DDOS атака на сайт Wordpress. Как заблокировать WPscan?

Question

[ZuGGx]

На хостинге Regru превышен лимит CPU в 13%. Изучив в чем проблема, вышел на то, что некий User agent - Wpscan каждый день делает запросы по 250 тысяч.



По статистике запросов по IP показывает украинский IP

Пока что просто заблокировал Ip, но понимаю, что это бесполезно.

Подскажите, как мне заблокировать этот WP scan?

Comments

[shurshur]

Если приходит с одного IP, то это не ddos. Первая буква в слове ddos - distributed, то есть "распределённый".

Если это зловредная деятельность и IP атакующего будет меняться, то надо осваивать fail2ban.

[Everything_is_not_so_bad]

любопытно, если этот WPscan не зловредный, а просто очень любопытный, не достаточно ли добавить его robots.txt

[shurshur]

Иерокопус Таманский, вполне может быть, что зловред изображает в агенте кого-то безобидного.

[Everything_is_not_so_bad]

Смысл в том, что можно попробовать сначала с robots.txt . Для зловредов и игнорирующих эти указания это, конечно, бесполезно. Зато если бот следует указаниям для роботов, то он может отпасть сам.

Answer 1

[Роман Страх]

Если не хочешь разбираться с fail2ban то можно поставить wordfence и (или) настроить Cloudflare.

Comments

[Иммануил Мотоциклов]

Кстати самый лучший вариант - такое комбо. Выручает уже несколько лет около 30+ сайтов

Answer 2

[Владимир Е]

Пока что просто заблокировал Ip, но понимаю, что это бесполезно.

- разве количество запросов не упало?

Подскажите, как мне заблокировать этот WP scan?

Блокировка по агенту, в htaccess

<If "%{HTTP_USER_AGENT} == 'WPScan'">
    Require all denied
</If>

Answer 3

[Павел Иванов]

Подумал и надумал:
1) Если на сайте не используется xmlrpc.php, отрубить к нему доступ. Решение соскребет около 10% с превышения лимита CPU, так как XML-RPC-атаки заставляют некоторые сервера жрать процессорное время как не в себя. Если такое невозможно (используете внешние клиенты), то смотреть либо в сторону белого списка, либо в остальные ответы в треде.
2) Завести список юзерагентов для "защиты от дурака" и выставить блокировку по ним.
3) Есть ещё рабочий способ в блокировке подключений со стороны всяких платформ, что хостят микросервисы, но это скорее удар из пушки по воробьям. Такие платформы иногда раскрывают список подсетей, из-под которых делают запросы.

Возможно где-то не прав, но блокировка по одному юзерагенту - смешно (имхо)