博客自从搬到腾讯云后就没怎么管了，而且我腾讯云 VPS 就是 Ubuntu Server 然后 apt 安装了 nginx 和 Mysql,没有装控制面板，所以也没得看。想着我这么与人为善，除了偶尔登陆 VPS 后台看看流量是否正常，空间还剩多少，其他的都是随它去了。
今天闲来无事，听着外面哗啦啦的台风天下雨，开着音乐，打开了服务器上的 /var/log/nginx 文件夹。发现记录还挺多，当天的 access.log 居然有 5.7M 大小，error.log 也有 500 多 k，于是就把这两个文件下载到了本地。
我这 Linux 电脑自带的代码查看软件打开 5.7M 的 access.log 程序居然卡死，只好先打开了 error.log，发现清一色的提示函数 preg_replace() 的错误。一看错误位置的代码，是搜索关键字高亮过滤替换用的函数。再往下面看，错误都是指向 GET /?s= 地址，后面跟着乱七八糟的关键词，都是转码的韩语。再后面就是触发的 sql 语句，这里就能看到没转码的韩语了，就是不知道是真棒子还是假棒子在搞鬼。
我是不是被恶意刷搜索关键字了？
今天一天，到刚才下载为止，最后一条记录时间是“2023/09/05 21:21:10”，一共 636 行错误记录，按每 4 行一个错误，一共被刷了 159 次。
我应该是被恶意刷搜苏关键字了！
查了一下记录里的 IP 216.244.66.196，是“美国 华盛顿 西雅图”的，所以到底是真棒子还是假棒子不得而知。
用 vscode 打开 access.log 搜上面的 IP，居然有 351 个结果，UA 信息都是"Mozilla/5.0 (compatible; DotBot/1.2; +https://opensiteexplorer.org/dotbot; help@moz.com)"，看来这是机器在刷啊！
奇怪的是搜索关键字都很长，里面还带域名，用 bing 翻译了一下，也是奇奇怪怪的，什么“美食店”、“出差店”、“出差美人小姐”什么的乱七八糟，不知所谓。
不知道刷这种搜索词意义何在？难道是 sql 注入的一种手段？可看关键字也不像啊。
不知道 wordpress 怎么屏蔽这种刷搜索关键字，有没有大佬教我！
搜索页面title也改一下吧，比如搜索 岁月留声0xo.net 虽然没有东西，但是title就出现了……岁月留声0xo.net”的搜索结果 – 不亦乐乎
ok，改。
很多这种直接在网站后缀文件名后加搜索关键词，恶心的很。
禁止这些IP访问,不过对博客也没啥影响吧！
你博客提交评论显示 unknown error
大佬偶然看到你以前的一个博客Gplus好有意思啊，只是很久不更新了很遗憾
久的我自己都忘记了
其实最开始我找到的是最开始的那个版本，哪个版本我看到的是2014年就不更新了虽然还能用但是还是有一些bug，然后不知道为什么又在你这个博客上找到了最新的一个版本哈哈，然后发现最新更新竟然是2021年，还能用，我没有加什么东西
我自己也不记得最初版本什么样子了。
这样的
哈哈哈，那还是新版本好看点。
我觉得旧版本也挺好看的只是评论数量显示只能一个数字，多一个数字就会在下面哈哈
宝塔面板转个免费得防火墙就搞定了。
我是不管从哪来的，按照频度制定了fail2ban规则。一定时间内产生多少个访问的，直接小黑屋。这个工具是通过log分析来进行过滤的，很好用。
另外，IP地址是否恶意有很多地方可以查的。我原来用过https://www.abuseipdb.com/。他们家还有API，但我没用明白。
细说
毕竟我是个做财务的。
还是我轻松些，直接把搜索引擎收录都禁止了，网站就圈子里几十人知道，现在设置了阅读权限，逐步乱七八糟的人会更少
Wordfence + IP Location Block
都是wordpress的插件么？
是的
这插件后台还挺复杂的。
感觉装了Wordfence后，博客打开速度会慢一点？
我这感觉不到速度差异，开你的也感觉不到
还有这，每过一段时间，我会看下防火墙，然后拉黑一些IP
目前除了楼下网友说的页面noindex和不显示无结果的关键词外，就是直接nginx里block ip了。
啥时候我也看看我的日志，屏蔽一些小坏蛋，虽然我哪没啥价值
我直接将搜索接口设置人机验证。
去你那里测试了下没看出差别，怎么搞的。
就如你文中所说，命中/?s=则出发人机验证（可无感模式，可验证码模式等），这样就既不影响正常搜索，也可以拦截恶意搜索。
不会
改天我写个此类的教程
这个是关键词注入，就是反复在你的搜索结果页输入一些违法信息。
尽管你的网站里没有这些信息，但WordPress的搜索结果页会把搜索词重复一遍显示“xxx没有找到”。
接下来，他们会把你的这个URL顶上搜索引擎，从而利用你的网站对它的违法业务进行引流的目的。
如果你网站在墙内，放着不管的话，会被打电话。
首先，通过robot.txt或SEO插件确保搜索结果页no-index。
然后，修改WordPress模板中的搜索页面，去除搜索页面中显示一遍搜索关键词的部分。
没有被利用价值，对方就会放弃攻击。
当然，你也可以干脆直接把搜索替换成 Google 或 Bing 的站内搜索，还节省一些搜索消耗的资源。
感想大佬指点，多谢！
看了一下搜索结果页，默认meta是noindex, follow，是不是还要设置成nofollow。
最好就是不要在无结果的情况下，在页面上重复一遍搜索关键词。
好的，我给加个 if
原来如此，我没换域名之前搜索自己的很多乱七八糟的词汇，不知咋整没搭理他。换了这域名百度不收录还更好。
有些刷搜索，刷评论的毫无道理，可是就是那么无脑的刷，也是够烦的。
给搜索页前加人机验证码这样能行吗？我有篇文章可以参考。最近乱七八糟刷网站的人太多了。
还想过去学习一下，没想到居然无法访问，
你域名没有备案是吧。