Опасно ли что пользователи могут получить раздел wp-admin?

Question

[DeniSidorenko]

Добрый день, возник такой вопрос
На большинства сайтов WP можно получить доступ к форме авторизации админа, введя site.ru/wp-admin
Открывает ли это какие то дыры в системе безопасности? Если да то каким образом можно устранить?

Answer 1

[Вова Дружаев]

Всё зависит от роли с которой они зайдут в админку. Почитай про привилегии https://wp-kama.ru/function/current_user_can#bazov...
Ну сам ВП не страшится этого. А дыры могут быть в плагинах. У некоторых такие что и в админку попадать не надо - правильный запрос с фронтенда и вот ты уже что-то сделал, что по логике не мог. Но эту логику программист плагина не учел...
Как правило такие уязвимости и бывают. А вордпресс - давно в нем не находили страшно опасного))

Comments

[DeniSidorenko]

Проблема в том что я сделал форму авторизации для пользователей, через форму и action ( без плагинов как вы и советовали в прошлом вопросе)
И если пользователь вел все правильно то его перенаправляет на главную, а если неправильно то на страницу авторизации ( wp-admin )

[Вова Дружаев]

wp-login.php - это не совсем wp-admin
а вам надо цепляться к фильтру authenticate и делать что-то свое при ошибке

Answer 2

[Александр Торопов]

Как вариант, могут попробовать подобрать пароль.
Во вторых, если злоумышленникам удалось получить пароль и логин администратора, то могут войти на сайт.
Для защиты можно закрыть директорию wp-admin паролем через .htaccess

Comments

[Mr Crabbz]

И получите полностью отвалившийся от фронтенда wp-admin/wp-ajax.php .
Гуглить rename wp-admin.