无法识别的访问路径 - 我的服务器是否受到攻击？

Question

我的网站似乎有一些恶意访问者，并且经常使我的网站崩溃。我现在正在跟踪他们在我的网站上所做的事情。在我的日志中，我发现他们正在通过我的网站访问以下路径：

/cgi-bin/luci
/cgi-bin/luci/admin
/Display/chan/IB61I7MYA
/Visu/ens/events
/v2sA
/fw6I
/includ
/viwwwsogou
/is-bin
/AVuP
/PPsJ
/zMLUH93A
... and more

我没有在我的网站上设置或创建这些路径和页面。他们为什么要通过我的网站访问这些路径？他们想做什么？我的服务器被攻击了吗？我怎样才能确定并阻止这种情况发生？

顺便说一句，我的网站是一个 Node.js 应用程序。我的实时服务器正在运行 Ubuntu：

No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 22.04.3 LTS
Release:        22.04
Codename:       jammy

我的服务器上还运行着 Apache 和 Node.js。

有任何想法吗？

Answer 1

注意：这是我在 IT 安全专业人士的指导下说的，我拥有超过 10 年的网络流量和攻击/扫描模式分析经验。

您所看到的是典型的服务扫描器流量- 它不是对您的直接攻击，而是坏人和恶意软件试图找到易受攻击的媒介来感染/劫持您的服务的更大行为趋势的一部分。

连接到互联网的所有东西都会被扫描以查找活动、正在运行的服务等。Web 服务器和服务尤其是目标，因为存在大量用于运行某些软件或服务的 URL，因此可能容易受到攻击和攻击。利用向量。

如果您的 Internet 站点是公共的，则这是典型系统设置的预期观察到的流量。 如果您尚未在系统上启用防火墙来阻止流向其他端口的流量，则应设置一个。

如果您的 Web 服务是自行编写的，您可能需要使用 Web 应用程序扫描器，例如此扫描器（我不隶属于此站点，也没有亲自对其进行审核），或者通过运行 Nessus 扫描器或其他开源扫描器套件来针对您的软件的 Web URL，以查看它是否容易受到任何常见攻击路径和漏洞利用向量的攻击。

确保您的 NodeJS 服务定期接受审核（如果它是公开的）。不保证软件安全可能会导致您的系统遭到破坏。