Serwer WWW

Kup Self-Hosted Protection
Live
Demo

Żądania, kody odpowiedzi i najczęstsze adresy — z dziennika dostępu serwera WWW.

24 godziny 7 dni
Żądania
2,400
RPS
0.03
Udział błędów
7.4%
5xx
10
Wysłano
24.3 MB
Źródło: /var/log/nginx/access.log. Odczytywany jest tylko koniec dziennika, więc dłuższe okresy mogą być pokryte tylko częściowo. · Zakres: 10.10 21:31 → 11.10 21:34
Żądania na godzinę
Kody odpowiedzi
2xx2,006 · 83.6%
3xx216 · 9%
4xx168 · 7%
5xx10 · 0.4%
Częste adresy
/ru/ 408
/ru/index.php 216
/assets/css/app.css 192
/favicon.ico 168
/login.php 132
/ru/security_monitor.php 108
/ru/system_metrics.php 84
/assets/js/app.js 84
/sw.js 60
/api/status.php 48
Częste adresy IP
203.0.113.20 264
198.51.100.11 48
198.51.100.12 43
198.51.100.13 38
198.51.100.14 34
198.51.100.15 29
198.51.100.16 24
Częste błędy
404 /wp-login.php 312
404 /.env 228
404 /phpmyadmin/ 144
403 /admin/config.php 84
404 /.git/config 60
Klienci
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 492
Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605 228
Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com 144
curl/8.5.0 96
python-requests/2.31.0 72
Próby znanych exploitów 7
Zapytania z dziennika pasujące do znanych exploitów i informacja, czy każde z nich może zadziałać na tym serwerze.
CVECel PróbIP OstatniaCzy dotyczy serwera
CVE-2017-9841 PHPUnit eval-stdin.php: wykonanie kodu 14 5 11.10 21:03 Nie dotyczy: brak takiego pliku (odpowiedź 404)
CVE-2024-4577 PHP-CGI w Windows: wykonanie kodu 9 3 11.10 20:04 Nie dotyczy: tylko PHP-CGI w Windows
CVE-2021-3129 Laravel Ignition: wykonanie kodu 6 2 11.10 18:48 Nie dotyczy: brak takiego pliku (odpowiedź 404)
CVE-2018-13379 FortiGate SSL VPN: odczyt plików 4 2 11.10 17:33 Nie dotyczy: urządzenie sieciowe lub inna platforma
CVE-2023-1389 Routery TP-Link Archer: wykonanie poleceń 3 1 11.10 15:41 Nie dotyczy: urządzenie sieciowe lub inna platforma
CVE-2012-1823 PHP-CGI: wykonanie kodu przez parametry zapytania 2 1 11.10 12:21 Nie dotyczy: poprawione w PHP 5.4.2, na serwerze działa PHP 8.3
CVE-2014-6271 Bash (Shellshock): wykonanie kodu 2 1 11.10 08:28 Nie dotyczy: bash poprawiono w 2014 roku
Zabezpieczenie serwera WWW

Co otrzymuje odwiedzający każdą witrynę na tym serwerze. Sprawdzane zapytaniem do samego serwera, odświeżane co 10 minut.

Wersja serwera WWW w odpowiedziachnginx
Wersja PHP w odpowiedziachukryta
Metoda TRACEwyłączona
Witryna HSTSX-Frame-OptionsX-Content-Type-OptionsReferrer-PolicyPermissions-Policy CSP
example.com
shop.example.com Report-Only
app.example.com —
Na żółto nagłówki, które warto dodać, na szaro zalecane. CSP nie da się włączyć jedną linią: politykę buduje się pod konkretną witrynę, inaczej przestanie ona ładować własne skrypty, style i czcionki. Report-Only oznacza politykę w trybie obserwacji.
Brakujące elementy doda jedno polecenie: osobny plik w conf.d, przeładowanie dopiero po nginx -t. Blok server z własnymi add_header ignoruje wspólne linie, trzeba je dopisać także tam.
sudo tee /etc/nginx/conf.d/zz-arciveo-hardening.conf >/dev/null <<'EOF' && sudo nginx -t && sudo systemctl reload nginx
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), camera=(), microphone=()" always;
EOF