WordPress后台防暴力破解

2,421 views

前几天在逛Gimhoy’s Blog时看到了如下文章。

于是好奇心大起,参照文章中介绍的方法为Jackie的家增加了管理员账号登录成功、失败时的邮件通知。好消息是登录成功、失败的时候可以接收到邮件通知,而坏消息是Jackie在第二天早晨发现个人邮箱里一下子涌进来几百封登录失败的通知邮件。

如下是Jackie的战利品,可以看到异常登录的时间、登录IP和IP所在地。


你好!你的博客空间(Jackie的家)有登录错误!

请确定是您自己的登录失误,以防别人攻击!登录信息如下:

登录名:

登录密码:

登录时间:2016-04-11 01:27:06

登录IP:67.231.249.38

登录所在地:纽约州Latham

你好!你的博客空间(Jackie的家)有登录错误!

请确定是您自己的登录失误,以防别人攻击!登录信息如下:

登录名:

登录密码:

登录时间:2016-04-11 01:27:05

登录IP:185.26.122.224

登录所在地:

你好!你的博客空间(Jackie的家)有登录错误!

请确定是您自己的登录失误,以防别人攻击!登录信息如下:

登录名:

登录密码:

登录时间:2016-04-11 03:21:28

登录IP:216.12.194.43

登录所在地:新加坡Jurong East

看到邮箱里有这么多异常登录的通知,Jackie赶紧安装了插件stealth-login-page,加固管理员登录页面。第二天早上起来检查邮箱,发现还是有很多异常登录邮件,比如这封


你好!你的博客空间(Jackie的家)有登录错误!

请确定是您自己的登录失误,以防别人攻击!登录信息如下:

登录名:

登录密码:

登录时间:2016-04-12 02:54:03

登录IP:213.251.182.115

登录所在地:

这说明stealth-login-page对攻击方并不生效,或者说人家根本不理睬Jackie设置的障碍。

怎么办呢?无奈之下,只好求教度娘,参照网友的建议安装了ip-blacklist-cloud,把发起异常登录请求的IP全部加到黑名单里。

另外Jackie参考wordpress账户防暴力破解攻击,为了减少被攻击的概率,在当前主题的functions.php内加入了如下代码。

remove_action( 'wp_head', 'wp_generator');

避免WordPress输出类似如下的页面头部

<meta name="generator" content="WordPress 4.1" />

在接下来的清晨,Jackie按照惯例检查个人邮箱,发现异常攻击的邮件没有如期而至,这说明前述手段生效了。后来检查插件ip-blacklist-cloud的控制面板中恶意访问相关的统计报表,发现Visited after blocking列数值为0,说明这些IP被放进黑名单之后,就再没有从这些IP发起新的恶意访问。这个现象有点奇怪,不过似乎也很好理解,大概恶意访问的发起方会检查页面中是否包含WorePress字样,对于页面中不包含WorePress的网站,没必要进行探测。

问题虽然是解决了,但使用管理员账号登录站点时,实实在在感受到了插件对登录速度的影响。唉,谁让Jackie是PHP盲呢。搜索Gimhoy’s Blog,发现WordPress修改后台登录地址介绍的方法也不错,不需要安装插件,对站点的性能影响相对要小一些。



若非注明,均为原创,欢迎转载,转载请注明来源:WordPress后台防暴力破解

关于 JackieAtHome

基层程序员,八年之后重新启航

此条目发表在 Web, WordPress, 笔记 分类目录,贴了 , 标签。将固定链接加入收藏夹。