POST /wp-login.php HTTP/1.1 DDOS замучал

[Alexsize]

Привет всем!

Что то последние 2 дня у меня на всех серваках прям жуть сколько запросов

POST /wp-login.php HTTP/1.1

Посмотрите, у вас нет ничего подобного?

[chesser]

Сообщение от masolit

а тупо спрятать админку )) не вариант ?

дык все равно будут простукивать по несуществующим адресам, напрягая сервер.
К тому же wp будет продолжать нагружаться, отдавая свои софтовые 404.

а 444 ответ в nginx обрубает соединение с клиентом, не посылая ему ничего, как-будто такого ip/сервера не существует или уже упал. Эта операция дешевая для веб-сервера, дешевле других вариантов.

Можно слать 301 редирект в гугл, как некоторые делают, но это подтверждение того, что сервер шевелится и его можно продолжать ддосить.

обычно эти правила выявления и отсекания ботов сложнее, используется комплексный подход.
Но даже по ua, реферерам и локейшенам можно хорошо нагрузку снять.
Самое главное - это не давать этим заниматься вашему любимому апачу

[D007]

chesser а плагин который такое делает тебе не встречался?
буду признателен

[Strikelol]

D007
ты не правильно понял, он дал кусочек конфига к nginx

[chesser]

Сообщение от D007

chesser а плагин который такое делает тебе не встречался?
буду признателен

в том то и смысл - обрубать плохой коннект ДО апача/fastcgi и других backend-серверов, т.е. фильтрация должна проходить на фронтенде веб-сервера: nginx, lighttpd, varnish-ем и тд.

а если коннект дошел до WP, то он уже его грузанет, или как минимум толстый апач выделит под него память

[D007]

мммм...

[Shawn]

Ещё так можно сделать

PHP код:

<Files "wp-login.php">
 order allow,deny
 Allow from СвойIP
 </Files> 


+закрыть админку

[mirikas]

Последние несколько дней в Сети наблюдается интенсивная Brute Force атака, направленна на подбор паролей для аккаунтов сайтов на базе свободного движка WordPress. Атака носит массовый характер, так как организована с использованием крупного ботнета.

Попавшие под действие атаки сайты подвергаются проверке входа под логином "admin" через страницы /wp-login.php и /wp-admin с использованием примерно тысячи наиболее популярных паролей. В случае если подбор пароля оказался успешен, в движок WordPress внедряется бэкдор, который подсоединяет взломанный сайт в состав ботнета и позволяет сохранить контроль даже после смены пароля. Поражённый хост и начинает участвовать в Brute Force атаке для выявления других жертв, но также может принимать команды и выполнять другие действия, типичные для ботнетов, такие как совершение DDoS-атак.

Отмечается, что ботнет из серверов значительно более опасен в плане совершения DDoS-атак, чем ботнет из пользовательских машин, так как серверные системы имеют доступ к более широким каналам связи (стомегабитный порт для сервера в крупном датацентре уже в порядке вещей) и более болезненны при блокировке (на одном IP могут находиться сотни сайтов). При этом, даже не связанный с DDoS-атакой трафик, генерируемый в процессе наблюдаемого подбора парлей, негативно повлиял на деятельность некоторых хостинг-компаний, так как он существенно искажает типичную для хостинг операторов ориентацию на преобладание исходящего трафика. Текущий размер ботнета из WordPress серверов уже оценивается в более чем 90 тысяч хостов.

Всем администраторам блогов на базе движка WordPress рекомендуется убедиться в использовании надёжного несловарного пароля для своих аккаунтов. Кроме того, для блокирования атаки советуют не использовать для администратора логин admin, защитить доступ к скрипту wp-login.php через дополнительною Basic-аутентификацию на уровне http-сервера или разрешить вход только с определённых IP. Для ещё более серьёзной защиты можно использовать дополнения с реализацией двухуровневой аутентификации с одноразовыми паролями.

3символа

[drivehunter]

от атаки не защитит, но безопасности добавит:
поменять стандартное "admin" на свое кастомное имя - занимает пару минут. ну и пароль сложный от 12 знаков - это само собой. еще у меня на всех вп-движках стоит плагин Limit Login Attempts.

хотя, увы, это все меры по факту атаки - все равно сервак нагружается этими запросами. но, по крайней, мере, пасс никто не подберет - сплю спокойно.

[ssoleg]

а пример бэкдора есть гденить?

[antonanet]