Ботнет 10к+ на wp-login

Вряд ли такую тьму сайтов ручками станут отсеивать. Скорее, после нескольких ошибок софт автоматически отключается. Наверняка перепроверяет через какой-то промежуток времени.

Тема отличная, столько решений для различных проблем. Прикрепить бы ее.

aweksa, возращаются примерно через 0.5-1 час, проверено

asterom, было уже ранее:

Предлагаю вам такой вариант, который мне пришел в голову два дня назад, когда ночью случайно заметил нереальный LA на DDS. Сначала, я так же начал идти по WP и в .htaccess блокировать wp-login.php , но, поняв, что это занятие неблагодарное, написал вот это.

Суть проста: htaccess отсеивает только тех у кого нет суперкуки. суперкуки получается по заходу на динамический урл, кука хранится полгода. Если нужно снести куку (ну мало ли :) ) запускается URL c параметром delete. В течение суток полет нормальный. Собственно эффект проверяется руками сразу после секундной установки. Для создания динамического URL для простоты взял текущий день, вы можете придумать что угодно.

Установка:

в .htaccess блога добавляем

RewriteEngine On



# Закрываем страницы авторизации от доступа без определенной куки

RewriteCond %{HTTP_COOKIE} !cap-enter-ticket

RewriteCond %{REQUEST_URI} ^/wp-login.php

RewriteRule ^ - [F,L]



# Рерайтим URL для управления куки

RewriteRule ^cap-enter/([^/]*)/delete(/?) cap-enter-ticket.php?a=delete&d=$1 [NC,L]

RewriteRule ^cap-enter/([^/]*)(/?) cap-enter-ticket.php?d=$1 [NC,L]

В корень блога бросаем файл из аттача (предварительно разархивировав) cap-enter-ticket.php

в нем ничего сложного. запускает куку к вам на комп.

Сразу после загрузки доступ к wp-login.php будет блокирован. Чтобы открыть доступ необходимо пройти по URL раз в полгода:

адрес-блога/cap-enter/04.08.2013/

адрес-блога/cap-enter/04.08.2013/delete

04.08.2013 - сегодняшняя дата относительно сервера

Вот и все. Этот вариант хорош для доверенных модераторов сайта и админов, где нет авторизации юзеров. Там где есть авторизация и сайт "живой" надо будет дописывать хранение какого-нибудь кэшкода, закрепленного на реальной почте с подтверждением.

Удачи!

Все плагины по блокировке - пустая трата времени, для их использования подгружается все ядро WP, что вновь вызовет нагрузку.

http basic auth для nginx:

под красным маркером заменить на свои значения

вообще, я тут немного запараноился: а не пытаются ли сниффить хакеры наши пароли? Может стоит задуматься не только о защите от нагрузки и брута? Возможно ли как-то проанализировать этот момент? Есть ли тут в ветке специализирующиеся безопасники?

Ну не ручками, конечно. Автоматически. Но жаль, что таки возвращаются.

Ясно, жаль. Может, как-то реагируют на стандартную 404? Может, есть смысл её (404-ю) видоизменить? Или вообще сам файл wp-login.php сделать каким-то мини html с парой строк и пусть долбятся, не особо создавая нагрузку...

Интересно, к тем, кто игрался с папкой wp-admin, также возвращались через время?

Ломятся не только на WP/Joomla/DLE.

В логах своих вижу и попытку ломиться в Typo3, MODx (/manager - а там и ISPmanager может быть у кого-то ;) ).

Отбиваюсь просто - htaccess с allow,deny.

п.с.: но WP на первом месте у них - это да.

Логин смотрит в рсс ленте, дальше начинает брутить по обычному словарю, не по случайному диапазону. Пока поставил денай в хтакцесе. IPB тоже брутят, ботнет аналогичный.

Я сейчас наблюдаю шквал запросов POST /edit. Примерно 30 реквестов в секунду с хоста. Сколько хостов - хз. Сталкивались?

анализируя логи обратил внимание на запросы к wp-login.php с bad referrer. они не такие частые как брутфорсовые но долбят с завидным постоянством. а главное айпишник один и тот же - 88.12.49.237.

может это какой-то сигнальный бот?