我的小网站日均10个访客，却拦截了国家级攻击：深度解析ThinkPHP文件包含0day攻防战

我是一个个人分享类博客的小站长 ... ...

​​摘要​​：作为日活仅10+的个人技术博客站长，我意外成为高级APT攻击的目标。本文将详细还原一场针对ThinkPHP框架的准0day攻击事件，深度解析攻击手法与防御原理，揭示小网站如何成为黑客跳板，并分享防护实战经验。（注：本文涉及域名、IP等敏感信息均已脱敏）

一、背景：个人博客的防护架构

1.1 站点基本信息

• ​​类型​​：个人分享博客
• ​​日活用户​​：10~15人
• ​​技术栈​​：
  • 前端：通用博客系统
  • 后端：ThinkPHP 7.x + RDS
  • 服务器：阿里云ECS服务器
  • 防护系统：宝塔云WAF(多节点)
  • PHP版本：7.4

1.2 安全防护配置

# 宝塔云WAF核心配置
security_level = high          # 高级防护模式
deep_learning = on             # 启用AI引擎
cc_protection:                # CC攻击防护
    enable: true
    threshold: 50req/10s
zero_day_protection: on       # 0day攻击防护

二、攻击事件全纪实（深度分析）

2.1 攻击时间线（2025年7月）

07-18 08:23 ： 首次攻击探测（中国IP）
07-18 08:23 ： WAF即时拦截
07-21 13:43 ： 完整攻击链触发（新加坡IP）
07-21 13:43 ： WAF精准阻断
07-30 ： 安全厂商发布漏洞预警

2.2 攻击阶段深度解析

阶段1：框架指纹探测（侦察阶段）

GET / HTTP/1.1
Host: example.com
User-Agent: ThinkPHP_Scanner/2.0
X-Forwarded-For: 192.168.100.100

​​攻击手法分析​​：

1. ​​专用扫描工具​​：使用ThinkPHP_Scanner定制化工具进行框架识别
2. ​​IP欺骗技术​​：通过X-Forwarded-For伪造内网IP地址
3. ​​响应特征分析​​：检查HTTP响应中的关键特征：
   • X-Powered-By: ThinkPHP头信息
   • 特定静态文件路径：/static/js/thinkphp.js
   • 错误页面HTML特征

​​攻击意图​​：

• 确认ThinkPHP框架版本（7.x系列）
• 确定是否存在已知漏洞组件
• 建立攻击目标画像

​​防御原理