Sperre alle Ip'er unntatt Norske i htaccess VS Limit Login attempts

[zapotek]

Si at jeg lager en htaccess-fil i wp-admin/ mappa med dette innholdet:

order deny,allow
allow from 111.111.111.111
deny from all

Hvor 111.111.111.111 er min ip-adresse, vil ikke dette være en enda mer effektiv måte å sprerre ut hackere enn Limit Login Attempts-pluginet?

Ip'en min skifter jo fra tid til annen. Hva gjør jeg for å tillate bare norske ipadresser?

 

[Tonny Kluften]

Hvis du setter Limit Login Attempts til 1 så skal vel det være sikkert. Hackere kommer ikke inn via brute force angrep uansett, de kommer inn via svakheter i kodinga i Wp eller plugins.

 

[zapotek]

Hackere kommer ikke inn via brute force angrep uansett

Men gudene skal vite at de prøver.... Har vært gjentatte forsøk på 6-7 blogger til meg de siste dagene.

 

[Tonny Kluften]

Ja, samme her. Sikkert passord er jo viktig uansett.

 

[zapotek]

Til dere som har et svakt passord + ikke bruker Limit Login attempts. Gjør noe med det!

Så lett knekker de passordet ditt:

YouTube - ‪WordPress Password Brute Forcer‬‏

 

[Nutz]

Hei Zapo..
Du trenger ikke å fylle ut hele IP-adressen.
Man får vekk mange ipadresser dersom man bare oppgir de to første tallene, eller bare det første..

Så:
allow from 111.111
eller
allow from 111

I mitt tilfelle så har vel aldri Telenor gitt meg annet enn 85 som første nummer.

 

[zapotek]

Liten update på denne.

Har gjort som Tonny foreslo og satt Limit Login Attempts til 1 forsøk før vedkommende stenges ut i 40 minutter, men det da vanvittig hvor mange som prøver seg i sommer! På en av sidene mine er det i snitt minst en ny ip-adresse som prøver seg hver eneste dag. Flere som har oppdaget en stor økning i det siste?

 

[Nextri]

går det an å gi wp-admin et nytt navn?
99% av forsøkene kommer vel fra bots som ser etter wp-admin på domener.

 

[clinton4]

Du kan bruke spamIP - Spam blocking PHP script til å oppnå dette.

 

[sta]

går det an å gi wp-admin et nytt navn?
99% av forsøkene kommer vel fra bots som ser etter wp-admin på domener.

Vi bruker en quick'n'dirty løsning på dette, der vi setter en session via en annen url før vi tillater access til /wp-admin/. Dvs:

* Går du direkte til /wp-admin/ får du en "page not found" error
* Innlogging gjør du via en egendefinert url, f.eks. /pers-logg-inn/. Her settes en session, du sendes videre til /wp-admin/ og sessionen blir godkjent her, slik at du får opp innloggings-skjemaet.

Jeg har ikke kompetanse til å vurdere om denne løsningen er spesielt sikker, men for oss har det funket bra sammen med "limited login atempts". Før hadde vi også veldig mange som "prøvde seg", men ble stengt ute av LLA. Nå, etter vi innførte ovennevnte i tillegg, så har vi ikke hatt en eneste blokkert IP i LLA (utover tilfeller der brukeren selv har blitt stengt ute naturligvis).

 

[Pong]

Sta: gidder du lime inn kode-linjene? Dette høres ut som en løsning jeg kan tenke meg gå for og det hadde spart minst en halv time

 

[sta]

Sta: gidder du lime inn kode-linjene? Dette høres ut som en løsning jeg kan tenke meg gå for og det hadde spart minst en halv time

Jeg tror faktisk vi har dette som en plugin. Kan du gi meg til i morgen, så skal jeg sjekke dette med folk som har peiling på dette?