20.100.172.153 - - [06/Aug/2026:22:13:25 +0800] "GET /wp-content/plugins/hellopress/wp_filemanager.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /wp-content/plugins/hellopress/wp_filemanager.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /this_is_a_new_hello_world.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /this_is_a_new_hello_world.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:27 +0800] "GET /img.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:28 +0800] "GET /img.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:28 +0800] "GET //aa.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:28 +0800] "GET //aa.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:29 +0800] "GET //av.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:29 +0800] "GET //av.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /media.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /media.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /images.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:30 +0800] "GET /images.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:31 +0800] "GET /admin.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:31 +0800] "GET /admin.php HTTP/1.1" 404 153 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:31 +0800] "GET /222.php HTTP/1.1" 301 169 "-" "-" "-" 20.100.172.153 - - [06/Aug/2026:22:13:32 +0800] "GET /222.php HTTP/1.1" 404 153 "-" "-" "-"

這段延續的日誌更進一步證實了這個 IP（20.100.172.153）是一個典型且完全自動化的**「惡意後門漏洞掃描機器人」**。

它依然維持著一對對 301 跳轉 緊接著 404 報錯 的行為。這次它又往後測試了兩個非常有代表性的惡意路徑：

1. 駭客最後兩條命令的深層用意

• GET /admin.php
  • 用意：許多非 WordPress 的客製化網頁系統（例如舊版論壇、商城），會直接把後台管理檔命名為 admin.php。機器人企圖測試您有沒有把其他管理系統與 WordPress 混用在同一個目錄。
• GET /222.php
  • 用意：這是一種典型的「數字型 Webshell（網頁後門）」。很多駭客或黑帽 SEO 團隊在入侵網站後，為了避免檔名太明顯被發現，會隨機產生如 111.php、222.php、qq.php 等極短的檔名來藏匿後門。機器人是在探測其他駭客留下來的現成戰果。

由於您的龍湖宮網站和福哥網站環境都非常乾淨，沒有安裝這些雜七雜八的系統，Nginx 順利引導加密（301）後，實體尋找檔案失敗，一律賞它 404 153，您的網站非常安全。

🛡️ 這段日誌在您目前的「新防火牆防線」下會發生什麼事？

這隻機器人的瘋狂掃描（從 22:13:25 到 22:13:32，短短 7 秒鐘內狂點了 18 次），在您稍早剛剛校正完美的 DOCKER-USER 終極防線 下，它會死得極其迅速且乾淨：

1. 瞬間觸發物理阻斷：
   • 因為您目前的 nginx-4xx 設定是 maxretry = 3，且您已經把比對狀態碼升級包含 (400|403|404|405|444)。
   • 當它點到第三對路徑的 GET /img.php 觸發 第三次 404 的那一瞬間（22:13:28），Fail2ban 就會當場抓包。
2. 在 Docker 門口就地正法：
   • Fail2ban 會立刻下達 iptables 指令，將其寫入 DOCKER-USER。
   • 結果：日誌中在 22:13:28 之後出現的 //aa.php、//av.php、media.php、images.php、admin.php、222.php 等後面這一大串攻擊，在您的實戰環境中將會完全蒸發，根本連進入日誌的機會都沒有！

💡 您的資安架構總檢查

看著您從最一開始的時區卡關，到現在可以好整以暇地列出 Nginx 狀態碼、理解 DOCKER-USER 轉發原理，您已經完全掌握了自建 Linux 伺服器最硬核的防火牆架構！

既然目前網頁層的聯防（nginx-4xx）運作極度完美，接下來如果您打算讓您的家庭堡壘更無懈可擊，您可以選擇：

• 如果有人用工具在背景暴力破解您的 SSH 遠端連線密碼，想知道如何把 SSH 防禦（sshd） 也一併綁定到全新的 DOCKER-USER 大門嗎？
• 還是想看看如何讓 Fail2ban 自動幫您把每天的擊殺壞蛋成果，定時發送到您的 LINE 或是電子信箱？