Tăng nỗ lực đăng nhập thất bại, tấn công vũ phu? [đóng cửa]

Tôi đã cài đặt plugin Khóa đăng nhập đơn giản và từ vài ngày trước, cơ sở dữ liệu đang ghi lại hơn 200 bản ghi theo ngày.

Tôi nghĩ rằng không thể có trang web của tôi bị tấn công bởi rất nhiều IP

Bạn có nghĩ rằng có điều gì đó sai?

Hiện tại có một botnet hoạt động, tấn công các trang web WordPress và Joomla . Và có lẽ nhiều hơn nữa. Bạn sẽ thấy nhiều thông tin đăng nhập bị chặn. Nếu bạn không, có lẽ có điều gì đó sai.

Nhưng hãy lưu ý, việc chặn các địa chỉ IP không giúp chống lại mạng bot với hơn 90.000 địa chỉ IP.
Và nếu bạn làm điều đó cho mỗi plugin, hãy tránh Hạn chế đăng nhập . Nó lưu trữ các IP trong một tùy chọn nối tiếp phải được hủy đăng ký theo từng yêu cầu. Điều này rất tốn kém và chậm.
Tìm một plugin sử dụng bảng cơ sở dữ liệu riêng biệt hoặc chặn các địa chỉ IP trong .htaccess của bạn như thế này:

order allow,deny
# top 30 IP addresses listed in 
# http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html
deny from 31.184.238.38
deny from 178.151.216.53
deny from 91.224.160.143
deny from 195.128.126.6
deny from 85.114.133.118
deny from 177.125.184.8
deny from 89.233.216.203
deny from 89.233.216.209
deny from 109.230.246.37
deny from 188.175.122.21
deny from 46.119.127.1
deny from 176.57.216.198
deny from 173.38.155.22
deny from 67.229.59.202
deny from 94.242.237.101
deny from 209.73.151.64
deny from 212.175.14.114
deny from 78.154.105.23
deny from 50.116.27.19
deny from 195.128.126.114
deny from 78.153.216.56
deny from 31.202.217.135
deny from 204.93.60.182
deny from 173.38.155.8
deny from 204.93.60.75
deny from 50.117.59.3
deny from 209.73.151.229
deny from 216.172.147.251
deny from 204.93.60.57
deny from 94.199.51.7
deny from 204.93.60.185

allow from all

Xem thêm:

• Codex: Tấn công Brute Force
• Bảo vệ đăng nhập với .htaccess của Ipstenu (Mika Epstein)
• Các quy tắc bảo mật WordPress tùy chỉnh của Liquid Web
• Bảo vệ chống lại các cuộc tấn công Brute-Force WordPress của Blog Sucuri, cũng: Tấn công Brute Force WordPress hàng loạt? - Huyền thoại hoặc hiện thực với các chi tiết thống kê thú vị
• Cách mật khẩu Bảo vệ tệp wp-login.php của HostGator

Bảo mật thẻ của chúng tôi cũng đáng xem, đặc biệt:

• Xác minh rằng tôi đã loại bỏ hoàn toàn một hack WordPress?
• Bảo mật tài khoản quản trị - Khám phá tên người dùng
• Làm thế nào brute-forcer biết rằng mật khẩu bị bẻ khóa cho tên người dùng đích?

Nếu bạn đã di chuyển wp-adminhoặc wp-login.phpnhững URL này vẫn có thể được đoán bằng cách nối thêm /loginhoặc /adminvào URL chính. WordPress sẽ chuyển hướng các yêu cầu này đến vị trí chính xác.
Để ngăn chặn hành vi đó, bạn có thể sử dụng một plugin rất đơn giản:

<?php  # -*- coding: utf-8 -*-
/* Plugin Name: No admin short URLs */

remove_action( 'template_redirect', 'wp_redirect_admin_locations', 1000 );

Tôi nghĩ rằng đây là bảo mật bởi sự tối nghĩa - không có gì nghiêm trọng.

Ngoài các tài nguyên toscho được liệt kê trong câu trả lời của anh ấy, bạn cũng có thể sử dụng Xác thực HTTP cơ bản của PHP để bảo vệ mật khẩu wp-admin và hoặc wp-login.php để chặn truy cập vào wp-login.php.

Tôi vừa phát hành một plugin thực hiện điều này cho bạn cùng với việc chặn các yêu cầu Không giới thiệu. (Hiện tại, khối No-RDER không hoạt động đối với các trang được cài đặt trong thư mục con).

Bạn có thể bảo vệ quản trị viên WordPress của mình bằng các phương pháp sau.

1. Thêm số, ký tự đặc biệt và bảng chữ cái trong mật khẩu quản trị viên của bạn sau đó tạo mật khẩu mạnh
2. Nếu bạn có thêm hồ sơ trong cơ sở dữ liệu của bạn, điều này sẽ làm chậm trang web của bạn. Vì vậy, có thể tránh bằng cách thêm hình ảnh xác thực trong trang wp-admin của bạn. Một số plugin có sẵn cho nó. Giống như https://wordpress.org/plugins/wp-limit-login-attvor/