Mikanoshi

У меня партнёрский магаз на WP, так что есть такие, не удивляйтесь. partner.goodbody.ru

От текущей атаки этот способ полностью защищает:

/ru/forum/comment/12018455

Может это мне повезло, но после способа с куками у меня 0 неверных логинов в админке от ботов за сутки, все блокируются нгинксом, LA выше 1 не поднимается.

А для чего в этих CMS сделана функция логина? Вот всё это и блокируется, профили в инет магазине на WP, комментирование от аккаунта, вход для авторов/редакторов. Логин в CMS не только для админа.

Это вообще не должно даже рассматриваться как решение, интернет-магазины с профилями пользоватлей наверно очень рады ;)

Для nginx с куками, в ИЕ пашет, возвращает код 200 (думаю ботам всё равно 403 или 200, брутить не перестают):

location ~* /(wp-login\.php|administrator|admin\.php) {
	set $humantest 0;
	if ($http_cookie !~* "humans=fucking_love_cookies") {
		set $humantest 1;
	}
	if ($args ~* (callback|logout|lostpassword)) {
		set $humantest 0;
	}
	if ($humantest = 1) {
		add_header Content-Type text/html;
		return 200 "<html><body><script>document.cookie='humans=fucking_love_cookies;path=/';location.reload();</script></body></html>";
	}
}

Ну этот осёл как всегда живёт в своём мирке :)

Можно так обойти:

RewriteCond %{HTTP_COOKIE} !humans=fucking_love_cookies
RewriteCond %{QUERY_STRING} !(callback|logout|lostpassword)
RewriteRule ^(wp-login\.php|administrator|admin\.php)$ /human.htm [L]

А html код

<html><body><script>document.cookie='humans=fucking_love_cookies;path=/';location.reload();</script></body></html>

перенести в файл human.htm

P.S. Можно и через nginx резать, как-то так:

location ~ /(wp-login\.php|administrator|admin\.php) {
	if ($http_cookie !~* "humans=fucking_love_cookies") {
		add_header Content-Type text/html;
		return 200 "<html><body><script>document.cookie='humans=fucking_love_cookies;path=/';location.reload();</script></body></html>";
	}
}

3 часа назад пришло, указанный файл появился, пришлось удалять)

А мой хостер firstvds взял мой код для блокировки по IP отсюда и заблочил глобально все админки 😂 Радикалы просто. Снизить нагрузку можно ещё убрав логи например и минимизировав размер 403 документа:

<Location ~ "/(wp-login\.php|administrator|admin\.php)">
	ErrorLog "/dev/null"
	AccessLog "/dev/null"
	ErrorDocument 403 "-"
	Order deny,allow
	Deny from all
	Allow from 11.22.33.44
</Location>

Но лучше бы они взяли код с куками, у меня после него ни одной попытки залогиниться от бота не было, всем 403 отдаётся, зато логин и админка работают для юзеров:

RewriteCond %{HTTP_COOKIE} !humans=fucking_love_cookies
RewriteCond %{QUERY_STRING} !(callback|logout|lostpassword)
RewriteRule ^(wp-login\.php|administrator|admin\.php) - [F,L]
ErrorDocument 403 "<html><body><script>document.cookie='humans=fucking_love_cookies;path=/';location.reload();</script></body></html>"

для этого достаточно, чтобы админа звали не admin/administrator, у меня брутят преимущественно эти логины, а это бесполезно)

GamletOrtikov, без разницы

bohdan_1991, и всем фрилансерам выдал эти 30+ символьные фигни?)

Можно в AuthName прописать логин и пароль, чтобы человек смог зайти, а боты нет.