20.100.172.153 - - [06/Aug/2026:22:13:25 +0800] "GET /wp-content/plugins/hellopress/wp_filemanager.php HTTP/1.1" 301 169 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /wp-content/plugins/hellopress/wp_filemanager.php HTTP/1.1" 404 153 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /this_is_a_new_hello_world.php HTTP/1.1" 301 169 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /this_is_a_new_hello_world.php HTTP/1.1" 404 153 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /img.php HTTP/1.1" 301 169 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:28 +0800] "GET /img.php HTTP/1.1" 404 153 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:28 +0800] "GET //aa.php HTTP/1.1" 301 169 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:28 +0800] "GET //aa.php HTTP/1.1" 404 153 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:29 +0800] "GET //av.php HTTP/1.1" 301 169 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:29 +0800] "GET //av.php HTTP/1.1" 404 153 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /media.php HTTP/1.1" 301 169 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /media.php HTTP/1.1" 404 153 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /images.php HTTP/1.1" 301 169 "-" "-" "-"20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /images.php HTTP/1.1" 404 153 "-" "-" "-"請解釋

這段日誌記錄了攻擊者（IP：20.100.172.153）非常有趣的**「兩步走」漏洞探測行為**。

最特別的地方在於，駭客的每一次探測，都會連續出現一條 301 隨後跟著一條 404。這暴露了您 Nginx 設定檔中的行為，以及自動化掃描器的反應。

以下為您詳細拆解這段日誌的深層用意與運作邏輯：

1. 為什麼會出現一對對的 301 + 404？

這代表駭客的第一個請求觸發了您的網址規範化或跳轉機制，而第二個請求才是真正的探測結果：

• 第一步：301 169（永久轉向）
  • 用意：駭客發送了一個非標準的請求。例如第一條和第三條，他可能是透過 http://（Port 80） 連進來。
  • 您的 Nginx 反應：觸發了您在龍福宮設定檔裡寫的 return 301 https://$host$request_uri;，Nginx 對他說：「請走安全的加密通道，我把你轉跳到 https://。」並吐出 169 位元組的跳轉網頁。
• 第二步：404 153（找不到網頁）
  • 用意：駭客的自動化工具非常聰明，它收到 301 訊號後，立刻順著轉向網址，重新用 https:// 發送了第二次請求。
  • 您的 Nginx 反應：這次走 HTTPS 進來了，Nginx 實體去尋找這個檔案，發現根本沒有 wp_filemanager.php，於是回傳了 404（153 位元組）。

💡 小結：這證明您的 HTTP 自動跳轉 HTTPS（301）運作完全正常。但也因為這樣，駭客每掃描一個路徑，就會在您的日誌裡佔用兩行紀錄。

2. 駭客每一條命令的深層用意

這隻機器人正在執行**「後門與惡意檔案上傳漏洞探測」**，它想測試您的網站過去有沒有被其他駭客攻破並留下「韋小寶（Webshell）後門」，或是尋找有已知漏洞的外掛：

• GET /wp-content/plugins/hellopress/wp_filemanager.php
  • 用意：探測 hellopress 外掛或著名的 File Manager（檔案管理器）外掛漏洞。這個外掛過去爆出過非常嚴重的 RCE 漏洞，駭客想看看您有沒有安裝，有得話他就能直接接管您的 WordPress。
• GET /this_is_a_new_hello_world.php
  • 用意：很多自動化攻擊工具在成功入侵網站後，會自動長出一個叫做 this_is_a_new_hello_world.php 的測試後門，用來確認該目錄有執行權限。駭客在盲測別的工具留下的戰果。
• GET /img.php / /media.php / /images.php
  • 用意：探測常見的「圖片上傳漏洞偽裝檔」。很多網頁木馬會故意把自己偽裝成跟圖片相關的檔名（如 img.php），偽裝成合法檔案躲避管理員檢查。
• GET //aa.php / //av.php
  • 用意：注意網址開頭是兩個斜線 //。這是一些粗劣的掃描器在拼接網址時產生的 Bug，或者是故意用雙斜線企圖繞過某些寫得不夠嚴謹的防火牆過濾規則（網址混淆）。您的 Nginx 非常聰明，不管是單斜線還是雙斜線，跳轉後一律用 404 打槍。

🛡️ 對 Fail2ban 防禦系統的啟發

在這 5 秒鐘內（22:13:25 ~ 22:13:30），這隻機器人一共觸發了 7 次 404 錯誤。