Support » Allgemeine Fragen » Brute Force Attacks verhindern

  • Gelöst wootimes

    (@wootimes)


    Hi,

    ich habe ein Brute Force Attack Plugin installiert. Derzeit gibt es eine enorme Ansammlung an gesperrten Anmeldeversuchen. Viele gesperrte IPs sind aber auch keine Lösung. Dann dachte ich mir, ich schütze den wp-login.php Bereich zusätzlich mit .htpasswd. Jetzt ist der Login quasi nicht mehr erreichbar.

    Dennoch laufen die Attacken weiter. Wie ist das möglich?

    Das steht in der htaccess:

    
    ###### Auth protect to sensible files ######
    
    <Files ~ "^(wp-login|upgrade)\.php$|(liesmich|readme)\.html$|(license)\.txt$">
    	AuthType Basic
    	AuthName "WP Login Protect"
    	AuthUserFile /.../htdocs/domain.de/.htpasswd
    	Require valid-user
    </Files>
    
    ###### This denies all web access to your wp-config file, error_logs, php.ini, and htaccess/htpasswds ######
    
    <FilesMatch "^.*(error_log|wp-config\.php|php.ini|\.[hH][tT][aApP].*)$">
    	Order deny,allow
    	Deny from all
    </FilesMatch>
    
    ###### Stop spam attack logins and comments ######
    
    <IfModule mod_rewrite.c>
    	RewriteEngine On
    	RewriteCond %{REQUEST_METHOD} POST
    	RewriteCond %{REQUEST_URI} .(wp-comments-post|wp-login)\.php*
    	RewriteCond %{HTTP_REFERER} !.*domain.de.* [OR]
    	RewriteCond %{HTTP_USER_AGENT} ^$
    	RewriteRule (.*) http://%{REMOTE_ADDR}/$1 [R=301,L]
    </ifModule>
    
    ###### Allow access to wp-admin/admin-ajax.php ######
    ###### If your theme or plugins use AJAX, you will most likely need to add an additional group of settings to your .htaccess so that functionality continues to work ######
    
    <Files admin-ajax.php>
        Order allow,deny
        Allow from all
        Satisfy any
    </Files>
    
Ansicht von 3 Antworten - 1 bis 3 (von insgesamt 3)
  • Marten

    (@marten-willberg)

    Hi wootimes, WordPress bietet diverse XML Schnittstellen um sich z.B. per App etc. anzumelden. Versuche zusätzlich zur .htpasswd Datei folgenden Filter in deiner functions.php. Funktioniert ab WP 3.5.

    /**
     * XML Schnittstellen deaktivieren
     */
    add_filter( 'xmlrpc_enabled', '__return_false' );

    Hi marten,

    Danke, ich werde das die Tage mal ausprobieren und dann berichten ob die Attacken weitergehen oder endlich aufhören.

    @marten-willberg bisher ist Ruhe. Keine blockierten Anmeldeversuche mehr. Anscheinend war der Filter hilfreich. Danke sehr 🙂

Ansicht von 3 Antworten - 1 bis 3 (von insgesamt 3)
  • Das Thema „Brute Force Attacks verhindern“ ist für neue Antworten geschlossen.