Как избавиться от Bruteforce атак?

Question

[Sytru5]

На все сайты на хостинге идут постоянные brute атаки. В основном это CMS Wordpress. В .htaccess доступ ограничил только для своего ip. Но нагрузка, все же, небольшая осталась.

Есть ли какое то решение, чтобы снизить нагрузки?

Answer 1

[Максим Котов]

Для WordPress существуют плагины, которые делают именно это, например.

Answer 2

[svd71]

1. Создавать сложные пароли. Сложный пароль очень легко запомнить, но для прямого перебора нужно работать в АНБ США. Пример такого пароля "ДоитьКозуНаПоле987раз"
2. Создать анализатор запроса. Если запрос к авторизации от одного хоста повторяется, вставлять паузу на ответ. При каждой попытке паузу удваивать.

Мне как раз такой сценарий помог. Правда не на ВордПресс.

Comments

[Sytru5]

А можно поподробнее про анализатор запроса. Вот к примеру реально отбиваться от пользователя, который как раз пытается получить доступ к wp-login.php и отсылать его в бан на несколько минут?

[svd71]

Я уже писал, работаю не с wp, но технология у всех такая же. Просто в системе есть анализатор посещаемости страниц. Там сохраняется время, адрес хоста, путь странницы и пользователь. Это потом выводится в виде статистики для админа. В логине сделал проверку сколько попыток текущий хост делал к скрипту логина. При превышении трех попыток делаю в скрипте sleep с выводом страницы опять логина, но указанием сколько осталось подождать. При превышении 5 попыток поле sleep редирект на 404. У sleep в качестве значения идет количество попыток умноженное на 30 секунд.

Answer 3

[Борис Сёмов]

Естественно осталось - отбивать запросы средствами веб сервера, в общем-то накладно.
Вопрос только в том, что н ашаред хостинге нет другой возможности, например резать атакующих фаерволом OS, или аппаратным фаероволом перед сервером. Соотвественно придётся смириться с этой нагрузкой.

Впрочем, если у вас перед Apache на хостинге стоит Nginx, и есть доступ к его конфигурации, что бывает на некоторых шаред хостингах, то фильтрацию выгонее будет перенести туда. Это заметно снизит нагрузку.

Answer 4

[Илья]

Есть такое решение как Fail2ban
Там настраиваются разные фильтры regex по оценке логов.
И в зависимости от правил применяются правила firewall.

Answer 5

[Пума Тайланд]

Закройте фаервоолом по айпи

Answer 6

[afiskon]

Самое простое и эффективное решение - прописать какую-нибудь волшебную строку в UserAgent своего браузера (например, с помощью плагина User-Agent Switcher for Chrome) и сделайте ограничение доступа по UserAgent (см например тынц пунк 6).

Если это по каким-то причинам не канает, есть другие варианты. Изменить URL админки. Или прикрутить один из тех плагинов для WP, который банит по IP после N неудачных попыток войти в админку.