Что делать с хакерскими http запросами?
Забить, всех не перебанишь, а если захочешь - забанишь реальных пользаков. 
Ну и просто не оставлять подобных уязвимостей.
1. Проверить, что уязвимости закрыты.
2. Отрепортить владельцу ip о том, что из его сети идёт атака (возможно, хост взломан). Посмотреть владельца ip можно во whois по ip (abuse contact).
3. Забанить ip на неделю.

Это поможет:
1. Не быть взломанным.
2. Принести убытки атакующим: сократить объем атакующих хостов.

Это не поможет:
1. Если взломали самого провайдера (актуально для африканских стран)
2. Если в системе уже сидит дорвей.