停止“xss”-hackers和类似的最佳方法

Question

昨天我注意到我的apache错误日志中有人试图通过调用很多网站来访问该网站：

mywebsite.com/phpmyadmin
mywebsite.com/dbadmin
mywebsite.com/mysqladmin
mywebsite.com/foo.php#some-javascript
...

这导致了很多404错误。什么是阻止他们这样做的最好方法？ 我想创建一个假的phpmyadmin目录，其中包含一些php代码，当访问这个目录大约12到24小时时，它会从我的网站上禁止他们的ip地址。

有没有更好的方法来处理这类人？

Answer 1

你应该看一下Fail2ban，在Apache中设置非常简单。

Answer 2

你无法阻止人们尝试这种攻击。你能做的最好的事情就是记录你正在做的所有这些尝试，并且可能会实施某种临时黑名单。

您网站的安全性不应取决于不尝试进行此类攻击的人，因为您永远无法完全阻止它们。

Answer 3

如果没有这些，他们将无法做任何事情。您只需担心他们能够访问存在且您不希望他们访问的部分。或者使用写得不好的XSS漏洞的脚本。

你可以通过检查他们是否正在尝试访问常见的XSS路径（如phpMyAdmin的正常路径）并使用其上包含恶意javascript的备用404页面来使其变得更难。