# DDoS или хакерска атака? Правилна преценка на атаките

> DDoS или хакерска атака? Типични признаци в сравнение, първи команди за проверка на сървъра и какво конкретно да направите през първите часове.

Източник: https://phpsos.de/bg/ratgeber/ddos-oder-exploit/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Дали е DDoS, или хакерска атака, показват следите. DDoS генерира много голям брой заявки и прави уебсайта бавен или недостъпен, но не променя нищо. Експлойтът често се нуждае само от няколко заявки и оставя нови файлове, акаунти, процеси или връзки. Правилната преценка решава дали трябва да отблъсквате натоварване, или да ограничавате инцидент.

## Разликата с прости думи

**DDoS атаката** (Distributed Denial of Service) прилича на тълпа, която блокира входа на магазин. Никой не може да влезе, но в магазина нищо не се краде. Целта е да се претовари Вашият уебсайт или сървър, така че истинските клиенти вече да не стигат до него.

**Експлойтът**, напротив, е проникване през отворена врата. Атакуващият използва слабост, например в PHP, в CMS или в разширение, за да изпълни код на Вашия сървър. Това може да стане тихо, без уебсайтът да се забави. Последствията вървят от спам страници през кражба на данни до превземане на сървъра.

За ръководството разликата е решаваща: DDoS е проблем с достъпността, който свършва с атаката. Успешният експлойт е инцидент със сигурността, който остава, докато не бъде намерен, почистен и документиран.

## DDoS или хакерска атака: признаците в сравнение

Следната таблица помага при първата преценка. Тя не заменя анализа, но показва накъде първо да погледнете.

| Признак | По-скоро DDoS | По-скоро експлойт или проникване |
|---|---|---|
| Достъпност | бавно или недостъпно | често нормално |
| Заявки в лога | много, често еднообразни | малко, целенасочени заявки |
| Файлове | непроменени | нови или променени PHP файлове |
| Акаунти | непроменени | нови администратори, сменени пароли |
| Процеси | уеб сървър и PHP на пълно натоварване | непознати процеси, майнинг, изпращане на спам |
| Мрежа | много входящ трафик | необичайни изходящи връзки |
| След края | всичко както преди | следите остават |

Внимание при припокриване: масовото сканиране за уязвимост може да изглежда като малък DDoS. Точно това се очакваше около PHP2Shell, когато атакуващите търсеха уязвими сървъри. Високото натоварване значи понякога и че някой точно сега се опитва да проникне.

## Първи проверки на сървъра

Следните команди не променят нищо в системата и дават бърз преглед. При подозрение за проникване запазете логовете, преди да предприемете по-големи намеси.

```bash
# Натоварване и време на работа
uptime

# Обобщение на връзките и най-често срещаните отсрещни страни
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

# Най-често срещани адреси на клиенти в access лога (адаптирайте пътя)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# PHP файлове, променени през последните 7 дни
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort

# Процеси с най-високо натоварване на процесора
ps aux --sort=-%cpu | head -15
```

В прегледа на връзките четвъртата колона показва отсрещната страна. Много връзки от малко адреси или нарастване до многократно на нормалната стойност сочат към претоварване. Нови PHP файлове в директории за качвания или кеш, процеси под потребителя на уеб сървъра с чужди имена или изходящи връзки към непознати цели сочат по-скоро към проникване. Подробен списък ще намерите на страницата [Признаци за компрометиране след PHP2Shell](https://phpsos.de/bg/php2shell/bin-ich-gehackt-anzeichen/).

## Защо високото натоварване може да е и отвличане на вниманието

Случва се атакуващи да предизвикат претоварване, докато едновременно проникват целенасочено. Екипът тогава е зает с достъпността, а истинските следи се губят в шума на логовете. Затова важи: дори DDoS да е очевиден, след неговия край проверете файловете, акаунтите и изходящите връзки.

При PHP2Shell се добавя, че според php.net и фирмите за сигурност няма публикувани, потвърдени Indicators of Compromise. Разпознаването се основава на анализ на поведението. Сървър, който през периода на сканирането от средата на октомври е бил непачнат, затова трябва да се провери независимо от наблюдаваното натоварване.

