Защита от Flood (Brute Force) атак на wordpress (разные советы)

Многие вебмастера, у которых есть сайты на WordPress или Joomla (в том числе и я), сейчас испытывают проблемы из-за массовой атаки на данные CMS. Если выразиться точнее, то речь идет о Syn Flood (Brute Force) атаке — автоматическом подборе паролей в админку. Об этом уже писали на Хабре, а также многие хостеры отправляли предупреждение своим клиентами. Даже запросы «wordpress ddos 2013» и «wordpress flood attack» выдаются в Google как подсказка. Эксперты говорят, что это самая массовая атака на WordPress, которая вообще наблюдалась. Я, признаться, не думал, что дойдет до моих сайтов, но это случилось. Пароли там, вроде бы, достаточно сложные, но из-за массового количества запросов при их подборе, админки, сайты и сами серверы просто «лежат». Ситуация (пока что?) не коснулась «отдельных сайтов» на обычных тарифах по типу как у Hostenko, а задела лишь VPS сервера. Сегодня поделюсь некоторыми советами, которые могут помочь.

Общая защита wordpress сайта

Собственно, про безопасность wordpress сказано достаточно много, в интернете вы сможет найти массу публикаций по теме. В данном блоге есть пост про определение безопасности блога с помощью плагина WP Security Scan. Из общих классических советов могу вкратце выделить:

• регулярное обновление системы и модулей (особенно, если там были исправлены критические уязвимости);
• использование префикса таблиц базы данных отличного от «wp_»;
• скрытие версии вордпресс;
• использование имени администратора отличного от admin, а самого этого пользователя лучше удалить вообще из БД;

Есть и другие рекомендации, по типу перемещение файла конфига в другую директорию, но эти самые простые. Собственно в данном посте также есть информация как ограничить доступ в админку вордпресс. Для этого в папке /wp-admin/ создаете файл .htaccess, в котором пишете:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "Access Control"
AuthType Basic
order deny,allow
deny from all
allow from 91.250.120.20

Здесь вместо 91.250.120.20 — нужно указать IP адрес. Определить IP адрес помогут разные сервисы например 2ip.ru. В некоторых статьях есть примеры без первых 4 строк кода (думаю, они не обязательны). Учитывая то, что Flood (Brute Force) атака направлена на админку wordpress, это решение должно вам помочь.

Советы и помощь хостеров

Когда у вас возникают проблемы с сайтами или серверами первым делом нужно обращаться в тех.поддержку своего хостера. Вы платите деньги не просто за размещение, а и обслуживание — поэтому смело этим пользуйтесь. Если ваш хостер не сильно стремиться вам помочь — просто перенесите ваши сайты к другому. Сейчас на рынке хватает адекватных компаний.

В моем случае проблема Flood (Brute Force) атак на wordpress коснулась двух хостеров — HostPro и FastVPS. Оба проявили себя с лучшей стороны, за что им большое спасибо! В первом  HostPro в 4 часа ночи уточнили мой IP и внесли все необходимые изменения. Во втором FastVPS сначала выслали инструкцию по ликвидации проблемы, а потом из-за того что у меня не все получилось, сами решили вопрос.

На будущее в HostPro советовали следовать основным базовым правилам защиты WordPress, о которых я говорил выше, закрывать доступ в wp-admin для своего IP, а также использовать некоторые полезных плагины (об этом дальше).

Дополнительная авторизация в админке

В FastVPS предложили установить еще один логин/пароль на страницу входа в блог — пользователь сначала будет вводить эти данные, а только потом WP доступы. Алгоритм:

1. Создаете файл .htpasswd в корневой директории.

2. Идете в этот сервис где указываете желаемый логин и пароль доступа, и потом получаете сгенерированный текст для файла .htpasswd.

3. В файл .htaccess из корневой директории добавить строки:

<Files wp-login.php>
AuthName "Access Denied"
AuthType Basic
AuthUserFile полный_путь_до_корня_сайта/.htpasswd
require valid-user
</Files>

Здесь «полный_путь_до_корня_сайта» — абсолютный путь по типу: /var/www/имя_пользователя/data/www/адрес_сайта/.htpasswd. Узнать его можно, выполнив команду в каком-то из PHP файлов на хостинге:

echo $_SERVER['DOCUMENT_ROOT'];

4. Сохраняете и пробуете зайти в админ панель. Если у вас появляется ошибка 404 или «Too many redirects», пригодится добавление следующей строчки в htaccess:

ErrorDocument 401 default

Вставляйте ее ДО основных правил WP. Такое поведение обусловлено специфическими настройками сервера. Если ничего не получается, напишите в тех.поддержку хостера. Мне также встречалась и другие реализации задачи, когда, например, htaccess добавлялся в каталог wp-admin, а htpasswd загружался подальше от корня, но я их не тестировал.

Ограничения в nginx

Тот же FastVPS подсказал как закрыть доступ на уровне nginx. Для этого в файле конфига /etc/nginx/nginx.conf под каждый домен добавляете секцию:

location /wp-login.php {
allow 91.250.120.20;
deny all;
}

Опять же IP нужно поменять на свой. Предварительно рекомендуется сделать резервную копию файла настроек. Кстати, по этому же хостеру возможно вам пригодиться статья про добавление сайта на сервер FastVPS без панели ISP Manager.

WordPress плагины защиты блога

Если до вас еще не добралась Flood (Brute Force) атака, то можно воспользоваться превентивными мерами в виде Wordoress плагинов. Кроме упомянутого ранее WP Security Scan я бы советовал присмотреться еще к таким решениям:

• Limit Login Attempts — основная задача ограничение попыток входа в админку.
• Lockdown WP Admin — как я понял, он скрывает панель входа в систему, если пользователь не залогинен.
• Protected wp-login — добавляется секретный ключ, без которого вы не сможете залогиниться даже, если указываете правильный логин и пароль.
• Wordfence Security — мощный и функциональный плагин безопасности Wordoress, у которого просто таки уйма функций.
• All In One WP Security & Firewall — еще одно мега крутое и комплексное решение с кучей опций.

К плагинам я пока присматриваюсь, возможно, позже напишу о них более детально. Тут главное все сделать правильно и не переборщить: скажем та же блокировка «назойливых IP» вполне может навредить поисковым роботам. Хотя, если проверка настроена только лишь на панель системы wp-admin, то это точно «заденет» лишь злоумышленников. Ограничивать доступ через htaccess также следует аккуратно — во-первых, проверяйте работоспособность после своих изменений. Кроме того, если захотите поработать в блоге во время отпуска или с другого компьютера, следует помнить, что войти сможете только с вашего IP. Поэтому нужно иметь возможность обратиться в тех поддержку либо помнить параметры доступа по ФТП.

Если будут какие дополнения к посту про защиту от Flood (Brute Force) атак на wordpress — пишите в комментариях. Кстати, вас эта проблема задела?

P.S. При оптимизации под поисковики одна из задач вебмастера — убрать дубли страниц на сайте. Специальный альтернативный метод позволит сделать это без использования файла robots.txt.