Fail2ban для защиты WordPress и не только на OpenLiteSpeed (CyberPanel) от хакерских сканеров

Sat, 07 Nov 2026 13:41:05 +0700

Как настроить Fail2ban для защиты WordPress на OpenLiteSpeed (CyberPanel) от хакерских сканеров

Современные сайты на WordPress круглосуточно подвергаются автоматизированному сканированию. Боты ищут оставленные бэкдоры, файлы конфигурации, уязвимости в REST API и пытаются эксплуатировать старые плагины. Если ваш сервер работает на связке OpenLiteSpeed + CyberPanel, стандартные фильтры Fail2ban часто оказываются бесполезными из-за специфического формата ведения логов.

В этой статье мы подробно разберем, как написать кастомный фильтр web-scan, который умеет распознавать структуру логов OpenLiteSpeed, учитывает начальные кавычки, маскировку ботов и эффективно блокирует распределенные атаки на сетевом уровне брандмауэра.

Проблема: Что ищут хакеры в ваших логах?

Типичная атака начинается с быстрого перебора системных файлов и папок. Вот как выглядит реальный фрагмент лога OpenLiteSpeed при сканировании:

"62.60.130.58 - - [07/Nov/2026:10:38:48 +0700] "GET /wp-admin/css/ HTTP/1.1" 404 711 "binance.com" "Mozilla/5.0..." "62.60.130.58 - - [07/Nov/2026:10:38:48 +0700] "GET /.well-known/ HTTP/1.1" 404 9226 "binance.com" "Mozilla/5.0..." "62.60.130.240 - - [06/Nov/2026:23:23:26 +0700] "GET /filefuns.php HTTP/1.1" 404 8052 "://google.com" "Mozlila/5.0..."

Анатомия этой атаки:

Перебор скрытых скриптов: Бот ищет файлы filefuns.php или cache.php — это типичные имена веб-шеллов (бэкдоров), которые хакеры загружают на взломанные сайты для скрытого управления.
Сканирование папок: Изучается структура каталогов (/uploads/, /wp-admin/css/, /.well-known/).
Подмена заголовков (Referer Spoofing): Злоумышленник подставляет легитимные домены вроде binance.com в поле источника перехода, пытаясь обмануть базовые спам-фильтры.
Кривая маскировка: Заголовки User-Agent часто подделываются вручную и содержат нелепые опечатки (например, Mozlila вместо Mozilla).

Главная техническая сложность для классического Fail2ban здесь — двойная кавычка в самом начале строки лога ("62.60...). Стандартный токен спотыкается о нее и отказывается парсить строку.

Пошаговая настройка защиты web-scan

Шаг 1. Создание кастомного фильтра

Нам нужно написать регулярное выражение, которое «съедает» начальную кавычку, выдергивает IP-адрес атакующего и сопоставляет его с паттернами известных угроз.

Создайте файл фильтра в терминале сервера:

sudo nano /etc/fail2ban/filter.d/web-scan.conf

Вставьте в него следующую конфигурацию:

[Definition] failregex = ^"? \- \- \[.*\] "GET .*(\.zsh_history|sftp-config\.json|babel\.config\.js|webpack\.config\.js|package\.json|composer\.json) HTTP/.*" (404|403|301) ^"? \- \- \[.*\] "GET .*(filefuns\.php|cache\.php) HTTP/.*" 404 ^"? \- \- \[.*\] "GET .* HTTP/.*" 404 .* "Mozlila/.*" ^"? \- \- \[.*\] "GET .* HTTP/.*" 404 "binance\.com" ^"? \- \- \[.*\] "GET \/(wp-admin\/css|\.well-known|sites\/default|admin\/controller|uploads|files|images)[^"]*" 404 ^"? \- \- \[.*\] "GET \/wp-json\/(wemail|wp\/v2\/users|ultimate-member|ldlms|wp-user-manager|wc\/v3)[^"]*" (404|401) ^"? \- \- \[.*\] "POST \/(api\/graphql|xmlrpc\.php)[^"]*" (404|403) ignoreregex =

Что блокирует этот фильтр:

Попытки скачать файлы конфигураций проекта (package.json, composer.json, .zsh_history).
Поиск веб-шеллов (filefuns.php, cache.php).
Ботов со сломанным User-Agent (Mozlila).
Сканеров с поддельным реферером binance.com.
Массовый перебор служебных папок WordPress (/wp-admin/css/, /uploads/).
Агрессивное сканирование REST API (/wp-json/) на предмет уязвимостей в плагинах пользователей.
Попытки эксплуатации шлюза xmlrpc.php и GraphQL.

Шаг 2. Активация правила (Jail)

Теперь свяжем созданный фильтр с реальными логами ваших сайтов в CyberPanel. Откройте локальный файл конфигурации Fail2ban:

sudo nano /etc/fail2ban/jail.local

Добавьте в конец файла новую секцию:

[web-scan] enabled = true port = http,https filter = web-scan # Маска путей автоматически найдет access-логи всех ваших доменов в CyberPanel logpath = /home/*/logs/*.access_log findtime = 600 maxretry = 2 bantime = 172800

Параметры findtime = 600 и maxretry = 2 означают, что если бот совершит хотя бы 2 подозрительных запроса в течение 10 минут, он мгновенно отправится в бан на 48 часов (bantime = 172800).

Шаг 3. Тестирование регулярных выражений

Перед запуском службы в рабочий режим обязательно протестируйте регулярное выражение с помощью встроенного отладчика Fail2ban. Это гарантирует, что синтаксис верен:

sudo fail2ban-regex /home/yourdomain.ru/logs/yourdomain.ru.access_log /etc/fail2ban/filter.d/web-scan.conf

В результате успешного теста вы увидите итоговую таблицу с ненулевым количеством попаданий (Failregex: X total total), подтверждающую, что маска ложится на логи идеально.

Шаг 4. Перезапуск и проверка статуса

Примените конфигурацию, перезапустив демон:

sudo systemctl restart fail2ban

Чтобы посмотреть список заблокированных IP-адресов, которые брандмауэр сервера отсек на сетевом уровне, выполните команду статуса:

sudo fail2ban-client status web-scan

В строке Banned IP list отобразятся адреса всех нарушителей, которые больше не смогут нагружать ваш процессор генерацией пустых страниц.

Дополнительный уровень защиты: Закрываем XML-RPC

В логах часто можно увидеть атаки методом перебора на файл xmlrpc.php. Чтобы полностью снять нагрузку с PHP-обработчиков, этот файл лучше закрыть железно на уровне сервера. Добавьте в начало вашего файла .htaccess в корне WordPress следующие строки:

 order deny,allow deny from all

Заключение

Настройка связки Fail2ban и OpenLiteSpeed в CyberPanel позволяет автоматизировать защиту серверной инфраструктуры. Фильтр web-scan успешно решает проблему нестандартного форматирования логов, разгружает процессор домашнего сервера и пресекает действия ботнетов на ранних стадиях разведки.

Свои заметки - Личный IT блог - записки на полях

Fail2ban для защиты WordPress и не только на OpenLiteSpeed (CyberPanel) от хакерских сканеров