2026-10-03
服务器日志里出现陌生 IP，我一般是这样查的
第一次认真翻服务器日志的人，大概都会被吓一跳：怎么有这么多不认识的 IP 在访问我的站？有的还在试 /wp-login.php、/.env 这种路径。先别慌，这几乎是每台公网服务器的日常。
先判断是不是针对你
一台机器接到公网，几分钟内就会有自动化脚本来敲门，它们不关心你是谁，只是在大范围找有漏洞的目标。所以单看“有陌生 IP 访问”本身说明不了什么，要看它们到底在请求什么、频率有多高。
第一步：看请求内容和频率
如果请求的是 /wp-login.php、/.env、/phpmyadmin、/admin 这类路径，而你的站根本没有这些东西，那就是在扫漏洞，基本无害。如果是对登录接口短时间大量请求，就可能是在撞库；对同一个页面高频抓取，多半是爬虫。
第二步：查这个 IP 是谁的
把 IP 丢进 IP 查询工具，看 ISP 和组织。如果是云厂商的机房地址，大概率是扫描器、爬虫或别人的服务器；如果是普通运营商的家宽，可能是真实用户，也可能是一台被入侵的设备。这一步不能给出结论，但能帮你缩小范围。
第三步：需要的话，查 Whois / RDAP
对 IP 做 RDAP 查询，通常能看到这一段地址的持有机构和一个滥用举报邮箱（abuse contact）。如果确实有持续的恶意行为，可以带上日志发过去投诉。说实话，大厂通常会处理，小机房多半没有回音，别抱太大期待。
怎么处理比较稳妥
- 优先用防火墙或 Cloudflare 这类服务的规则做限速、验证挑战，而不是永久封单个 IP，因为 IP 会换人用，今天的扫描器明天可能是别人的家宽
- 真正要做的是把该修的修好：软件更新、关掉不用的端口、后台别暴露在公网、密码够强
- 别封搜索引擎爬虫。比如 Googlebot 可以用反向 DNS 加正向解析来验证真假，不要只看 User-Agent
最后一个提醒
IP 只能说明网络归属，不能说明背后是谁。不要仅凭一个 IP 就断定某个人在攻击你，更不要去人肉对方。把它当作排查线索，处理好自己这边的防护就够了。