg="$2"
      
1478.   if [ -f "$arg" ]; then
      
1479.     while read -r x; do
      
1480.       x="${x%%#*}"; x="${x//$'\r'/}"; x="$(echo "$x" | xargs || true)"; [ -n "$x" ] || continue
      
1481.       is_ipv6 "$x" && $IPSET add "$SET_BL_V6" "$x" -exist || $IPSET add "$SET_BL_V4" "$x" -exist
      
1482.     done < "$arg"
      
1483.   else
      
1484.     is_ipv6 "$arg" && $IPSET add "$SET_BL_V6" "$arg" -exist || $IPSET add "$SET_BL_V4" "$arg" -exist
      
1485.   fi
      
1486. }
      
1487. 
      
1488. cmd_f2b_setup(){
      
1489.   need_root
      
1490.   local jail="${F2B_JAIL_LOCAL:-/etc/fail2ban/jail.local}"
      
1491.   touch "$jail"
      
1492.   local tmp="$TMPDIR/f2b.ignore.v4"; ipset_members "$SET_WL_V4" > "$tmp" || true
      
1493.   if ! grep -q '^\[DEFAULT\]' "$jail"; then echo -e "[DEFAULT]\nignoreip = 127.0.0.1/8" >> "$jail"; fi
      
1494.   local old; old=$(awk -F'= *' '/^\[DEFAULT\]/{f=1} f&&/^ignoreip *=/{print $2; exit}' "$jail" | tr -d ' \t')
      
1495.   local addrs; addrs=$(cat "$tmp" | paste -sd, -)
      
1496.   [ -n "$addrs" ] || { log "Fail2Ban：无可合并白名单"; return 0; }
      
1497.   local merged
      
1498.   merged=$(python3 - <<PY "$old" "$addrs"
      
1499. import sys
      
1500. o=(sys.argv[1] or "").split(",")
      
1501. a=(sys.argv[2] or "").split(",")
      
1502. s=set([x.strip() for x in o if x.strip()])|set([x.strip() for x in a if x.strip()])
      
1503. print(",".join(sorted(s)))
      
1504. PY
      
1505. )
      
1506.   python3 - <<'PY' "$jail" "$merged"
      
1507. import sys,re
      
1508. p,merged=sys.argv[1],sys.argv[2]
      
1509. s=open(p,'r',encoding='utf-8').read()
      
1510. def repl(m): return m.group(1)+'= '+merged
      
1511. s=re.sub(r'(^\[DEFAULT\][\s\S]*?^ignoreip\s*)=.*$', lambda m: repl(m), s, flags=re.M)
      
1512. open(p,'w',encoding='utf-8').write(s)
      
1513. PY
      
1514.   systemctl restart fail2ban 2>/dev/null || true
      
1515.   log "Fail2Ban ignoreip 已增量合并白名单，并尝试重启服务。"
      
1516. }
      
1517. cmd_daily_report(){
      
1518.   log "开始生成每日战报..."
      
1519.   local start_ts; start_ts=$(date -d "yesterday 19:30:00" +%s)
      
1520.   local end_ts; end_ts=$(date -d "today 19:30:00" +%s)
      
1521. 
      
1522.   local report_data; report_data=$(
      
1523.     awk -F, -v start="$start_ts" -v end="$end_ts" '
      
1524.       BEGIN { OFS="," }
      
1525.       {
      
1526.         cmd="date -d ""$1"" +%s"
      
1527.         cmd | getline ts
      
1528.         close(cmd)
      
1529.         if (ts >= start && ts < end) {
      
1530.           print $0
      
1531.         }
      
1532.       }
      
1533.     ' "$BAN_HISTORY" 2>/dev/null || true
      
1534.   )
      
1535. 
      
1536.   local ban_count=0 unban_count=0
      
1537.   local ban_details=""
      
1538.   ban_count=$(echo "$report_data" | grep -c ',BAN,' || true)
      
1539.   unban_count=$(echo "$report_data" | grep -c ',UNBAN,' || true)
      
1540. 
      
