在静态网站上阻止黑客机器人有好处吗？

Question

每天，机器人都试图通过请求具有已知漏洞的文件（例如，“/FCKeditor/_whatsnew”）来寻找进入我网站的方法。我没有任何此类文件，因为我的网站是静态的，并且我不使用任何插件或现成的软件。我对其他人试图利用我的网站感到厌烦，所以我想我可以编写一个脚本来扫描日志文件，然后禁止 .htaccess 中请求此类幻像文件的任何 IP。 （我无法添加到 apache2.conf / http.conf 文件，因为我的虚拟主机会覆盖我对该文件所做的任何更改。）但是，我不知道禁止违规者是否真的比让他们获得更好404. 添加大量被禁止的 IP 意味着服务器必须为合法用户的每个请求解析该列表，而不禁止意味着机器人只会为他们的请求获得 404 并且没有回报，并且它不会占用服务器返回 404 的时间比返回 403-Forbidden 的时间长。但也许我错过了一些东西，禁止违规机器人而不是让他们得到 404 有一些好处。我错过了什么吗？

Answer 1

这些机器人通常在寻找第 3 方软件（如您在问题中提到的 CKEditor）。 当机器人发现此类软件时，它会尝试攻击该软件已知易受攻击的攻击。

但您也可能会看到机器人正在寻找类似../../etc/passwd 的内容。这些扫描程序不是在寻找第 3 方软件，而是在寻找配置不当的权限。

尝试自己做网络安全通常是注定要付出的努力，所以如果你的网站足够重要，并且如果你能负担得起，请获得 WAF 服务（AWS 有）和/或机器人保护解决方案。

否则，请确保您的权限配置正确，并且如果您开始使用第 3 方软件或您网站的安全价值发生变化，请务必重新审视您的安全投资。