封禁一批恶意IP
117.68.7.142
117.68.7.145
117.68.7.146
117.68.7.147
117.68.7.148
117.68.7.153
117.68.7.161
117.68.7.163
117.68.7.169
117.68.7.170
117.68.7.171
117.68.7.175
117.68.7.177
117.68.7.183
117.68.7.184
117.68.7.186
117.68.7.188
117.68.7.198
117.68.7.204
117.68.7.205
117.68.7.216
117.68.7.219
117.68.7.225
117.68.7.228
117.68.7.234
117.68.7.238
117.68.7.239
117.68.7.241
43.228.126.176
103.230.14.240
178.159.37.16
45.135.57.32
27.115.124.101
27.115.124.45
27.115.124.53
27.115.124.6
154.193.11.54
43.154.250.181
165.154.147.26
118.194.233.126
152.32.219.203
165.154.147.113
128.1.40.3
165.154.147.103
165.154.147.84
107.150.112.99
165.154.29.205
107.150.112.31
以下为AI分析：
一、日志中恶意刷流量的真实 IP
主要特征：
大量不同 IP 集中在
117.68.0.0/16User-Agent 主要是：
HeadlessChrome/91.0.4472.114Chrome/70.0.3538.77短时间内反复请求首页 + 全套静态资源：CSS、JS、图片、字体等
频率极高，几乎每隔几分钟就刷一轮
Referer 多为你的域名：
http://xn--gmq689by2bb35dizd.cn/
建议优先封禁：
117.68.0.0/16
如果担心封整个 /16 误伤，可以先封以下高频 IP 段/示例：
117.68.0.2 117.68.0.8 117.68.0.16 117.68.0.21 117.68.0.24 117.68.0.39 117.68.0.42 117.68.0.45 117.68.0.47 117.68.0.52 117.68.0.57 117.68.0.58 117.68.0.74 117.68.0.75 117.68.0.80 117.68.0.82 117.68.0.89 117.68.0.98 117.68.0.100 117.68.0.108 117.68.0.114 117.68.0.118 117.68.0.119 117.68.0.126 117.68.0.127 117.68.0.128 117.68.0.135 117.68.0.137 117.68.0.152 117.68.0.157 117.68.0.164 117.68.0.181 117.68.0.193 117.68.0.196 117.68.0.199 117.68.0.208 117.68.0.229 117.68.0.242 117.68.0.244 117.68.0.247 117.68.7.11 117.68.7.26 117.68.7.29 117.68.7.32 117.68.7.40 117.68.7.46 117.68.7.47 117.68.7.58 117.68.7.64 117.68.7.65 117.68.7.67 117.68.7.84 117.68.7.88 117.68.7.89 117.68.7.98 117.68.7.107 117.68.7.108 117.68.7.123 117.68.7.132 117.68.7.136 117.68.7.138 117.68.7.140 117.68.7.142 117.68.7.145 117.68.7.146 117.68.7.147 117.68.7.148 117.68.7.153 117.68.7.161 117.68.7.163 117.68.7.169 117.68.7.170 117.68.7.171 117.68.7.175 117.68.7.177 117.68.7.183 117.68.7.184 117.68.7.186 117.68.7.188 117.68.7.198 117.68.7.204 117.68.7.205 117.68.7.216 117.68.7.219 117.68.7.225 117.68.7.228 117.68.7.234 117.68.7.238 117.68.7.239 117.68.7.241
二、其他可疑扫描/攻击 IP，建议一并封禁
这些不是刷流量主力，但属于扫描后台、探测漏洞：
43.228.126.176 103.230.14.240 178.159.37.16 45.135.57.32 27.115.124.101 27.115.124.45 27.115.124.53 27.115.124.6
你说得对，是我前面漏掉了。
你之前提供的是 2026-09-06 的 access_20260906.log，而你现在列出来的是 2026-09-15 的流量统计。日期虽然不同，但这些 IP 的完整地址确实就在你之前给的 09-06 日志里大量出现。我当时只盯着 11:06:32 附近和 .config.php 上传请求，没有把 09-15 的流量统计和 09-06 日志关联起来，所以没提这批 UCloud IP。
对应完整 IP 如下
| 序号 | 你给的掩码 IP | 日志中的完整 IP | 日志中特征 |
|---|---|---|---|
| 1 | 165...26 | 165.154.147.26 | MSIE 9.0，大量 POST 评论 |
| 2 | 118...126 | 118.194.233.126 | MSIE 9.0，大量 POST 评论 |
| 3 | 152...203 | 152.32.219.203 | MSIE 9.0，大量 POST 评论 |
| 4 | 165...113 | 165.154.147.113 | MSIE 9.0，大量 POST 评论 |
| 5 | 128...3 | 128.1.40.3 | MSIE 9.0，大量 POST 评论 |
| 6 | 165...103 | 165.154.147.103 | MSIE 9.0，大量 POST 评论 |
| 7 | 165...84 | 165.154.147.84 | MSIE 9.0，大量 POST 评论 |
| 8 | 107...99 | 107.150.112.99 | MSIE 9.0，大量 POST 评论 |
| 9 | 165...205 | 165.154.29.205 | MSIE 9.0，大量 POST 评论 |
| 10 | 107...31 | 107.150.112.31 | MSIE 9.0，大量 POST 评论 |
这些 IP 在 09-06 日志里有一个非常明显的共同点：
Mozilla/4.0 (compatible; MSIE 9.0; Windows NT 6.1)
并且频繁请求：
POST /zb_system/cmd.php?act=cmt&postid=...&key=...
也就是 Z-Blog 的评论提交接口。它们看起来是同一批自动化程序，可能是垃圾评论机器人，也可能是攻击者用来探测、刷流量、留后门的跳板。
建议立即封禁这些完整 IP
165.154.147.26 118.194.233.126 152.32.219.203 165.154.147.113 128.1.40.3 165.154.147.103 165.154.147.84 107.150.112.99 165.154.29.205 107.150.112.31
扫描二维码推送至手机访问。
版权声明：本文由诗人救护车.cn发布，转载内容来自网络有链接的会添加，如需转载请注明文章原出处，本站含电子诗集内容如有侵权，请联系本站会立即删除，致敬诗人！
友情提醒：本站在坚决拥护党的领导，秉持唯物主义的立场上，以个人视角纯文化建设的态度针对汉诗进行创作研讨评判，实践过程无法绝对排除唯心主义词汇和相关领域辩证思考，如有不当处敬请指点更改或删除。欢迎提供歌颂党领导的优秀诗作，本站置顶共享，并结集宣传！
皖ICP备2022012765号-1