1541.   if [ "$ban_count" -gt 0 ]; then
      
1542.     ban_details=$(echo "$report_data" | grep ',BAN,' | head -n 20 | awk -F, '{
      
1543.       gsub(/"/, "\\"", $4); # Escape quotes in reason
      
1544.       print "- **" $3 "** (" $4 ")"
      
1545.     }' || true)
      
1546.   fi
      
1547. 
      
1548.   local pub; pub="$(get_public_ip)"
      
1549.   local text="### 📈 DDoS-Guard 每日战报
      
1550. - **报告时间**: $($DATE '+%F %T')
      
1551. - **统计周期**: 过去 24 小时
      
1552. - **主机公网 IP**: $pub
      
1553. - **总计封禁IP数**: ${ban_count}
      
1554. - **总计解封IP数**: ${unban_count}
      
1555. #### 封禁详情 (最多显示20条)
      
1556. $([ -n "$ban_details" ] && echo -e "$ban_details" || echo "- 今日无新增封禁IP")"
      
1557. 
      
1558.   alert_markdown "daily-report" "DDoS-Guard 每日战报" "$text"
      
1559.   log "每日战报已生成并推送。"
      
1560. }
      
1561. # ==============================================================================
      
1562. # 主入口
      
1563. # ==============================================================================
      
1564. case "${1:-}" in
      
1565.   install)             cmd_install;;
      
1566.   uninstall)           cmd_uninstall;;
      
1567.   run)                 shift || true; mode="${1:-wait}"; [ "$mode" = "--nowait" ] && mode="nowait" || mode="wait"; run_once "$mode";;
      
1568.   daemon)              cmd_daemon;;
      
1569.   status)              cmd_status;;
      
1570.   top)                 cmd_top;;
      
1571.   history)             cmd_history;;
      
1572.   check)               cmd_check;;
      
1573.   tune)                cmd_tune;;
      
1574.   tune-guide)          cmd_tune_guide;;
      
1575.   whitelist-reload)    cmd_whitelist_reload;;
      
1576.   whitelist-show)      cmd_whitelist_show;;
      
1577.   whitelist-debug)     cmd_whitelist_debug;;
      
1578.   redis-status)        cmd_redis_status;;
      
1579.   ban)                 cmd_ban "$@";;
      
1580.   unban)               cmd_unban "$@";;
      
1581.   flush-bans)          cmd_flush_bans;;
      
1582.   blacklist)           cmd_blacklist "$@";;
      
1583.   f2b-setup)           cmd_f2b_setup;;
      
1584.   daily-report)        cmd_daily_report;;
      
1585.   btwaf-sync-whitelist) cmd_whitelist_reload;;
      
1586.   *)
      
1587. cat <<'USAGE'
      
1588. 用法：ddos-guard <subcommand>
      
1589. 
      
1590. 子命令：
      
1591.   install | uninstall | run [--nowait] | daemon
      
1592.   status  | top | history | check | tune | tune-guide
      
1593.   whitelist-reload | whitelist-show | whitelist-debug | redis-status
      
1594.   ban <ip> | unban <ip> | flush-bans | blacklist <ip|file> | f2b-setup
      
1595.   btwaf-sync-whitelist   # 兼容别名（同 whitelist-reload）
      
1596. 
      
1597. 说明：
      
1598. - 多站点：在 CC_LOG_PATHS 与 ERROR_LOG_PATHS 里一行一个日志文件即可；
      
1599.           若日志里无法解析 Host，可在 LOG_HOST_MAP 中添加“文件路径正则 → 域名”的映射。
      
1600. - 阈值：若存在 /etc/ddos/host-thresholds.json，则以该文件为准；否则使用脚本内置默认（已固化你的配置 + Discuz PATH_TIERS）。
      
