Ботнет 10к+ на wp-login

Подтверждаю, у нас на хостинге fastfile.ru тоже наблюдается атака на сайты с WordPress. В связи с атакой, наблюдались тормоза во время открытия сайтов, вплоть до полной кратковременной недоступности. К настоящему моменту атака полностью отбита, но не исключено повторение атаки в ближайшее время.

Как не крути, запросы разные, одни авторизуют клиента а другие нет, стало быть надо разбирать на уровне софта и банить файрволом... >10 левых в день.... с одного ИП.... и спать...

Списки IP консолидировать, обновлять и распускать на сообщества.

Такую картину наблюдаю в логах DLE.

Подскажите какие меры можно принять для этого движка (10.0, лицензия). Пока только поставил что при 3-х неудачных попытках авторизации ip блокируется на 20 минут…

Silva, то что вы поставили в уже в разы сократит количество подборов, но вот сократит ли это количество памяти и процессора которые будут задействованы не знаю, это основная проблема, судя из того что пишут, там цель не подбор паролей, а дос атака такая себе потому что все пароли имеют одну длину и мало вероятно нацелены на подбор..... скорее просто мочат сервера что бы те впадали в нагрузку.... так вот, все зависит от того как у вас блокируется, если это средствами сайта происходит т.е .htaccess или скажем занесение в SQL базу.... то как бы такое лечение бесполезно )))) вам надо делать так, что бы ненужные запросы переставали приходить на ваш веб сервер...... а стало бить или файрвол или проксирование по параметрам. Моя картинка пока что выглядит так:

# iptables -L DENYIN -x -v -n | wc -l
10742

# iptables -L DENYIN -x -v -n | wc -l

10742

Спасибо.

Вижу через htop что нагрузка немного поднялась, но сервер достаточно мощный, поэтому проблем с скоростью загрузки не испытываю вроде… главное чтоб не получили доступ к админке…

для этого достаточно, чтобы админа звали не admin/administrator, у меня брутят преимущественно эти логины, а это бесполезно)

Странно, что в буржуйских новостях ничего нет... Брутят только русские сайты?

P.S. Досталось и движку на ASP.NET если что. Для него лечение (web.config file):

Deny all, but allow specific IPs or networks

<security>

<ipSecurity allowUnlisted="false"> <!-- this line blocks everybody, except those listed below -->

<clear/> <!-- removes all upstream restrictions -->

<add ipAddress="127.0.0.1" allowed="true"/> <!-- allow requests from the local machine -->

<add ipAddress="83.116.19.53" allowed="true"/> <!-- allow the specific IP of 83.116.19.53 -->

<add ipAddress="83.116.119.0" subnetMask="255.255.255.0" allowed="true"/> <!--allow network 83.116.119.0 to 83.116.119.255-->

<add ipAddress="83.116.0.0" subnetMask="255.255.0.0" allowed="true"/> <!--allow network 83.116.0.0 to 83.116.255.255-->

<add ipAddress="83.0.0.0" subnetMask="255.0.0.0" allowed="true"/> <!--allow entire /8 network of 83.0.0.0 to 83.255.255.255-->

</ipSecurity>

</security>

Простите! Может кто уже обсуждал подобное... Но тут нашел любопытную заметку

http://www.frameloss.org/2011/07/29/stopping-brute-force-logins-against-wordpress/

Кто то пробовал подобный способ? Чет я накатил МодСикурити2 но пахать у меня сей код так и не хочет (500)

В таком случае ждите пока ботов станет 20-30k и так далее :) раз сервер мощный, не знаю что у вас там за железо но у меня i7 , 32 G ram , болтался в районе 80-90% пока не начал рубать хосты.... 🍿

Ещё настраивать его надо, мало только установки.