Zaken

Вообще ковровая бомбардировка уже дала плоды в купе с клоудфлаером. У них не так и много IP адресов, а на данный момент все адреса иностранные уже забанены. Если попадёт в бан русский IP, тогда придётся добавить его в белый список, и думать как дальше поступить. Сейчас уже больше суток попыток войти в админку не было.

Ваша логика по поводу юр адресов сайта в данном примере верна, так как у этих сайтов одинаковый IP, но для этого я и собираюсь поменять его на сервере, и больше светить. Так что это уже не существенный косяк.

Ex.Mi, огромное спасибо за поиск дыр. Расстроился я конечно. Если не сложно, можете подсказать пару моментов?

Про историю IP адресов как то не подумал даже. Тестировали сертификаты, и снимали DNS клоудфлаера, а сторонние сервисы спалили тему. Придётся переехать для надёжности.

Момент 1: Я так понимаю, Вы пробили адреса через эти сервисы? Почтовой рассылки простому пользователю у меня нет, так что спалить IP адрес письмом не мог.

Момент 2: Пользователя Вы похоже узнали через ?author=1 ? Там высвечивается b***n — это обманка — пользователь с правами участника, не админ, а вывод автора в коде я убирал, пробежался по нескольким страницам, нигде не высветился автор. Под пользователем b***n пока не было попыток авторизации, но благодаря Вам встретил решение, как спрятать страницу автора.

Момент 3: Другие домены Вы пробили узнав IP адреса, или как-то ещё? По IP понятно, этот вопрос я решу на днях, но если есть иные способы, буду признателен за подсказку.

4) Можно узнать, что за косяк с SSL? Просто был установлен бесплатный SLL от клоудфлаера, потом купили именной сертификат, но в итоге я решил вернуться к бесплатному, что бы спрятать IP адрес сервера через клоудфлаер. Делал по мануалам бесплатный, видимо что-то накосячил на стороне КФ. Ну или может подскажете, чем проверяли правильность SSL? Яндекс и гугл не ругаются на него, я думал там всё в порядке.

5) ftp/ssh/smtp/pop3/imap — это Вы написали к тому, что нашли адрес всего этого? Ну это следствие того, что я спалил IP адрес сервера… Или я не прав?

6) Как можно узнать имя сервера, или тем более номер заказа? Я понимаю, что при заказе VPS сервера хостинг обычно даёт серверу имя согласно номеру заказа, но вот как эти данные пробить не имея прямого доступа хотя бы по ssh? Это для меня загадка конечно. Не критично, что эти данные известны, но всё же не приятно.

To: SeVlad, есть плагин, который блокирует неудачные попытки авторизации, например limit login attempts. Можно ставить его, если стоит задача сберечь ресурсы SQL сервера. Возможно позже уберу свой плагин, так как все необходимые настройки он уже сделал, и поставлю другой. Сейчас додумался логи на сервере пробить, найду страницу входа, буду разбираться каким образом была найдена страница авторизации. Не думаю что по маске нашли её.

SeVlad, спасибо за ответ.

А почему Вы не спрашиваете там/у тех, кто Вам рекомендовал эту ерунду?

Полагаю вопрос риторический. Совет любопытный конечно — реализую вкупе с этой ерундой. Вообще речь о плагине «All In One WP Security», нахожу его полезным, он умеет много нужного делать.

блок попыток авторизации X раз в Y минут

Спасибо за ответ. Это я сделал на стороне плагина, работает исправно, вот только не понимаю, как обошли капчу, а главное, как нашли страницу авторизации.
Такое ощущение, что нашли какую-то дыру, для авторизации.
Про таблицу — спасибо. Настрою на сервере правила посещения страницы с авторизацией, но вот сомневаюсь, что авторизоваться пытаются через стандартную страницу логина.

Дело в том, что я использую cloudflare, и банить всё подряд не могу. Сейчас нашёл у них настройку правил, пытаюсь разобраться, как убрать из кеша страницу авторизации, что бы мог войти под своим IP адресом, а то сейчас ВП считает, что я (и взломщики) сидят под IP клоудфлаера http://joxi.ru/Dr86qXwsokRZQ2
1) мои попытки войти
2) попытки взломщика

Хочу дополнить. Я включил клоудфлаер для скрытия реального IP сервера, но почему-то теперь в панели авторизации вижу что посетители заходят под IP адресом клоудфлаера. Я плохо знаю эту технологию, видимо работает по принципу VPN.

В общем то тут есть пространство для манёвра по бану, но только до тех пор, пока взломщик не додумается использовать российский IP адрес для подбора пароля, тогда у него будут точно такие же IP адреса как и у меня, и я получу бан от своего же сайта, а бан я поставил на год. Уменьшать срок бана смысла нет, так как используются прокси для перебора пароля.
Наверно, в данной ситуации лучше отказаться от ДНС клоудфлаера, и настроить как следует защиту сервера.

• Ответ изменён 6 лет, 10 месяцев назад пользователем Zaken.
• Ответ изменён 6 лет, 10 месяцев назад пользователем Zaken.