1601. - 蜘蛛策略：真·好蜘蛛（UA+PTR+正向回证）→ ddos_goodbots_v4 免扰；半可信先限速；伪造/恶意优先封禁。
      
1602. - 白名单：每轮 run 都会聚合 BTWAF v4/v6 + ignore.ip/host；ban 前二次校验；
      
1603.           whitelist-reload 后自动解封已进入白名单的误封 IP。
      
1604. - Redis：用于 L7 原子计数和“日志游标缓存”（降低磁盘 I/O），无 Redis 自动降级。
      
1605. - 动态调速：进入攻击模式→将巡检间隔改为 ATTACK_SCAN_INTERVAL（默认 2s），退出后恢复为 SCAN_INTERVAL。
      
1606. - 钉钉：拥有“进入/退出攻击模式”的状态告警与“批次战报”，同类 10 分钟节流。
      
1607. USAGE
      
1608.     ;;
      
1609. esac
      

复制代码

为防止出错，你可以直接下载此脚本，然后进行修改后上传至：/usr/local/sbin/ 下面。【建议还是脚本命令步骤手工复制，以免文件存在编码差异问题】

ddos-guard (71.37 KB, 下载次数: 0, 售价: 2 下载币)

2025-9-20 17:19 上传

点击文件名下载附件
阅读权限: 10

其中白名单文件可以参考格式（加入自己的白名单）：（上传至：/etc/ddos/）

ignore.ip.list (10.56 KB, 下载次数: 1)

2025-9-5 08:00 上传

点击文件名下载附件

ignore.host.list (506 Bytes, 下载次数: 1)

2025-9-5 08:00 上传

点击文件名下载附件

然后，赋予脚本安装执行权限：

1. sudo chmod +x /usr/local/sbin/ddos-guard

复制代码

粘贴修改内容后的语法校验：（无任何错误输出表示通过）

1. sudo bash -n /usr/local/sbin/ddos-guard

复制代码

启动安装并部署防御系统：

1. sudo /usr/local/sbin/ddos-guard install

复制代码

创建每日防御情况汇报计划任务：（每日防御日报）

1. crontab -e

复制代码

粘贴到计划任务最后一行：（这里预设的是每日19：30进行防御汇报，改为你自己想要的时间。）

1. 30 19 * * * /usr/local/sbin/ddos-guard daily-report >/dev/null 2>&1

复制代码

2025.9.20，新增防御细节手工操作：

（智能陷阱）：部署“Honeypot (蜜罐)”页面：

在宝塔所有站点：

修改 robots.txt 在网站根目录的 robots.txt 文件中，增加一行，禁止所有爬虫访问防御系统的陷阱页面：

新增：

1. Disallow: /trap-page.html

复制代码

在网站模板的公共页脚部分，加入一个隐藏的链接。

在 Discuz! 默认模板 template/default/common/footer.htm 文件的 </body> 标签前，加入：

1. <a href="/trap-page.html" style="display:none; color:#fff;">do not crawl</a>

复制代码

这个链接对访客是完全不可见的，不影响程序正常运行。

最后，在宝塔面板的每个网站根目录创建个空文件为：

trap-page.html

---------------------------------------------------------------------------------------------------

日志增强：（2025.9.20新功能）

创建一个专门存放增强日志格式的文件。

1. sudo tee /www/server/nginx/conf/log_formats.conf <<'EOF'
   
2. # --- Custom Log Formats for ddos-guard ---
   
3. 
   
4. # 1. Map to get the first IP from X-Forwarded-For, fallback to remote_addr
   
5. map $http_x_forwarded_for $real_ip {
   
6.     "" $remote_addr;
   
7.     ~^(?P<first_ip>[0-9., ]+),?.*$ $first_ip;
   
8. }
   
9. 
   
