Başarısız giriş denemelerinde artış, kaba kuvvet saldırıları? [kapalı]

Eklenti Basit Giriş Kilidi'ni yükledim ve birkaç gün önce veritabanı günde 200'den fazla kayıt kaydediyor.

Sitemin bu kadar çok IP tarafından saldırıya uğramasının mümkün olmadığını düşünüyorum

Sence yanlış bir şey mi var?

Şu anda bir botnet aktif, WordPress ve Joomla sitelerine saldırıyor . Ve muhtemelen daha fazlası. Sen gerektiğini daha engellenen oturumların bkz. Eğer yapmazsan, muhtemelen yanlış bir şey var.

Ancak unutmayın, IP adreslerinin engellenmesi 90.000'den fazla IP adresine sahip bir bot ağına karşı yardımcı olmaz.
Eklenti başına bunu yaparsanız, Giriş Yapma Girişimlerini Sınırlandırın . IP'leri her istekte serileştirilmemiş olması gereken serileştirilmiş bir seçenekte saklar. Bu çok pahalı ve yavaş.
Ayrı bir veritabanı tablosu kullanan bir eklenti bulun veya .htaccess'inizdeki IP adreslerini aşağıdaki gibi engelleyin:

order allow,deny
# top 30 IP addresses listed in 
# http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html
deny from 31.184.238.38
deny from 178.151.216.53
deny from 91.224.160.143
deny from 195.128.126.6
deny from 85.114.133.118
deny from 177.125.184.8
deny from 89.233.216.203
deny from 89.233.216.209
deny from 109.230.246.37
deny from 188.175.122.21
deny from 46.119.127.1
deny from 176.57.216.198
deny from 173.38.155.22
deny from 67.229.59.202
deny from 94.242.237.101
deny from 209.73.151.64
deny from 212.175.14.114
deny from 78.154.105.23
deny from 50.116.27.19
deny from 195.128.126.114
deny from 78.153.216.56
deny from 31.202.217.135
deny from 204.93.60.182
deny from 173.38.155.8
deny from 204.93.60.75
deny from 50.117.59.3
deny from 209.73.151.229
deny from 216.172.147.251
deny from 204.93.60.57
deny from 94.199.51.7
deny from 204.93.60.185

allow from all

Ayrıca bakınız:

• Kodeks: Kaba Kuvvet Saldırıları
• .Htaccess ile Giriş Koruması Ipstenu (Mika Epstein)
• Liquid Web'den Özel WordPress ModSecurity Kuralları
• Sucuri Blog tarafından WordPress Brute-Force Saldırılarına Karşı Koruma , ayrıca: Mass WordPress Brute Force Saldırıları? - İlginç istatistiksel detaylarla Mit veya Gerçeklik
• HostGator tarafından wp-login.php dosyasını nasıl koruyabilirim?

Etiket güvenliğimiz de bir göz atmaya değer, özellikle:

• Bir WordPress kesmek tamamen kaldırdığımı doğrulamak ister misiniz?
• Yönetici Hesaplarının Güvenliğini Sağlama - Kullanıcı Adı Bulma
• Brute-forcer, hedef kullanıcı adı için şifrenin kırıldığını nasıl bilebilir?

Taşındıysanız wp-adminveya wp-login.phpbu URL'leriniz hala ekleyerek /loginveya /adminana URL'ye tahmin edilebilir . WordPress bu istekleri doğru konuma yönlendirecektir.
Bu davranışı durdurmak için çok basit bir eklenti kullanabilirsiniz:

<?php  # -*- coding: utf-8 -*-
/* Plugin Name: No admin short URLs */

remove_action( 'template_redirect', 'wp_redirect_admin_locations', 1000 );

Bence bu belirsiz bir güvenlik - ciddi bir şey değil.

Yanıtında listelenen kaynaklara ek olarak, wp-admin ve veya wp-login.php'yi parola koruması için PHP'nin Temel HTTP Kimlik Doğrulaması'nı ve wp-login.php'ye erişimi engellemek için de kullanabilirsiniz.

Sadece bir eklenti yayınladı No-Referans isteklerini engelleme ile birlikte sizin için yapar. (Refrrer Yok bloğu şu anda bir alt dizine yüklü siteler için çalışmıyor).

WordPress yöneticinizi aşağıdaki yöntemleri kullanarak koruyabilirsiniz.

1. Yönetici şifrenize sayılar, özel karakterler ve alfabe ekleyin, ardından güçlü bir şifre oluşturun
2. Veritabanınızda daha fazla kayıt varsa, bu web sitelerinizi yavaşlatır. Bu yüzden wp-admin sayfanıza görüntü captcha ekleyerek önlenebilir . Bunun için bazı eklentiler mevcuttur. gibi https://wordpress.org/plugins/wp-limit-login-attempts/