阻止"xss"黑客和类似事件的最佳方法

Question

我昨天在查看我的apache错误日志时注意到，有人试图通过调用许多网站来访问该网站，比如：

mywebsite.com/phpmyadmin
mywebsite.com/dbadmin
mywebsite.com/mysqladmin
mywebsite.com/foo.php#some-javascript
...

这导致了404个错误。阻止他们这样做的最好方法是什么？我想用一些php代码创建一个假的phpmyadmin目录，当访问这个目录大约12到24小时时，会禁止他们的ip地址进入我的网站。

有没有更好的方法来对付这种人？

Answer 1

您应该看看Fail2ban，在Apache中设置它非常容易。

Answer 2

你无法真正阻止人们尝试这类攻击。你能做的最好的事情就是像你目前所做的那样记录所有这些尝试，并可能实现某种临时黑名单。

你的网站的安全不应该依赖于人们不试图进行这类攻击，因为你永远无法完全阻止他们。

Answer 3

如果这些都不存在，他们将什么都做不了。你只需要担心他们能够访问你不希望他们访问的部分。或者使用写得不好的带有XSS漏洞的脚本。

你可以通过检查他们是否试图访问一个通用的XSS路径（比如phpMyAdmin的正常路径）并使用一个带有恶意javascript的备用404页面或其他什么来让他们更难。