47.82.11.230 - - [06/Aug/2026:23:02:26 +0800] "GET /wp-content/uploads/2022/06/davinci-resolve-fade-audio.png HTTP/1.1" 404 32376 "https://rurupapa.tplinkdns.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36" "-" 47.82.11.230 - - [06/Aug/2026:23:02:26 +0800] "GET /wp-content/uploads/2022/06/how-to-use-transitions-davinciresolve-il.png HTTP/1.1" 404 32376 "https://rurupapa.tplinkdns.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36" "-" 47.82.11.230 - - [06/Aug/2026:23:02:27 +0800] "GET /wp-content/uploads/2022/06/2022-03-tx-powerpoint-q.png HTTP/1.1" 404 42733 "https://rurupapa.tplinkdns.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36" "-" 47.82.11.230 - - [06/Aug/2026:23:02:27 +0800] "GET /wp-content/uploads/2022/06/davinciresolve-2-03-0.png HTTP/1.1" 404 42741 "https://rurupapa.tplinkdns.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36" "-" 47.82.11.230 - - [06/Aug/2026:23:02:27 +0800] "GET /wp-content/uploads/2022/06/unnamed-file.png HTTP/1.1" 404 42726 "https://rurupapa.tplinkdns.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36" "-" 47.82.11.230 - - [06/Aug/2026:23:02:27 +0800] "GET /wp-content/uploads/2022/06/14-richhuang-o-2022-06-03-2022-06-03-xfre-by.png HTTP/1.1" 404 42733 "https://rurupapa.tplinkdns.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36" "-" 47.82.11.230 - - [06/Aug/2026:23:02:27 +0800] "GET /wp-content/uploads/2022/06/r22-06-03-tx-powerpoint-4-q-fa.png HTTP/1.1" 404 42733 "https://rurupapa.tplinkdns.com/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/146.0.0.0 Safari/537.36" "-"

這段日誌非常精彩，它記錄了一個在 23:04 被您的 Fail2ban 正式執行 Ban 動作的惡意 IP（47.82.11.230），在被封鎖前「最後 1 秒鐘」的瘋狂連線特徵。

不過，這裡面隱藏了幾個與之前完全不同的超重要細節，這說明您的伺服器當時正面臨另一種型態的流量消耗：

1. 它是透過您的另一個網域連進來的：rurupapa.tplinkdns.com

請注意日誌中的 Referrer（來源網頁標頭）：

"https://rurupapa.tplinkdns.com/"

這說明這台機器人（或是某個惡意網頁）並不是隨機猜測 IP，而是精準指名了您在 TP-Link 路由器上綁定的動態 DNS 網域（rurupapa.tplinkdns.com）。因為它帶了正確的 Domain，所以成功繞過了您用來防禦 IP 直連的 00-default-drop.conf 規則，直接進入了您的 WordPress 處理流程。

2. 駭客的核心用意：惡意「盜鏈」與圖片阻斷攻擊（Image Scraping / Resource Exhaustion）

這組日誌非常有針對性，他找的全部都是您在 2022 年 6 月上傳的 DaVinci Resolve（達芬奇剪輯軟體）教學圖片與 PowerPoint 簡報截圖：

為什麼會瘋狂點擊這些圖片？有兩種可能：

  1. 惡意採集/盜鏈：外網有某個盜版教學網站或自動化爬蟲，直接複製了您以前寫的剪輯教學文章。對方的網頁上直接「外連」了您伺服器上的圖片路徑（盜用頻寬）。當大量讀者點開對方的網頁時，大量的圖片請求就會瞬間湧入您家裡的伺服器。
  2. 圖片已經遺失（404 大怪獸）：因為您換了全新的容器化架構（WordPress 方案 B），這些 2022 年的舊圖片實體檔案目前可能沒有複製到您現有的 wordpress-data 或 wordpress-data-longfu 資料夾中。這導致 Nginx 找不到實體圖片，一律回應了 404。

3. 致命的數字警訊：404 42733（效能隱形殺手）

請仔細觀察日誌中的狀態碼與回傳位元組：