船说 CMS 会不会容易被 DDoS 攻击

学完这篇你能自己判断船说CMS 站点到底怕不怕 DDoS，并且照着配一套能扛住小规模攻击的防护——不用买服务器，也不用改 CMS 源码。

第一步：先分清打你的是四层还是七层

这一步要搞清楚"敌人是谁"，因为四层和七层的应对手段完全不同。四层攻击是 SYN Flood、UDP 反射这类，直接打你的 IP 和带宽，CMS 是什么根本不重要——1Gbps 的流量进来，任何 PHP 站点都会先挂。七层攻击就是 CC，模拟正常请求狂刷你的登录页、搜索页，这时候才轮到 Nginx 和 CMS 自己扛。

所以"船说CMS 容易被打吗"的准确答案是：它不比同类的 PHP+MySQL 建站系统更容易被打，但如果你的服务器是裸奔的公网 IP、没有 CDN 在前面，那它撑不过 10 分钟。决定生死的三件事是——真实 IP 有没有藏起来、前面有没有清洗层、源站有没有限速。

第二步：先测出你的站点现在能扛多少

这一步拿到一个 QPS 基线数字，后面才知道防护有没有生效。在你自己的服务器上装压测工具：

apt install apache2-utils -y   # Debian/Ubuntu，装的是 ab
ab -n 2000 -c 50 https://你的域名/

看结果里的 Requests per second，比如显示 80，说明单机大概只能吃 80 并发请求/秒，超过就开始 502、超时。

注意：只能压测你自己的站点。对别人的站做压测属于攻击行为，违法。

第三步：在 Nginx 层加限速，这是性价比最高的一步

这一步做完，单个 IP 刷不出量，大部分脚本小子级别的 CC 就废了。打开 /etc/nginx/nginx.conf，在 http { } 段里加两行：

limit_req_zone $binary_remote_addr zone=req_per_ip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;

然后在你的站点 server { } 段里加：

limit_conn conn_per_ip 20;
limit_req zone=req_per_ip burst=20 nodelay;
limit_req_status 429;
client_body_timeout 10s;
client_header_timeout 10s;
client_max_body_size 2m;

rate=10r/s 是每个 IP 每秒 10 个请求，burst=20 是允许突发 20 个，nodelay 表示突发部分立即处理不排队。改完执行 nginx -t 检查语法，再 nginx -s reload。

注意：burst 设太小会把正常用户也拦掉（比如网页一次加载 30 个图片）。先在测试环境把数值调稳，再上生产。

第四步：把源站 IP 藏到 CDN 或高防后面

这一步解决四层攻击——带宽清洗只能靠 CDN 或高防，你自己的服务器做不到。免费方案用 Cloudflare：登录 dash.cloudflare.com → 选择你的域名 → 左侧 DNS → 把指向源站的 A 记录右侧云朵图标点成橙色（Proxied）。然后左侧 Security → Settings → 把 Security Level 调到 High；如果正在被打，打开 Under Attack Mode（会显示 "I'm Under Attack Mode"）。

国内用户可以用阿里云：控制台搜索「DDoS 防护」→ 实例管理 → 添加防护规则，把源站域名填进去。

配完之后必须做一件事：去服务器防火墙，只放行 CDN 的回源 IP 段。Cloudflare 的 IP 段在 cloudflare.com/ips-v4 页面，复制最新的列表写进 iptables 或安全组。

注意：这一步不做，等于白配。别人扫到你的真实 IP 就能绕过 CDN 直接打，钱和功夫全白费。

第五步：收紧船说CMS 自身最容易被刷的入口

登录、搜索、评论这三个位置是无状态请求，最容易被脚本刷。先到后台找防刷开关，不同版本的船说CMS 后台菜单位置不完全一样，按这个关键词找：系统设置 → 安全设置，勾上「开启验证码」「登录失败次数限制」「IP 黑名单」。如果你的版本没有这些选项，就在 Nginx 里给这几个路径单独加严：

location ~* /(search|login|comment|post) {
    limit_req zone=req_per_ip burst=3 nodelay;
}

另外，能静态化的页面尽量生成纯 HTML。静态页不需要查数据库，抗打能力比动态页高一个量级。

注意：后台默认路径（比如 /admin）建议改掉或加 IP 白名单，否则攻击者不用猜接口就能直接怼登录页。

第六步：写一份被打时的应急清单

被打的当下很容易手忙脚乱，提前把顺序写下来：一、看 Nginx 日志 tail -f /var/log/nginx/access.log，确认是不是七层 CC；二、立刻在 Cloudflare 打开 Under Attack Mode；三、把 limit_req 的 rate 临时从 10r/s 降到 3r/s；四、如果是四层大流量打崩带宽，联系云厂商切高防 IP。全程不要重启服务器，重启不解决任何问题。

小结

• DDoS 打的是 IP 和带宽，CMS 品牌不是关键，部署方式才是。
• 四层攻击只能靠 CDN/高防清洗，七层 CC 靠 Nginx 限速 + CMS 自身防刷。
• Nginx 的 limit_req + limit_conn 是零成本、见效最快的一层，优先配。
• 接入 CDN 后必须做回源 IP 白名单，否则源站 IP 泄露等于没防护。
• 登录、搜索、评论是重点防护对象，能静态化就静态化。
• 提前写好应急清单，比攻击发生时现查资料靠谱得多。