Защита от плохих ботов/ddos защита?
Ищут уязвимости, перебирая страницы и запросы к ним по шаблону, который хранится у них в словаре. Например, у одинаковых CMS одинаковые точки входа в админку, на поисковые страницы и прочее.
Обычно это делается через специальный софт, в который заложен набор таких предопределённых параметров.
На мой сайт тоже такие атаки делаются. Но у меня он выдерживает высокие нагрузки, так что 100 тысяч лишних запросов в сутки он даже не заметит.
Улучшайте качество сайта, чтобы он выдерживал такой траффик, т.к. писать фильтры для таких запросов - нереально.
Временное решение - порезать по User-Agent, но велика вероятность, что отвалится большой процент юзеров с точно таким же юзерагентом.
Либо поставьте что-то вроде CloudFlare
Это поиск уязвимостей, а не ддос - если веб-сервер настроен нормально, ни к каким отрицательным последствиям это привести не должно. Диагностируйте, что нагружает сервер и исправляйте это, либо увеличивайте производительность.