防止漏洞扫描的安全策略

去年有个做电商的防止朋友找我，说服务器CPU莫名其妙飙到100%，漏洞略查了半天发现是扫描有人在用AWVS扫他的后台登录接口。日志里密密麻麻的全策请求，每秒几十条，防止全是漏洞略探测SQL注入和XSS的payload。他问我：能不能直接封IP？扫描我说能，但封完这一批，全策下一批换个代理池又来。防止漏洞扫描这事儿，漏洞略堵不如疏，扫描但疏的全策前提是你得知道谁在扫、扫什么、防止怎么扫。漏洞略

先搞清楚一个事实：扫描器不是扫描黑客。大部分扫描流量来自自动化工具——Acunetix、Nessus、Xray、Goby，还有一堆开源的Python脚本。它们的特征很明显：请求头里User-Agent带着工具名，或者干脆是空的；访问路径有规律，比如一口气请求/admin、/phpmyadmin、/.git/config；参数里塞满' or 1=1--这种经典payload。你不需要拦截每一个，但得能识别出来。

我自己的做法是在Nginx层加一段规则，匹配常见扫描器的UA和路径。比如if ($http_user_agent ~* (sqlmap|nikto|acunetix|nmap)) { return 444; }，444是Nginx特有的状态码，直接断连不回包，比403更省资源。路径方面，location ~ /\.(git|svn|env)一律deny。这招能挡掉七成低质量扫描。剩下的三成怎么办？上WAF。ModSecurity配OWASP CRS规则集，虽然误报有点烦，但调一调阈值还能用。Cloudflare的免费版也有基础防护，对小站够使。

不过光靠拦不够。你得让扫描器“扫不到东西”。举个例子，后台登录页别用/admin这种路径，改成/user-login-8f3a这种带随机串的。数据库错误页面关掉，别把堆栈信息吐给前端。HTTP响应头里的Server字段改成nginx就行，别暴露具体版本。这些细节看着小，但扫描器判断漏洞靠的就是这些指纹。你把指纹抹了，它扫半天也只能报个“信息泄露”，实际利用不了。

还有一招：蜜罐。我在一台闲置的VPS上跑了个假的phpMyAdmin，目录权限设成777，里面放个config.php写着假数据库密码。结果一周内被扫了四百多次，IP全记下来扔进iptables黑名单。这比主动封禁高效多了——扫描器以为找到了入口，实际上掉进了陷阱。成本几乎为零，效果比买商业威胁情报还好。

最后说个反直觉的点：别把扫描器全封死。留一两个IP放行，让它们扫。你从日志里能看到最近流行的漏洞类型是什么，攻击者关注哪些接口。我每个月会挑一天关掉WAF，用Nmap扫自己一遍，对比半年前的报告。上次发现Redis端口意外暴露在公网，就是靠这个习惯查出来的。防御不是砌墙，是养狗——你得知道谁在门口转悠，而不是把所有人都挡在外面。

策略这东西，写出来都是条条框框，落地时全看你怎么权衡。封IP简单，但会误伤；上WAF省心，但得调规则；蜜罐好玩，但得花时间维护。我的建议是：先做日志分析，搞清楚谁在扫你、扫什么，再决定拦谁、怎么拦。别一上来就买最贵的方案，很多时候，一条Nginx规则就能解决八成问题。

很赞哦!（2442）