我有PHP的Web应用程序（Nginx的+ PHP的FFP）。 有人试图强制密码。 他有很多IP。 而且这些暴力破解的工作，如DDOS，因为每次Web应用程序启动，并尝试处理请求。 fail2ban将在maxretry时间后禁止ip。 但是我有几千个请求，每个请求都是由不同的IP发送的。 如何防止第一次POST请求login行动没有启动Web应用程序？ 因为通常的用户不能先发送他的请求作为POST请求。
你受到僵尸networking的攻击。
这里有一个针对你的nginx web应用程序的特定解决scheme
HttpLimitReqModule
一般而言，这些是您遵循的步骤：
– 对于特定的攻击帐户，给他们的选项只允许从某些IP地址login。
– 将唯一的loginURL分配给用户块，以便并非所有用户都可以从同一个URL访问该站点。
– 使用CAPTCHA来防止自动攻击。