Для тех, кто в теме имеет элементарные навыки в сисадминстве прилагаем файл с 26 к адресам - Администрирование серверов

Ботнет 10к+ на wp-login

Dimanych · 2013-08-02T11:38:17.0000000Z

Приветствую! Со вчерашнего вечера наблюдается атака-брут по всем доменам с WP на файл wp-login.php, подтормаживают несколько десятков серверов. Кол-во ботов более 10к, запросы 1-5 в минуту с каждого IP. Где-то уже видел подобную темку с подобным брутом. Сейчас у кого ни будь такое наблюдается? Есть возможность решить проблемку без фаервола отсеивая через nginx только ботов?

158

Frost bite

5 августа 2013, 10:21

#291

Flector:
попробуйте просто для интереса подобрать пароль к RAR-архиву с 10-символьным бессмысленным паролем. хотя лучше и не пытаться - ничего не выйдет даже на новейших процах.

А вы попробуйте для перебора использовать GPU, а не CPU. :)

615

Vladimir

5 августа 2013, 10:24

#292

Realtim:
Скажите, только ограничение по ip уже достаточно для 100% защиты от взлома?

- достаточно, запрет доступа для папок с файлами админских и исполняемых файлов, запрет на файл логина.

При этом сайте никаких капч, и никаких регистраций для пользователей, комментарии пишутся, спам отсутствует.

Соответсвенно данный ботнет никак не напрягает, ни на одном хостинге, все сайты в нормальном полете.

Да, не забываем, что кроме нагрузки на движок(при открытом файле логина) идет еще нагрузка на почтовые ящики сервера, отправить... принять майл дэливери

1

Аэройога ( https://vk.com/aeroyogadom ) Йога в гамаках ( https://vk.com/aero_yoga ) Аэройога обучение ( https://aeroyoga.ru ) и просто фото ( https://weandworld.com )

Mail.ru интегрировал Почту и В сети появилась база Роскомнадзор отправил в Яндекс

101

Mikanoshi

5 августа 2013, 10:32

#293

Flector:
но на одном из сайтов регистрация открытая, а таким макаром всех выпилил :(

А мой хостер firstvds взял мой код для блокировки по IP отсюда и заблочил глобально все админки 😂 Радикалы просто. Снизить нагрузку можно ещё убрав логи например и минимизировав размер 403 документа:

<Location ~ "/(wp-login\.php|administrator|admin\.php)">
	ErrorLog "/dev/null"
	AccessLog "/dev/null"
	ErrorDocument 403 "-"
	Order deny,allow
	Deny from all
	Allow from 11.22.33.44
</Location>

Но лучше бы они взяли код с куками, у меня после него ни одной попытки залогиниться от бота не было, всем 403 отдаётся, зато логин и админка работают для юзеров:

RewriteCond %{HTTP_COOKIE} !humans=fucking_love_cookies
RewriteCond %{QUERY_STRING} !(callback|logout|lostpassword)
RewriteRule ^(wp-login\.php|administrator|admin\.php) - [F,L]
ErrorDocument 403 "<html><body><script>document.cookie='humans=fucking_love_cookies;path=/';location.reload();</script></body></html>"

Яндекс.Маркет сообщил об изменении Юрий Беляков Кроссбраузерные решения Роскомнадзор предлагает закрыть публичный

102

seopmr

5 августа 2013, 10:35

#294

Otshelnik-Fm:
Решение для тех у кого много пользователей пользуются авторизацией.

1. Создаете файл в корне блога (там где wp-login.php), называете его как хотите, но не так как в этой статье. Я назвал его fggtreswerr.php

2. в него копируете весь код из wp-login (код придется обновить при обновлении движка в будущем)
3. В этом файле (fggtreswerr.php) находите все упоминания wp-login.php и меняете на имя созданного файла (в моем примере fggtreswerr.php). У меня нашел 20 упоминаний. Сохраняете.

Теперь вы можете зайти на блог через строку http://ваш-сайт/fggtreswerr.php

4. Закрываем в файле .htaccess (в корне блога) доступ к wp-login.php. Для этого вписываем

<filesmatch "wp-login.php">

Order Allow,Deny

Deny from all

</filesmatch>

и при заходе http://ваш-сайт/wp-login.php сервер будет отдавать 403 код.

5. но в админке для того чтобы выйти нам надо переписать адрес выхода. Используем экшн, вписываем его в файл functions.php своей темы:

обратите внимание: fggtreswerr.php в этом коде вам нужно заменить на свою новую страницу входа.

в этом коде:

add_filter('login_url', 'my_custom_login_url');
add_filter('logout_url', 'my_custom_logout_url'); - необходимы для входа и выхода (если используется виджет входа вп).

код использует wp_nonce_url для генерирования случайной строки в урл. Необходимая мера для защиты.

