Что ищут сканеры
- Файлы .env, .git, резервные копии сайта и базы данных, файлы конфигурации.
- Уязвимые версии плагинов и модулей CMS.
- Административные панели и инструменты разработчика, оставленные на сервере.
- Ошибки, раскрывающие пути и версии программ.
Признаки в журналах
- Серии ответов 404 к адресам, которых на сайте никогда не было: /wp-login.php на сайте без WordPress, /phpmyadmin/, /.env, /.git/config, /backup.zip.
- Десятки и сотни таких запросов с одного адреса за минуты, часто в алфавитном или ином фиксированном порядке.
- Параметры с фрагментами SQL, путями вида ../ или служебными символами — это уже не поиск, а попытки эксплуатации.
- Строки User-Agent известных сканеров или, наоборот, пустые и явно выдуманные.
Почему это важно
Сканирование само по себе не вредит, но это первый этап большинства взломов. Если сканер нашёл уязвимость, следующий запрос уже будет попыткой её использовать. Кроме того, массовое сканирование создаёт нагрузку: на каждый 404 CMS часто строит полную страницу ошибки с меню и запросами к базе.
Отличие от легитимных проверок
Сайт проверяют и свои: сервисы мониторинга доступности, сканеры безопасности, которые вы заказали сами, встроенные проверки CMS. Такие проверки идут с известных адресов, по расписанию и по согласованному списку. Их стоит внести в разрешённые, чтобы они не мешали оценивать картину и не блокировались фильтром.
Что делать
- Удалить с сервера всё лишнее: архивы, дампы, старые версии сайта, файлы установки.
- Обновлять CMS и плагины.
- Блокировать сканеры на фильтре: они узнаются по характерным последовательностям запросов.
- Включить WAF с виртуальными патчами для известных уязвимостей.
- Следить за журналами: всплеск сканирования одного адреса часто предшествует целенаправленной атаке.
Вопросы и ответы
Можно ли проверить свой сайт так же, как это делают сканеры?
Да, но только свой или с письменного разрешения владельца. Внешнюю проверку на очевидные следы взлома можно сделать бесплатным сканером на сайте levitsky-c.ru.
Стоит ли блокировать каждый адрес, с которого шло сканирование?
Вручную — нет: адреса меняются быстрее, чем пополняется список. Эффективнее правила, которые узнают сканирование по поведению и блокируют источник на время, а также виртуальные патчи для уязвимостей, которые ищут чаще всего.
Помогает ли сменить адрес админки?
Это уменьшает шум от самых простых сканеров, но не закрывает уязвимости в плагинах и забытых файлах. Важнее обновления, удаление лишнего и ограничение доступа к панели управления.