10. # 2. Define the new log format with the real IP as the first field
    
11. log_format cdn_real_ip '$real_ip - $remote_user [$time_local] "$request" '
    
12.                        '$status $body_bytes_sent "$http_referer" '
    
13.                        '"$http_user_agent"';
    
14. EOF

复制代码

作用：这个命令会在 Nginx 的配置目录下创建一个名为 log_formats.conf 的新文件，并将我们需要的 map 和 log_format 定义写入其中。map 块的作用是智能地从 X-Forwarded-For 请求头中提取第一个 IP 作为真实 IP。

在宝塔面板中引用新文件并应用格式：

第二部分：在宝塔面板中引用新文件并应用格式

现在，我们需要告诉 Nginx 加载这个新文件，并让您的网站使用我们刚定义的 cdn_real_ip 格式。

• 修改全局配置：
  
  • 登录宝塔面板，点击左侧 【软件商店】 -> 找到 Nginx -> 点击右侧的 【设置】。
  • 在弹出的窗口中，点击 【配置修改】。
  • 找到 http { 这一行，在它的正下方，加入 include /www/server/nginx/conf/log_formats.conf; 这一行。
    
  如图所示新增：
  

1. include /www/server/nginx/conf/log_formats.conf;

复制代码

修改站点配置：

• 回到宝塔面板主界面，点击左侧 【网站】 -> 找到 www.dz-x.net 站点 -> 点击 【设置】。【以你自己站点为准】
• 点击 【配置文件】 选项卡。
• 现在，我们只需要修改 access_log 这一行即可。找到它：
  

修改后，如图所示：

1. cdn_real_ip;

复制代码

----------------------------------------------------------------------------------------------------------------------------------

2025.9.20 下午追加功能：引入高风险IP信誉源(IP威胁情报库)，实时情报纵深防御。

创建一个全新的、独立的脚本，专门负责每天自动下载和更新高风险IP名单。

1. sudo vi /usr/local/sbin/ddos-guard-fetch-bad-ips.sh

复制代码

将以下完整内容粘贴到文件中：

1. #!/usr/bin/env bash
   
2. # ==============================================================================
   
3. # ddos-guard-fetch-bad-ips.sh: 威胁情报收集器
   
4. # 作用：每天从公开的信誉源拉取高风险IP/CIDR黑名单，并加载到ipset中
   
5. # ==============================================================================
   
6. set -euo pipefail
   
7. 
   
8. # --- 配置 ---
   
9. # 定义高风险IP信誉源 (您可以按需增删)
   
10. # FireHOL Level 1: 包含确认的攻击IP，误报率极低
    
11. SOURCES=(
    
12.     "https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level1.netset"
    
13.     "https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/dshield.netset"
    
14.     "https://sslbl.abuse.ch/blacklist/sslipblacklist.txt"
    
15. )
    
16. 
    
17. # ipset集合名称 (必须与主脚本 ddos-guard 中的一致)
    
18. SET_BADREP_V4="ddos_bad_reputation_v4"
    
19. IPSET=$(command -v ipset || { echo "ipset not found"; exit 1; })
    
20. 
    
21. # 临时工作目录
    
22. TMPDIR="/tmp/ddos-guard-badips"
    
23. mkdir -p "$TMPDIR"
    
24. 
    
25. # 最终合并的IP名单
    
26. FINAL_LIST_FILE="/etc/ddos/reputation-blacklist.txt"
    
27. 
    
28. # --- 脚本主逻辑 ---
    
29. echo "开始更新高风险IP名单..."
    
30. 
    
31. # 下载并处理所有源
    
32. RAW_LIST="$TMPDIR/raw_list.txt"
    
33. : > "$RAW_LIST"
    
34. for url in "${SOURCES[@]}"; do
    
35.     echo "正在下载: $url"
    
36.     curl -s --connect-timeout 15 "$url" | grep -v -E "^#|^;" | grep -v -E "^$" >> "$RAW_LIST" || echo "下载失败: $url"
    
37. done
    
38. 
    
39. # 清理、去重并格式化
    
40. echo "正在清理和去重..."
    
