根治伺服器被植入 PHP DDOS 攻擊腳本的兩大方案

駭客利用 PHP socket 函數發起外連攻擊，佔滿伺服器出口頻寬 (PHP DDOS 特徵：持續發送封包，而非接收)。表現：啟動 IIS 瞬間出口頻寬跑滿 (10M/100M/1G 均會被佔滿)，合法服務無法通訊。本文提供快速止血與根治方案。

方案一：快速定位並停用惡意站點 (止血)

1. 開啟 IIS 錯誤日誌：C:\Windows\System32\LogFiles\HTTPERR\httperr1.log。
2. 搜尋大量 Timer_MinBytesPerSecond 記錄，範例：
   2011-10-19 11:30:39 ... 26200000 Timer_MinBytesPerSecond DefaultAppPool
3. 26200000 為網站在 IIS 內部 ID，DefaultAppPool 為應用程式集區名。
4. IIS 管理員 → 對應網站/集區 → 停止 或移除。

⚠ 缺點：事後被動、耗時、無法防範新站點被植入。

方案二：系統層封鎖 UDP 輸出 (根治，推薦)

PHP DDOS 多利用 UDP 協定發包。封鎖系統層 UDP 輸出可徹底斷絕攻擊流量，不影響 TCP 正常服務 (Web、資料庫、SSH 等均為 TCP)。

方法 A：本地安全性原則 → IP 安全性原則 (靈活，可例外 DNS)

1. secpol.msc → 「IP 安全性原則」 → 右鍵「建立 IP 安全性原則」 → 下一步 → 取消「使用精靈預設」 → 完成。
2. 右鍵新建原則 → 「屬性」 → 「規則」 → 「新增」 → 精靈：
   • 通道類型：所有網路連線
   • 驗證：Kerberos V5 (或預設)
   • IP 篩選清單：新增 → 新增篩選：
     來源位址：我的 IP 位址
     目的位址：任何 IP 位址
     協定類型：UDP (17)
     來源/目的埠：任意
     動作：阻擋
   • 例外規則 (關鍵)： 同樣新增篩選，目的位址設為 DNS 伺服器 IP，協定 UDP，動作 允許，置於阻擋規則之上 (優先級高)。
3. 指派原則：右鍵原則 → 「指派」。

方法 B：Windows 防火牆進階安全性 (簡單但難例外 DNS)

1. wf.msc → 「輸出規則」 → 「新增規則」 → 「自訂」。
2. 所有程式、協定 UDP、任意埠、遠端 IP 任意、動作「阻擋」、所有設定檔、命名「Block All UDP Out」。
3. ⚠ 若伺服器需對外解析域名 (如發信、API 呼叫)，需額外新增「允許 UDP 53 至 DNS IP」規則並調高優先級。

附贈：批次腳本一鍵部署 (含 DNS 例外)

下載連結：[原文提供的下載點] → 編輯腳本中 DNS IP → 以管理員身分執行。

不建議的方案：修改 php.ini 禁用函數

disable_functions = socket_create, socket_connect, fsockopen, pfsockopen, stream_socket_client, ...

副作用：導致大量合法 PHP 應用 (郵件、支付回調、API 客戶端、快取同步) 失效，維護成本極高。

結語：方案一 (日誌定位) + 方案二 (系統層 UDP 封鎖 + DNS 例外) 組合為最佳實踐：止血快、根治徹、不影響正常 TCP 業務。並建議同步部署 Web 應用防火牆 (WAF)、定期掃描可疑 PHP 檔案、最小化網站目錄寫入權限。