web-dev-qa-db-ja.com

ログイン試行の失敗、総当たり攻撃の増加

私はプラグインSimple Login Lockdownをインストールしました、そして2、3日前からデータベースは日までに200以上の記録を記録しています。

私のサイトがそれほど多くのIPに攻撃されることは不可能だと思います

何か問題があると思いますか？

loginsecurity
20
Minapoli

現在、 アクティブなボットネット、WordPressおよびJoomlaサイトを攻撃しています があります。そしておそらくもっと。あなたははずです、ブロックされたログインがさらに表示されます。そうでない場合は、おそらく何か問題があります。

ただし、IPアドレスをブロックしても、90,000を超えるIPアドレスを持つボットネットに対しては効果がありません。
そしてプラグインごとにこれを行う場合は、ログイン試行の制限を避けてください。各リクエストで非シリアル化する必要があるシリアル化オプションにIPを保存します。これは非常に高価で遅いです。
別のデータベーステーブルを使用するプラグインを見つけるか、次のように.htaccessのIPアドレスをブロックします。

order allow,deny
# top 30 IP addresses listed in 
# http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html
deny from 31.184.238.38
deny from 178.151.216.53
deny from 91.224.160.143
deny from 195.128.126.6
deny from 85.114.133.118
deny from 177.125.184.8
deny from 89.233.216.203
deny from 89.233.216.209
deny from 109.230.246.37
deny from 188.175.122.21
deny from 46.119.127.1
deny from 176.57.216.198
deny from 173.38.155.22
deny from 67.229.59.202
deny from 94.242.237.101
deny from 209.73.151.64
deny from 212.175.14.114
deny from 78.154.105.23
deny from 50.116.27.19
deny from 195.128.126.114
deny from 78.153.216.56
deny from 31.202.217.135
deny from 204.93.60.182
deny from 173.38.155.8
deny from 204.93.60.75
deny from 50.117.59.3
deny from 209.73.151.229
deny from 216.172.147.251
deny from 204.93.60.57
deny from 94.199.51.7
deny from 204.93.60.185

allow from all

こちらもご覧ください：

タグ security も一見の価値があります。特に：

wp-adminまたはwp-login.phpを移動した場合でも、メインURLに/loginまたは/adminを追加することで、これらのURLを推測できます。 WordPressは、これらの要求を正しい場所にリダイレクトします。
この動作を停止するには、非常にシンプルなプラグインを使用できます。

<?php  # -*- coding: utf-8 -*-
/* Plugin Name: No admin short URLs */

remove_action( 'template_redirect', 'wp_redirect_admin_locations', 1000 );

これは隠蔽によるセキュリティであると思います。

21
fuxia

彼の答えでは リソースtoscho に加えて、あなたはまた PHPのBasic HTTP Authentication をパスワード保護するためにwp-adminとwp-login.phpへのアクセスをブロックするためにwp-login.phpを使うことができます。

私は プラグインをリリースしました これは、No-Referrerリクエストをブロックすると共にあなたのためにこれを行います。 （現在、No-Refrrerブロックはサブディレクトリにインストールされているサイトには機能しません）。

3
Chris_O

以下の方法であなたのWordPress管理者を保護することができます。

  1. 管理者パスワードに数字、特殊文字、アルファベットを追加してから 強力なパスワード にします。
  2. データベースにもっと多くのレコードがある場合、これはあなたのウェブサイトを遅くするでしょう。そのため、wp-adminページに image captcha を追加することで回避できます。いくつかのプラグインが利用可能です。 /のように https://wordpress.org/plugins/wp-limit-login-attempts/ /
0
Arshid KK