41. # 筛选出合法的IPv4地址和CIDR
    
42. grep -E "^([0-9]{1,3}\.){3}[0-9]{1,3}(/[0-9]{1,2})?$" "$RAW_LIST" | sort -u > "$FINAL_LIST_FILE"
    
43. 
    
44. # 获取最终条目数
    
45. final_count=$(wc -l < "$FINAL_LIST_FILE")
    
46. echo "处理完成，共获得 $final_count 条独立的高风险IPv4条目。"
    
47. 
    
48. # 将新名单原子化地加载到 ipset 中
    
49. if [ -s "$FINAL_LIST_FILE" ]; then
    
50.     echo "正在将名单加载到 ipset: $SET_BADREP_V4 ..."
    
51.     # 使用临时ipset集合实现平滑、无缝的更新
    
52.     TEMP_SET="${SET_BADREP_V4}_temp"
    
53.     $IPSET create "$TEMP_SET" hash:net -exist
    
54. 
    
55.     # 批量导入
    
56.     {
    
57.         while read -r ip; do
    
58.             [ -n "$ip" ] && echo "add $TEMP_SET $ip"
    
59.         done < "$FINAL_LIST_FILE"
    
60.     } | $IPSET restore -exist
    
61. 
    
62.     # 原子化切换
    
63.     $IPSET swap "$TEMP_SET" "$SET_BADREP_V4"
    
64. 
    
65.     #销毁临时集合
    
66.     $IPSET destroy "$TEMP_SET"
    
67. 
    
68.     echo "ipset $SET_BADREP_V4 更新成功！"
    
69. else
    
70.     echo "未能生成有效的IP名单，跳过 ipset 更新。"
    
71. fi
    
72. 
    
73. # 清理临时文件
    
74. rm -rf "$TMPDIR"
    
75. echo "更新完成。"

复制代码

保存文件并赋予执行权限：

1. sudo chmod +x /usr/local/sbin/ddos-guard-fetch-bad-ips.sh

复制代码

设置定时任务 (Cron Job)，让它每天凌晨自动执行一次：

# 打开 crontab 编辑器

1. sudo crontab -e

复制代码

# 在文件末尾加入下面这行，然后保存退出

1. 30 4 * * * /usr/local/sbin/ddos-guard-fetch-bad-ips.sh > /var/log/ddos-guard-fetch.log 2>&1

复制代码

注意：该IP威胁情报库功能，需要你结合上面最新升级的主脚本 ddos-guard 以利用情报。

----------------------------------------------------------------------------------------------------------------------------------

常用命令：（如果白名单解析不完整，记得：sudo ddos-guard whitelist-reload  重新装载一次所有来源白名单）

1. # 重载服务重启时间计数器
   
2. sudo systemctl daemon-reload && sudo systemctl restart ddos-guard.timer
   
3. 
   
4. # 同步 宝塔nginx防火墙 白名单 + 强制巡检一轮
   
5. sudo ddos-guard btwaf-sync-whitelist
   
6. sudo ddos-guard run
   
7. sudo ddos-guard status
   
8. 
   
9. # 查看所有ipv4白名单
   
10. sudo ddos-guard whitelist-show
    
11. 
    
12. # 查看所有白名单统计
    
13. sudo ddos-guard whitelist-show --count
    
14. 
    
15. # Fail2ban 部署
    
16. sudo ddos-guard f2b-setup
    
17. sudo ddos-guard f2b-status
    
18. 
    
19. # 一键清空黑名单并尽量联动Fail2ban解封
    
20. sudo ddos-guard clear-bans [--all-jails]
    
21. 
    
22. # 删除单个被永久封禁的 IP
    
23. sudo nft delete element inet ddg bl4 { 220.181.108.93 }
    
24. 
    
25. # 清空所有永久封禁（慎用）
    
26. sudo nft flush set inet ddg bl4
    
27. 
    
28. # 清空所有临时封禁（如果也想顺手解开 tmp）
    
29. sudo ddos-guard flush-temp
    
30. 
    
