近期主机吧多位客户反馈，服务器 CPU 和带宽突然飙升，排查后发现一个共同特征：攻击流量几乎全部来自新加坡 IP 段。少则每天几万次恶意请求，多则直接把服务器带宽打满，CPU 被爬虫和 CC 攻击吃到 100%，正常用户完全无法访问。
更让人头疼的是，这些新加坡 IP 来源极其分散——不是几个固定 IP 在打，而是成千上万个动态 IP 轮换攻击，传统的 IP 黑名单封不过来。
一、客户现场：新加坡 IP 把服务器打满了
| 客户 | 网站类型 | 遭遇的攻击 | 后果 |
|---|---|---|---|
| 客户 A | 企业展示站 | 单日来自新加坡的恶意请求 42 万次 | CPU 100%，网站间歇性 502 |
| 客户 B | 电商站 | 新加坡 IP 持续 CC 攻击 /search.php |
带宽打满，正常订单无法提交 |
| 客户 C | 内容站 | 新加坡爬虫批量抓取全站内容 | 服务器内存耗尽，MySQL 连接池打满 |
| 客户 D | 工具站 | 新加坡 IP 模拟登录 + API 滥刷 | 短信接口被刷掉数千条 |
四个客户的攻击类型各不相同，但攻击源出奇一致：全部指向新加坡机房 IP 段。
二、为什么是新加坡
新加坡成为恶意流量重灾区不是偶然，背后有几个现实原因：
1. 机房密集、带宽便宜
新加坡是亚太地区最大的数据中心枢纽之一，AWS、Azure、Google Cloud、阿里云、腾讯云都在新加坡有大区。机房竞争激烈导致 VPS 和带宽价格极低——几十块钱就能租到一台 100Mbps 带宽的新加坡 VPS。攻击者批量租用这些廉价 VPS 做攻击节点，成本约等于零。
2. IP 资源丰富、轮换成本低
新加坡 IP 段多（43.x.x.x、103.x.x.x、119.x.x.x、128.x.x.x 等几十个 B 段），攻击者可以轻松实现每次请求换IP的轮换策略。传统的 IP 黑名单需要封成百上千个 IP，根本跟不上轮换速度。
3. 到中国大陆延迟低
新加坡到中国大陆的网络延迟通常只有 70-120ms，比美国（150-250ms）和欧洲（200-400ms）快得多。低延迟意味着攻击效率更高——同样的时间内能发出更多恶意请求，对源站的杀伤力更大。
4. 监管相对宽松
相比中国大陆对网络安全的高压态势，新加坡对 VPS 滥用投诉的处理流程较慢。攻击者在被投诉后往往有足够时间转移节点，基本不会受到实质性处罚。
三、传统防御手段为什么挡不住
| 传统手段 | 为什么失效 |
|---|---|
| IP 黑名单 | 攻击 IP 成千上万且动态轮换，手动添加根本跟不上 |
| 手动封 IP 段 | 容易误伤正常新加坡用户（如外贸客户、海外华人） |
| Nginx limit_req | 单 IP 限速可以缓解，但 IP 数量上来后限速规则本身也消耗 CPU |
| fail2ban 自动封禁 | 阈值不好设定；攻击 IP 太多时 iptables 规则暴涨，反过来拖慢服务器 |
| 换服务器 / 加带宽 | 治标不治本，攻击者会追着域名打 |
核心矛盾是：攻击 IP 换得太快了，人力跟不上。
四、百度云防护区域封禁：一键把新加坡关在门外
百度云防护（已备案站点可用）的区域封禁功能可以直接在 WAF 边缘把整个新加坡地区（或任何指定国家/地区）的流量挡在门外，无需挨个封 IP。
操作步骤
- 登百度云防护控制台 → 选择对应域名；
- 进入 访问控制 → 区域封禁；
- 在「封禁区域」中勾选 新加坡；
- 处置动作选择 「拦截」；
- 保存，规则立即生效。
生效后的效果
| 指标 | 封禁前 | 封禁后 |
|---|---|---|
| 来自新加坡的日请求量 | 42 万次 | 0 |
| 服务器 CPU 平均负载 | 95% | 18% |
| 带宽占用 | 98Mbps 满 | 12Mbps |
| 正常用户访问 | 间歇性 502 | 正常 |
| 短信接口 | 被刷 3000+ 条/天 | 0 条滥用 |
上面是客户 A 的真实数据——一个勾选操作，省下了升级服务器配置的几千块钱。
如果有正常新加坡用户怎么办
部分站长可能有新加坡的客户或用户，一刀切封禁不合适。此时可以用分场景处理：
- 封禁 + 白名单：整体封禁新加坡地区，但在区域封禁规则中排除特定 IP 或 IP 段（如你自己或客户的办公 IP）；
- JS 挑战代替拦截：处置动作改成「JS 挑战」——真实用户的浏览器会自动执行 JS 验证后放行，但爬虫和 CC 工具执行不了，自动被挡；
- 严格滑块验证：企业版支持滑块验证，真人滑一下通过，恶意脚本过不了。
五、除了新加坡，这些地区也建议关注
根据主机吧近期统计的 WAF 告警数据，恶意流量来源区域 TOP 5：
| 排名 | 区域 | 恶意流量占比 | 典型案例 |
|---|---|---|---|
| 1 | 中国天津 | 78.4% | 42.187.x.x 段 CC 攻击 |
| 2 | 新加坡 | 8.2% | 动态轮换 IP 爬取 + API 滥刷 |
| 3 | 美国 | 5.1% | AWS/Azure VPS 扫描探测 |
| 4 | 中国南京 | 4.3% | 批量 SQL 注入扫描 |
| 5 | 荷兰 | 1.8% | 廉价 VPS 代理攻击 |
如果网站没有海外业务，建议一次性封禁所有非中国大陆地区——很多站长的网站在封掉海外访问后，服务器负载直接下降 30%-50%。
六、封禁后还需要做什么
区域封禁解决了”来源问题”，但还有几件事做完才算闭环：
- 开启智能 CC 防护：封掉新加坡后攻击者可能换其他地区的 IP，智能 CC 能根据流量模型自动识别并处置；
- 配置精准自定义 CC 防护：给
/search.php、/api/等高频接口单独设置频率阈值； - 检查日志回放：封禁生效后翻一下之前的访问日志，确认攻击者是否已经成功登录或植入后门——如果已经进去了，封 IP 只是堵门，里面的人还在；
- 确认 WAF 处置模式为「拦截」：区域封禁和 Web 基础防护一样，如果停在「观察」模式，规则不会生效。
结语
新加坡 IP 成为恶意流量重灾区，本质上是攻击者利用了新加坡机房密集、带宽便宜、到中国延迟低、监管宽松这几个特点。对于没有新加坡业务需求的站长来说，最直接有效的做法就是在 WAF 层面一键封禁——一个勾选操作，省下的是服务器升级费和半夜爬起来处理故障的时间。
如果你也正被大量境外 IP 攻击，不知道从哪里入手排查，可以联系主机吧协助分析日志和配置防御策略。
主机吧 | 百度云防护官方合作伙伴
提供 WAF 接入、高防 CDN、高防 IP、高防服务器、SSL 证书一站式服务
攻击源在地球另一边，防御开关在你手里。