Друг вариант са изнудвачески имейли, в които се заплашва с DDoS атака, ако не се плати. Запазете такива съобщения, не плащайте без съгласуване със специалисти и обмислете [подаване на сигнал до германската Zentrale Ansprechstelle Cybercrime (ZAC), контактния пункт на полицията за киберпрестъпност](https://phpsos.de/bg/compliance/anzeige-polizei-zac/). Уведомете паралелно Вашия хостинг доставчик, за да могат да се подготвят защитни мерки. Как да анализирате логовете за целта, е описано в наръчника [Анализ на логовете на уеб сървъра след атака](https://phpsos.de/bg/ratgeber/logfiles-auswerten/).

## Какво да направите през първите часове

**При подозрение за DDoS:**

- Уведомете хостинг доставчика или центъра за данни; там често има филтри пред сървъра.
- Активирайте или засилете предходна защитна услуга или [WAF с виртуално пачване](https://phpsos.de/bg/leistungen/waf-virtuelles-patching/).
- Задайте rate limits в уеб сървъра и защитете особено скъпите страници като търсене или кошница.
- Съхранявайте логовете, за да може атаката да бъде проследена по-късно.

**При подозрение за проникване:**

- Не изтривайте нищо и не инсталирайте сървъра наново, преди логовете и засегнатите файлове да са запазени.
- Актуализирайте PHP до поправена версия и рестартирайте всички worker процеси, ако това още не е станало.
- Ако актуализацията не е възможна веднага, изключете временно уебсайта от мрежата, както препоръчва BSI (Федералната служба за информационна сигурност на Германия).
- Подновете данните за достъп от чисто устройство, не от евентуално засегнатия сървър.
- Дайте да се провери дали може да са засегнати лични данни; тогава могат да текат срокове за уведомяване.

И в двата случая помага кратка, фактологична бележка за хостинг доставчика и изпълнителите: от кога съществува проблемът, кои уебсайтове са засегнати, какво сте наблюдавали и какво вече е променено. Запишете освен това кой какво решение е взел. Тази времева линия спестява време при анализа и по-късно е ценна за застрахователя, защитата на данните и вътрешния разбор. Ако не е ясно дали изобщо има атака, третирайте положението превантивно като инцидент, докато не се докаже обратното.

## Как конкретно помага PHP SOS?

- Преценяваме положението отдалечено по натоварване, логове, файлове и връзки и Ви казваме с какво най-вероятно си имате работа.
- При претоварване въвеждаме филтри, rate limits и предходни защитни правила, докато атаката затихне.
- При подозрение за проникване поемаме структурираното [реагиране при инциденти](https://phpsos.de/bg/leistungen/incident-response/): запазване, ограничаване, откриване на причината, почистване.
- В края документираме какво се е случило и какви мерки са внедрени, докато инцидентът бъде приключен.


## Често задавани въпроси

**Може ли DDoS атака да открадне данни?**  
Чистата DDoS атака цели достъпността, не данните. Тя не променя файлове и не чете бази данни. Може обаче да се появи едновременно с опит за проникване, затова все пак си струва да погледнете файловете и акаунтите.

**По какво разпознавам, че уебсайтът ми е хакнат?**  
Типични указания са нови или променени PHP файлове, непознати администраторски акаунти, пренасочвания към чужди сайтове, неочаквани изходящи връзки и процеси, които не пасват на Вашето приложение. Отделен признак не е доказателство, няколко заедно са сериозен сигнал.

**Помага ли CDN или WAF срещу двата вида атаки?**  
Срещу обемни атаки предходна услуга обикновено помага добре. Срещу експлойти правилата действат само ако разпознават модела. При PHP2Shell самият Cloudflare посочва, че правила, базирани само на данните от заявките, не са достатъчни.

**Трябва ли да съобщавам за DDoS атака?**  
Това зависи от конкретния случай и от Вашия бранш. Без достъп до лични данни задължението за уведомяване по ОРЗД по правило не се прилага, но могат да съществуват специфични за бранша задължения. Изяснете това с длъжностното лице по защита на данните или с адвокат.

## Източници

- [BSI: Положение и препоръки](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [php.net: Съобщения за сигурност](https://www.php.net/)