31. # 修改后重新加载执行
    
32. sudo systemctl daemon-reload
    
33. sudo systemctl start ddos-guard.timer
    
34. 
    
35. # 查看防护定时器状态
    
36. sudo systemctl status ddos-guard.timer
    
37. --------------------------------------------------------------------------
    
38. # 查看状态
    
39. sudo ddos-guard status
    
40. 
    
41. # 实时监控
    
42. sudo ddos-guard top
    
43. 
    
44. # 钉钉推送消息自检（打印两次返回体）
    
45. sudo ddos-guard ding-check
    
46. 
    
47. # 查看钉钉配置（这里会显示完整 host）
    
48. sudo ddos-guard ding-show-config
    
49. 
    
50. # 并手工跑一轮，观测是否有 MASS_BAN 推送
    
51. sudo rm -f /var/lib/ddos-guard/notify/last_*.ts
    
52. sudo env DINGTALK_DEBUG=2 ddos-guard run
    
53. 
    
54. # 查看防护定时器状态
    
55. sudo systemctl status ddos-guard.timer
    
56. 
    
57. # 查看封禁历史
    
58. sudo ddos-guard history
    
59. 
    
60. # 手动运行一次扫描
    
61. sudo ddos-guard run
    
62. 
    
63. # 查看防护服务运行状态
    
64. sudo systemctl status ddos-guard.service
    
65. 
    
66. # 查看当前黑名单
    
67. sudo ddos-guard blacklist
    
68. 
    
69. # 查看IP威胁情报库
    
70. sudo ipset list ddos_tempban
    
71. 
    
72. # 查看永久封禁黑名单（IP威胁情报库）
    
73. sudo ddos-guard perma-list
    
74. 
    
75. # 网络调优内核防御参数临时应用
    
76. sudo ddos-guard tune
    
77. 
    
78. # ddos-guard 环境自检报告
    
79. sudo ddos-guard check
    
80. 
    
81. # 查看服务器Redis原生CC防御引擎状态
    
82. sudo ddos-guard redis-status
    
83. 
    
84. # 一键清空封禁
    
85. sudo ddos-guard flush-bans
    
86. 
    
87. # 或同时清情报库并尝试从 fail2ban 解封
    
88. sudo ddos-guard flush-bans --purge-intel
    
89. 
    
90. # 集成 Fail2ban 联动防御初始化
    
91. sudo ddos-guard f2b-setup
    
92. 
    
93. # 刷新域名白名单缓存
    
94. sudo ddos-guard refresh-dns
    
95. 
    
96. # 刷新宝塔白名单缓存
    
97. ddos-guard refresh-btwaf
    
98. 
    
99. # 完全卸载~
    
100. sudo ddos-guard uninstall || true
     
101. 
     
102. # 手动销毁旧集合（此时 iptables 规则已被卸载，不会被引用）
     
103. for s in ddos_white ddos_tempban ddos_permban ddos_white_v6 ddos_tempban_v6 ddos_permban_v6; do
     
104.   sudo ipset destroy "$s" 2>/dev/null || true
     
105. done
     
106. 
     
107. # 重新安装
     
108. sudo ddos-guard install
     
109. 
     
110. # 如果之前 family 弄错、timer 没装好：
     
111. sudo ddos-guard repair-ipsets
     
112. sudo ddos-guard fix-systemd
     
113. 
     
114. 
     
115. # 重新同步白名单并跑一轮检测
     
116. sudo ddos-guard btwaf-sync-whitelist
     
117. sudo ddos-guard run
     
118. 
     
