http___blog7.org_zashtita-na-wp-admin-fail__1.xml
http___www.inmotionhosting.com_support_website_wordpress_prevent-unauthorized-wp-admin-wp-login-php-attempts.xml
1.1 2.1 3.1 3.2 3.3 3.4 3.5 4.1 5.1 6.1 7.1 8.1 9.1 10.1 10.2 10.3 11.1 13.1 14.1 14.2 14.3 15.1 16.1 17.1 18.1 20.1 21.1 23.1 24.1 24.2 25.1 26.1 26.2 27.1 27.2 28.1 29.1 30.1 30.2 30.3 30.4 31.1 31.2 31.3 32.1 33.1 33.2 34.1 34.2 35.1 35.2 36.1 37.1 39.1 40.1 41.1 42.1 43.1 44.1 46.1 48.1 49.1 49.2 50.1 51.1
Защита на wp-admin файл Как да защитя файла wp-admin в WordPress сайт добавяйки допълнителна защита. Сигурен съм че повечето колеги в SEO бранша са се сблъсквали с подобен проблем. През 2010 година бях написал статията: Please help me, I think I’ve been hacked! след проникване в мой сайт от хакер който изтри всичко и остави снимката, за да има с какво да се хвали по хакерските форуми, и колегите му да му пишат “you are big bro.” От тогава мина доста време и подобна атака не се беше случвала до вчера. И тогава и сега имам същото мнение за подобен вид атаки. Разделям ги на два вида: - Атака от начинаещ хакер, който търси похвала за дейността си от негови приятели или познати, както и себе уважение и тонизиране на егото му. - Атака от “старо куче” което го прави за пари. “Младока” обикновено прави по-големи поразии, от типа на изтриване на цялото съдържание, до пълненето със спам и зловреден код, докато опитния хакер поне в половината случаи оставя съобщение на собственика на сайта да си подобри защита, без да нанася щети. Каквито и защити да ползваш нарочи ли те хакер който има капацитета от знания и инструменти няма начин да не проникне в какъвто и да е сайт, така че допълнителната защита която описвам по-долу се отнася за “младоците”, които търсят себе-доказване. Атака с bot-ове Преди два дена съпорта на Хост България пи прати писмо че: Системата за сигурност засича атака към wp-login.php файла на сайта през последните 24 часа. Правят се постоянни опити за налучкване на паролата за администрацията на сайта. За да спрем тези опити сме добавили допълнителна парола за администрацията на сайта: Потребител: ****** Можете да генерирате други данни за вход от: http://www.htaccesstools.com/htpasswd-generator/ като след това сложите реда във файла /home/ime-na-host/.htpasswds/ime-na-papka/wp-login.php Отворих сайта през FTP за да видя какво са направили. Бяха добавили една нова папка с име: .htpasswds, която включваше отделни подпапки различни за всеки сайт. Във папката на сайта който беше атакуван имаше само един файл: wp-login.php а в него на първия ред имаше кода от htpasswd генератора под формата на: юзър:криптирана-парола. За да работи тази защита трябва да се добави и следния код: AuthType Basic AuthName HBSecurity AuthUserFile “/home/ime-na-host/.htpasswds/ime-na-papka/wp-login.php” ErrorDocument 401 default require valid-user във файла .htaccess. Искам да благодаря на Петър Маринов и на hostbulgaria.com за съдействието и оказаната помощ. Така постъпват коректните хостинг фирми. Мислех че ако сложа плъгин който да лимитира до 4 например опитите за логин ще е по- добре, или да скрия файла за логин на wordpress, но Петър сподели че това е напълно грешна концепция, тъй като Plug-in = допълнителен php скрипт = допълнително процесорно време = допълнителни заявки. Така както е защитен wp-login.php в момента, не се използва php, не се вдига допълнителен процес и се използват нищожно количество процесорни ресурси в сравнение с plug-in. Колкото по-малко плъгини ползвате, толкова по-добре. За историята добавям че не успяха да налучкат паролата и не можаха да влязат в сайта но вдигнаха рязко заявките и изчерпаха лимита за php процеси и CPU, на общо 201.34, което предполагам че води до “падането” на сайта докато се нормализират заявките. Слабостите на WordPress Уордпрес е може би най-добрата система за правене на блогове но има и много пропуски от към сигурността. Тук и тук може да видитте някои от тях. Сайтовете направен на wordpress имат един файл от където можеш да влезеш в администрацията им. Той се нарича wp-admin файл и добавяйки го в браузъра под формата: http://www.blog7.org/wp-admin, ще се покаже една страница с две празни полета: в които трябва да въведеш потребителско име и парола за да получиш достъп до админ панела на уордпрес сайта ти. А влезеш ли един път в админа с администраторски права можеш да правиш абсолютно всичко което си пожелаеш със този сайт. Можеш да изтриеш статиите, да добавиш линкове към други сайтове, които ще са ти полезни, или да го напълниш със спам и “гадни” линкове което ще доведе до съсипването на сайта. Добавяне на допълнителна защита на файла wp-admin За да затрудниш опитите на хакерите можеш да добавиш още един такъв прозорец който изисква юзър и парола за да ти позволи да преминеш към второто ниво, където въвеждаш втората парола. При грешка ще се покаже задната картинка. Същото нещо можеш да направиш и от cpanel-а на хостинга като отвориш Password Protect Directories и избереш папката wp-admin, където създаваш потребител и парола. От същото място можеш да ги изтриеш ако случайно загубиш паролата и не можеш да се логнеш в сайта си. Който и начин да изберете ще бъде допълнителна трудност която трябва да преодолее този който се опитва да проникне в сайта