$redirect=home_url(); - после выхода - редирект на главную страницу

источник

Плюсы:
Теперь ваш wp-login.php закрыт для всех
вам в .htaccess каждый раз не нужно вписывать ваш новый динамический айпи.
Блогом продолжают пользоваться ваши многие зарегистрированные пользователи
Файлы движка мы не трогаем
Код в functions.php ни коем образом не грузит сайт

Минусы:
При обновлении движка блога вам нужно скопировать новый wp-login.php в ваш файл авторизации и выполнить пункт 3

Но это так просто:)

А что вы скажите на это? http://seopmr.ru/zashhita-wordpress-menyaem-imya-administratora-i-pryachem-wp-login-php-wp-admin.html

В посте показал чем ваш метод не подходит. Буду рад услышать поправки.

Веду скромный блог https://seopmr.ru/ ( https://seopmr.ru/ )

544

rustelekom

5 августа 2013, 10:46

#295

Для тех кто в теме (имеет элементарные навыки в сисадминстве) прилагаем файл с 26 к адресами которые засветились в этой атаке. Возможно попало сколько-то и не ботов, но пока жалоб от клиентов особых не было, да и исключить можно легко по запросу клиента. Для тех, кто не в теме - вам придется поставить ipset для iptables и затем использовать модуль ipset в правилах. Это существенно уменьшит нагрузку на сервер или ВПС (На ВПС с OpenVZ или Virtuozzo - работать не будет!)

Скачать можно отсюда (около 800 кб): http://rusfolder.com/37497023

Сет назван badip, тип iphash.

Правила для iptables:

iptables -A INPUT -m set --set badip src -j LOG --log-level info --log-prefix "# blocked due to attack#" # эта строчка необязательна, используется для того, чтобы понимать что атака блокируется

iptables -A INPUT -m set --set badip src -j DROP

20% скидка в США, Нидерландах и Финляндии. Новые тарифы на AMD Ryzen 9950x с частотой до 5.7 ГГц со скидкой 40% RoboVPS https://www.robovps.biz

Google Ads начал запуск Как создать эффективный заголовок Как распознать и заблокировать

T1

35

tracker111

5 августа 2013, 10:47

#296

seopmr:
А что вы скажите на это? http://seopmr.ru/zashhita-wordpress-menyaem-imya-administratora-i-pryachem-wp-login-php-wp-admin.html
В посте показал чем ваш метод не подходит. Буду рад услышать поправки.

НИОЧЕМ

php всеравно дергается, нагрузка на сервер всеравно будет большая

186

Flector

5 августа 2013, 10:52

#297

Frost bite:
А вы попробуйте для перебора использовать GPU, а не CPU. :)

да какая разница?

в 10-символьном пароле 699 823 827 359 474 784 комбинаций.

на двух gtx570 можно добиться скорости в 90 миллиардов в секунду, итого это займет 90 дней.

но данная скорость подбора паролей возможно лишь для устаревшего zip 2.0, а rar-архивы используют современное шифрование. насколько я помню комменты - некоторым удавалось добиться 54к паролей в секунду на 2-х видео-картах. сколько лет надо, чтобы подобрать такой пароль?

многие продавцы программ взлома rar-паролей честно предупреждают, что реальная цифра длины пароля, которую можно подобрать не больше 6-7 символов.

да и вообще тема не об этом, а о том, что тупо перебирать символы данная бот-сеть не может - если 54к паролей в секунду неэффективно, но что уж говорить о 2-3 паролей в секунду, которая данная сеть может себе позволить?

максимум они могут перебрать до 3 символов, да и то я не думаю, что они это будут делать. гораздо эффективнее по словарю пробовать.

---------- Добавлено 05.08.2013 в 14:53 ----------

Mikanoshi:
А мой хостер firstvds взял мой код для блокировки по IP отсюда и заблочил глобально все админки 😂 Радикалы просто.

хм. я сам у них vds держу - кроме утреннего предупреждения на email никаких больше действий от них не замечено.

Всё, что нужно знать Почтовый сервис Mail.ru откажется Google: Как защитить сайт

544

rustelekom

5 августа 2013, 10:55

#298

они реально по словарю работают :) это легко увидеть если глянуть tcpdump ом какие запросы они шлют. и судя по всему это работает прекрасно для их целей, так как ботнет то живой и пока помирать не собирается...

Вебмастера могут сами формировать Google нарушил работу крупного Google запускает словарь

1774

LEOnidUKG

5 августа 2013, 10:59

#299

Вообще я вижу это какая-то бессмысленная затея. Ломать надо, чтобы никто не заметил, а тут подняли всех и укладывают этим действием сервера. Какой смысл?!

✅ Мой Телеграм канал по SEO, оптимизации сайтов и серверов: https://t.me/leonidukgLIVE ✅ Качественное и рабочее размещение SEO статей СНГ и Бурж: https://getmanylinks.ru/ ✅ Настройка и оптимизация серверов https://getmanyspeed.ru/

M

173

michaek

5 августа 2013, 11:01

#300

LEOnidUKG:
Вообще я вижу это какая-то бессмысленная затея. Ломать надо, чтобы никто не заметил, а тут подняли всех и укладывают этим действием сервера. Какой смысл?!

код без багов никто писать не может, а вредоносный код тем более. ну вот тут не вышло интервал между запросами соблюсти 😂

Переиграть и победить: как анализировать конкурентов для продвижения сайта

В 2023 году Google заблокировал более 170 млн фальшивых отзывов на Картах

Ботнет 10к+ на wp-login