查询服务器被哪个ip地址访问过，如何查看服务器被访问的IP地址

想知道你的服务器被哪些IP访问过？最直接的方法是查看服务器的访问日志文件，通过分析日志中的IP字段，就能获取所有访问者的IP地址列表。

如何查看服务器访问IP：两种常用方法

查询服务器被哪个IP地址访问过，核心在于日志，Web服务器在每次请求到达时都会记录一条日志，里面包含访问者的IP、时间、请求路径、状态码等信息，无论你用的是Linux还是Windows，方法都围绕“读取日志”展开。

直接查看服务器日志文件

这是最基础、最灵活的方式,适合所有有服务器访问权限的运维人员。

Linux服务器常见日志位置：

• Nginx：/var/log/nginx/access.log
• Apache：/var/log/apache2/access.log
• 或 /var/log/httpd/access_log

Windows服务器（IIS）：
日志默认位于 %SystemDrive%inetpublogsLogFiles 目录下,按站点和日期分文件夹。

查看IP的实操命令：
用 tail -f 实时查看最新访问，用 cat 或 less 浏览全部,提取IP清单是最常用的需求：

• 查看最近100条访问的IP：tail -n 100 /var/log/nginx/access.log | awk '{print $1}'
• 统计每个IP的访问次数并排序：awk '{print $1}' access.log | sort | uniq -c | sort -rn
• 筛选特定状态码的IP（如404）：grep " 404 " access.log | awk '{print $1}' | sort | uniq -c | sort -rn

优点： 无需额外安装工具，能精确控制查询范围。缺点： 日志文件较大时，纯文本操作效率低,且缺乏可视化。

使用第三方日志分析工具

当服务器访问量较大，或者需要长期监控时,工具能省下大量时间。

常见工具对比：

快速上手GoAccess：
goaccess /var/log/nginx/access.log -o report.html --real-time-html
这条命令会生成一个HTML页面，以图表形式展示IP排名、访问来源、请求路径等,点击即可查看具体IP的访问记录。

场景提示： 如果你买的是云服务器，比如简米云或酷番云，它们自带的“云安全中心”或“日志分析”功能也提供IP访问记录查询，但高级版通常需要额外付费，查询云服务器访问日志查询价格时,可以留意基础版免费额度是否满足需求。

服务器被攻击怎么查IP应急排查步骤

服务器访问异常，比如带宽跑满、CPU飙升，多半是恶意IP在搞鬼。服务器被攻击怎么查IP,关键在于从日志中快速揪出异常请求。

快速识别异常IP

高频请求
正常用户不会在几秒内请求几百次，用这个命令找出请求次数最多的IP：
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20
如果前几个IP的请求数远超其他,基本可以标记为可疑。

大量404或500错误
扫描器常尝试不存在的路径，导致大量404。
awk '$9 == 404 {print $1}' access.log | sort | uniq -c | sort -rn | head -10

特定路径的集中访问
比如针对 wp-admin、xmlrpc.php 的爆破。
grep "wp-admin" access.log | awk '{print $1}' | sort | uniq -c | sort -rn

封锁恶意IP的方法

确认IP后，需要立即阻断。行业共识认为，封锁IP应优先使用服务器防火墙,而非应用层。

• Linux iptables： iptables -A INPUT -s 192.168.1.100 -j DROP
• firewalld： firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" drop'
• Nginx deny：

  

  在 server 块中添加 deny 192.168.1.100;

注意： 如果攻击IP来自CDN节点，需要先获取真实IP（通常在 X-Forwarded-For 头部）,再配置防火墙规则。

网站服务器IP访问记录查询：不同场景下的方案

不同服务器环境，查询IP访问记录的方式差异很大。网站服务器IP访问记录查询需要根据实际部署选方案。

共享主机环境

没有服务器root权限,只能通过控制面板操作。

• cPanel： 进入“Metrics” → “Raw Access Logs”，下载每天生成的日志文件,本地用文本编辑器或Excel打开。
• FTP下载： 部分主机商将日志文件放在 logs/ 目录下,可通过FTP拉取。

云服务器环境

云厂商通常提供基础流量日志,但记录时长有限。

• 简米云： “安全组” → “网络流量日志”可查看最近几天的IP访问，但仅限出入方向，要长期保存，需开启“日志分析”服务,按量计费。
• 酷番云： “安全组” → “访问日志”类似，高级版需购买“云日志服务”,价格从几十到几百不等。
• 自建ELK： 如果不想依赖厂商，可以在服务器上安装Filebeat + Elasticsearch，将日志集中存储，按需查询,只消耗服务器磁盘和内存。

使用CDN后的IP获取

网站用了CDN后，日志中记录的IP变成CDN节点IP，源站看不到真实访客IP,解决办法：

• Nginx配置： 在 http 块中添加 set_real_ip_from 0.0.0.0/0; 和 real_ip_header X-Forwarded-For;
• Apache配置： 使用 mod_remoteip 模块，设置 RemoteIPHeader X-Forwarded-For
  配置后，日志中的IP字段自动替换为真实访问者IP,后续查询方法不变。

服务器日志分析IP地址的实用技巧

真正用好日志，不只是看IP列表，还要能从中提取价值。服务器日志分析IP地址技巧可以帮助你一眼看出问题。

提取所有IP并去重排序

最常用的组合命令（适合Nginx默认日志格式）：
awk '{print $1}' access.log | sort | uniq -c | sort -rn
输出结果第一列是次数，第二列是IP。核心数据：如果某个IP的次数是其他IP的几十倍,说明它可能不是正常访客。

统计特定时间段的IP

结合 grep 和日期范围，例如查看2026年5月1日当天的IP：
grep "01/May/2026" access.log | awk '{print $1}' | sort | uniq -c | sort -rn

分析IP归属地

知道IP来自哪里,有助于判断是正常用户还是境外扫描器。

• 离线方法： 下载MaxMind GeoLite2数据库，用 mmdblookup 命令查询,或写脚本批量处理。
• 在线方法： 使用 curl ipinfo.io/8.8.8.8 快速查询单个IP归属地,但频率高会被限制。

实操建议： 将日志中排名前20的IP归属地整理成表格，如果发现大量来自非业务区域的IP,可以针对性加白名单或黑名单。

关于服务器IP查询的常见问题解答

Q：如何查看服务器被哪些IP访问过？
A：登录服务器，在Web日志目录下执行 awk '{print $1}' access.log | sort | uniq 即可列出所有访问过的IP，如果日志文件达到GB级别，建议用 split 分块读取或使用GoAccess等工具。

Q：服务器被攻击怎么查IP？
A：先用 top 或 netstat 确认异常进程和连接，然后从访问日志中找出请求频率最高的IP，结合状态码筛选，确认后直接通过防火墙规则封锁,并记录到黑名单。

Q：网站服务器IP访问记录可以保存多久？
A：默认情况下，Linux系统日志通过 logrotate 轮转，通常保留4周左右，云厂商的免费日志通常保留3-7天，如果需要长期存储，建议配置日志集中采集（如ELK）或购买云日志服务，保留时长按需设置,价格根据存储量计算。

掌握这些查询方法和分析技巧，你就能随时掌握服务器被哪些IP访问过，无论是日常监控还是应急响应,都能快速定位问题。