atak na wp :)

[kayman]

postawiłem plik wp-login.php 3 dni temu, oczywiscie nie lest to plik do logowania do wp tylko rejestrator wejść bo chciałem zobaczyć  jak wygląda brute force do wp

 

więc właśnie tak

 

czasy w kolumnie add_date w formacie timestamp

 

po pól godzinie mam z tego samego ip 4500 prób logowań

 

chyba temu gościowi napiszę że jest kretynem

[jimmi]

bezsensu wszystko z tego samego ip  

[kayman]

ale jest korzyść z tego, gość dał kilka tysięcy schematów login/password których należy unikać, niektóre nawet ciekawe

 

na pewno należy unikać loginu admin i nazwy domeny jako loginu

[jimmi]

prawie każda wtyczka od zabezpieczeń chce zmienić/usunąć użytkownika admin

[kayman]

ja o tym wiem, tylko stawiacze wp nie bardzo, co chwilę jest płacz że strona spamuje, likuje i inne uje

[kursor]

chyba temu gościowi napiszę że jest kretynem

 

ciekawe czy odpisze

[szuwar]

ja o tym wiem, tylko stawiacze wp nie bardzo, co chwilę jest płacz że strona spamuje, likuje i inne uje

 

ja staram sie zmieniac adres do logowania i dodatkowo hasło z generatora typu: ^(#{}$73gh*

[arve_lek]

Przy stały ip można dać logowanie tylko dla konkretnego adresu

[bananasltd]

.htaccess i logowanie ze stałego adresu wyłącznie,

dodatkowo 3 próby logowania i out 
to wystarcza

 

ps.

jak ktoś ma zmienne IP dopisuję ręcznie 

 

można jeszcze powycinać całe sieci/podsieci jak ktoś ma Klientów z Polska to Bostwana, Ru, China i inne nie są mu potrzebne

tu na ten przykład https://www.ip2location.com/blockvisitorsbycountry.aspx#form

przy czym nie korzystałem z tego - więc nie wiem czy rzeczywiście to to wycina to co sie chce wyciąć... 

[kayman]

można jeszcze powycinać całe sieci/podsieci

 

tak najprościej ale chodzi o to by nie wyciąć ani jednego faktycznego użytkownika a to już nie takie proste, potrzebne są odpowiednie filtry

[webanti]

Aby ochronić się przez brute forcem w wordpress warto by zastosowac fail2ban na poziomie serwera? Wydaje się to być sensowne, ponieważ po np 30 próbach można wymusić drop na firewallu systemowym.  Oczywiście, do tego trzeba mieć własny serwer (albo poprosić admina) ale umówmy się, ten kto dba o security nie używa przecież shared hostingów ;-) 

[kayman]

Oczywiście, do tego trzeba mieć własny serwer (albo poprosić admina) ale umówmy się, ten kto dba o security nie używa przecież shared hostingów ;-) 

 

a klienci na zwykłych hostach? w większości wypadków trzeba reagować na fakt zastany

 

nikt nie wybuduje domu drugi raz bo 2 ulice dalej jest bezpieczniej tylko zabezpieczy to co ma

[webanti]

A klientom na zwykłych hostach polecamy naszą usługę  istnieją jeszcze pluginy do wp które maja poprawić bezpieczeństwo, ale jak pokazuje ostatnie disclosure to niekiedy wywołują więcej szkody pod względem bezpieczeństwa niż pożytku. 

[kayman]

istnieją jeszcze pluginy do wp które maja poprawić bezpieczeństwo

 

25% stron chodzi na wp z czego (szacunkowo) 95-97% ma pluginy a 3-5% jest bezpieczna

 

imo podstawową rzeczą jest nie wciskać kitu

[webanti]

 

istnieją jeszcze pluginy do wp które maja poprawić bezpieczeństwo

 

25% stron chodzi na wp z czego (szacunkowo) 95-97% ma pluginy a 3-5% jest bezpieczna

 

imo podstawową rzeczą jest nie wciskać kitu

 

 

Ja wciskam jakiś kit? Bo jeśli tak sądzisz to nie rozumiem gdzie. Wypowiadam się w kontekście WP - bo taki jest temat wątku.