Ви, така че си заслужава да направите всичко възможно за да направите по-трудно начинанието. А когато нещо става трудно и изисква ресурси от време, или финанси, всеки логично мислещ човек се насочва към милионите забравени и не обновени WordPress сайтове със супер лесни пароли от рода на 123456, за да пробва хакерските си умения. ==> Bro, този път не успя, ако атаката е била случайна, и целяща себе-доказване, съм почти сигурен че скоро няма да се върнеш, но ако е била целенасочена и организирана от конкурент причината ми я ясна, и log-овете пазят следи по които ако се наложи мога да тръгна да те търся. Бях забравил за тази защита но Андон Иванов я спомена в статията си Защитете своят WordPress от Brute-force атаки към wp-admin така че я добавям като тествана и полезна практика. Files wp-login.php> order deny,allow #На мястото на X.X.X.X въведете IP-то на компютъра от който ще влизате в вашият администраторски панел. allow from X.X.X.X deny from all Files Latest posts by Пано Кондоянис (see all) - Търсиш SEO оптимизация на сайт? При мен ще получиш това за което си платил - 11.03.2014 - С очите на клиента - 01.03.2014 - Как да направиш сайта self-hosted CDN за максимално бързо зареждане - 28.01.2014
1.1 2.1 2.2 3.1 3.2 4.1 5.1 5.2 6.1 7.1 8.1 8.2 8.3 10.1 11.1 12.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 34.1 35.1 36.1 37.1 38.1 40.1 41.1 42.1 44.1 45.1 46.1 47.1 48.1 49.1 51.1 52.1 53.1 55.1 56.1 57.1 58.1 60.1 62.1 64.1 64.2 65.1 65.2 66.1 66.2 67.1 68.1 69.1 70.1 71.1 72.1 73.1
Prevent unauthorized WordPress wp-admin and wp-login.php attempts In this article I'll show you how to lock down and password protect your WordPress website from invalid login attempts. We'll do this by limiting access to the /wp-admin directory and the wp-login.php script. If you haven't already, please read my article about WordPress wp-login.php brute force attack. These attacks are what helped prompt me to write this article. Password protect WordPress logins Using the steps below, I'll show you how to create password protection for your /wp-admin directory. We'll also copy those rules over to protect your wp-login.php script. ErrorDocument 401 "Denied" ErrorDocument 403 "Denied" You may get password prompts even when you aren't trying to login to WordPress. Usually this is because of plugins. Please make sure to allow /wp-admin/admin-ajax.php requests without password protection. Under the Security section, click on Password Protect Directories. - Select the Document Root for your domain, then click Go. - Click on your wp-admin directory. Check Password protect this directory, give it a name, then click Save. - Now click on Go Back. - Click on Password Generator. Click on Generate Password a few times, and copy your password. Check I have copied this password in a safe place. Then click Use Password. - Now type in a Username, then click on Add/modify authorized user. - Try to access your /wp-admin directory. Your browser will prompt you for the username/password you just created. Type them in, and click Log In - Your normal WordPress admin login page should now display. - Now go back to cPanel. Under the Files section, click on File Manager. Select the Document Root for your domain. Check Show Hidden Files (dotfiles), then click Go. - From the left-hand directory listing, expand public_html. Click on wp-admin, then right-click on your .htaccess file. Then click on Edit For the encoding pop-up, click on Edit again to bypass that. Copy all the code in the .htaccess file. While you still have the /wp-admin/.htaccess file open, also go ahead and add the code in red: ErrorDocument 401 "Denied" ErrorDocument 403 "Denied" # Allow plugin access to admin-ajax.php around password protection Order allow,deny Allow from all Satisfy any AuthType Basic AuthName "Secure Area" AuthUserFile "/home/example/.htpasswds/public_html/wp-admin/passwd" require valid-user - From the left-hand directory listing, click on public_html. Right-click on your .htaccess file, then click on Edit. Now paste the .htaccess code you copied, in-between some   tags, so that it ends up looking like this: ErrorDocument 401 "Denied" ErrorDocument 403 "Denied" AuthType Basic AuthName "Secure Area" AuthUserFile "/home/example/.htpasswds/public_html/wp-admin/passwd" require valid-user Then click on Save Changes up at the top-right. Now if someone tries to directly login via wp-login.php they will be prompted for a valid user as well. When a user enters invalid credentials are, they will get an Authorization Required error. They will then not be able to attempt to login to your WordPress admin directly. You might encounter a re-direct loop at this point. If so, please ensure you've created the error documents mentioned earlier in this article. You should now know how to requre a username and password before an attempt to directly login to WordPress is even allowed. This will help to protect your WordPress website from unauthroized login attempts. We value your feedback! There is a step or detail missing from the instructions. The information is incorrect or out-of-date. It does not resolve the question/problem I have. Comments Post a Comment Do you want to publish a tutorial to our support center?