119. # 关闭宝塔系统加固
     
120. btpython /www/server/panel/plugin/syssafe/stop.py 0

复制代码

游客，如果您要查看本帖隐藏内容请回复

©DZ插件网所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。
本站内容为站长个人技术研究记录或网络，不提供用户交互功能，所有内容版权归原作者所有。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，得到更好的正版服务。
您在本站任何的赞助购买、下载、查阅、回复等行为等均表示接受并同意签订《DZ插件网免责声明协议》。
如有侵权请邮件与我们联系处理: discuzaddons@vip.qq.com 并出示相关证明以便删除。敬请谅解！

{
    "title": "DDoS-Guard 安装与使用指南",
    "content": "感谢您选择 DZ插件网 优化的 DDoS-Guard 防御脚本。以下是完整的安装配置说明：\n\n## 功能特性\n- 实时监控服务器连接数\n- 自动封禁超阈值IP地址\n- 智能整合 Fail2ban、宝塔WAF、用户白名单\n- 详细的日志记录与分析功能\n- 实时状态监控与交互界面\n- 系统服务化安装，稳定可靠\n\n## 安装步骤\n\n### 1. 创建安装脚本\n

1. \nsudo vi /usr/local/sbin/ddos-guard\n

复制代码

\n\n### 2. 粘贴脚本内容\n将提供的脚本内容完整复制到文件中\n\n### 3. 赋予执行权限\n

1. \nsudo chmod +x /usr/local/sbin/ddos-guard\n

复制代码

\n\n### 4. 创建配置文件目录\n

1. \nsudo mkdir -p /etc/ddos\n

复制代码

\n\n### 5. 创建白名单文件（可选）\n

1. \n# IP白名单\nsudo touch /etc/ddos/ignore.ip.list\n\n# 域名白名单  \nsudo touch /etc/ddos/ignore.host.list\n

复制代码

\n\n### 6. 安装系统服务\n

1. \nsudo /usr/local/sbin/ddos-guard install\n

复制代码

\n\n## 配置说明\n\n### 主要参数调整\n编辑脚本中的以下参数以适应您的服务器环境：\n\n

1. \nNO_OF_CONNECTIONS=68        # 连接数阈值\nBAN_PERIOD=3600             # 封禁时长（秒）\nSCAN_INTERVAL=10            # 扫描间隔（秒）\n

复制代码

\n\n### 日志文件位置\n

1. \nLOG_FILE="/var/log/ddos-guard.log"           # 运行日志\nBAN_HISTORY="/var/log/ddos-guard-history.log" # 封禁历史\n

复制代码

\n\n## 使用方法\n\n### 启动守护进程\n

1. \nsudo systemctl start ddos-guard\n

复制代码

\n\n### 查看实时状态\n

1. \nsudo /usr/local/sbin/ddos-guard status\n

复制代码

\n\n### 交互式监控\n

1. \nsudo /usr/local/sbin/ddos-guard monitor\n

复制代码

\n\n### 查看封禁历史\n

1. \nsudo /usr/local/sbin/ddos-guard history\n

复制代码

\n\n## 注意事项\n\n1. **系统要求**：Debian 12 + 宝塔面板 11\n2. **依赖检查**：确保已安装 fail2ban 和宝塔防火墙\n3. **白名单配置**：将信任的IP添加到 `/etc/ddos/ignore.ip.list`\n4. **阈值调整**：根据服务器性能调整连接数阈值\n5. **日志监控**：定期检查日志文件了解防御情况\n\n## 故障排除\n\n如果遇到问题，请检查：\n- 脚本执行权限是否正确\n- 依赖工具（iptables、netstat）是否安装\n- 日志文件是否有错误信息\n- 防火墙规则是否正常生效\n\n## 技术支持\n\n如需进一步的技术支持，请访问 DZ插件网 获取更多帮助文档和社区支持。\n\n---\n*本脚本基于 ddos-deflate 增强开发，专为 Discuz! 网站优化防御能力*"
}
-- 本回答由 人工智能 AI智能体 生成，内容仅供参考，请仔细甄别。

看看隐藏内容

学习一下

基于ddos-deflate增强实时扫描高连接数 IP自动封禁超过阈值的 IP整合 Fail2ban、宝塔nginx防火墙、用户自定义白名单的防御攻击 [修改]

看看qqqqqqqq

学习收藏下哦

看看好用不

感谢站长无私分享

感谢站长无私分享