Wordpress brute force angrep

[Tonny Kluften]

Flere som opplever brute force angrep for tida?

Hva gjør dere med det? For min del så vil ikke noen få tilgang til sidene fordi de ikke klare å gjette brukernavn og passord. Men det er et problem at serverne kan bli trege når angrepene står på, man har ofte flere tusen forespørsler fra noen hundretusen IP adresser.

Jeg prøver å finne en måte å gi mange wp-login.php filer et globalt passord, dvs. sette et passord på serveren som man må bruke for å få tilgang til alle wp-login.php på hele serveren. Noen som vet om det er mulig?

 

[Travellingman]

Har tatt seg opp siste tiden, får stadig mailer fra Limit Login plugin. Har ikke gjort noe videre med dette problemet.

 

[Dseller]

Har du gjort dette?

https://www.webforumet.no/forum/wordpress/21359-hva-gj-r-dere-unng-wp-hacking.html#post175979

 

[Tonny Kluften]

For min del er det ikke aktuelt å begrense pålogging til en enkelt IP.

 

[Dseller]

For min del er det ikke aktuelt å begrense pålogging til en enkelt IP.

hvorfor ikke?

om du f.eks går til naboen og logger deg på nettet der vil du ikke ha tilgang til login siden, fordi du har bare har satt opp din ip adresse som eneste som kan logge på.

men om du vil jobbe hos naboen din kan du bare logge inn i cpanel og legge til ipadressen hans i .htaccess så kan du logge deg inn som vanlig.

 

[eplebiten]

Kanskje fordi Tonny ikke nødvendigvis er den eneste personen som skal ha tilgang? Det kan bli ganske arbeidskrevende å legge inn IP for flere person om det er mange nettsider.

 

[Tonny Kluften]

Stemmer det, det er par hundre nettsteder hvor flere forskj. logger inn.

Men jeg har funnet løsningen. Sjekk kilenbrygge.no/wp-login.php. Man kan sette at alle wp-login.php filene på en server skal bruke ett (samme) brukernavn og passord. Dermed vil ikke hackerne få tilgang til wp-login.php og dermed vil det brute force angrepet bruke ressurser på serveren. Så nå skal jeg rulle det ut på alle serverne og bli kvitt det problemet.

 

[Dan Åsen Hansen]

Mulig jeg spør litt dumt nå, men hvis det ikke finnes noen wp-login.php, vil ikke da hackerne la serveren være i fred? Må være en eller annen form for autodetect eller noe ...

 

[Tonny Kluften]

Nemlig, og med passordbeskyttet wp-login.php så finner ikke progammene til hackerne noe å hacke og serveren får være i fred.

 

[Dan Åsen Hansen]

Akkurat! Og hvordan gjør man det?

 

[Tonny Kluften]

Les fire poster oppover, etter setningen "Men jeg har funnet løsningen."

 

[Dan Åsen Hansen]

Joda, det står hva du har gjort, men ikke hvordan

 

[eplebiten]

Multisites?

 

[eplebiten]

Dan har rett. Du kunne kanskje opplyst noe mer om hvordan du har gjort dette?

PS. Hva skjer om noen cracker brukernavn og passord? (Du skal aldri si at dette kan skje. Det er bare snakk om hvor lang tid det vil ta.)

 

[TorsteinO]

Er det htpasswd du bruker der, tonny?

la akkurat merke til at det har begynt en ny runde med bruteforceangrep hos meg også, lurer litt på å teste med cloudflare, husker flere anbefalte det