黑客用来未经授权访问网站的一种常见技术被称为“暴力武力”。使用这种技术，黑客使用旨在扫描网站漏洞的软件，并通过利用任何漏洞获得访问权限。我们使用Sucuri来保护我们网站的安全，因为它们会主动阻止恶意请求。这些暴力机器人试图利用的一个常见入口点是运行作者扫描。在本文中，我们将向您展示如何通过阻止WordPress中的作者扫描来阻止暴力。 注意：如果您使用的是限制登录尝试和谷歌验证器，那么您就可以很好地抵御暴力攻击。 首先，让我们了解这些暴力企图试图做什么。一开始，他们试图在你的博客上找到一个用户名或作者ID。通常用于登录WordPress的用户名和作者姓名是相同的。一旦他们找到了用户名，这就解决了50%的难题。现在，他们通过尝试各种不同的密码组合来强迫您的站点破解密码。 要阻止作者扫描您的网站，只需将此代码添加到.htaccessWordPress根目录中的文件。 # BEGIN block author scans RewriteEngine On RewriteBase / RewriteCond %{QUERY_STRING} (author=\d+) [NC] RewriteRule .* – [F] # END block author scans 由❤️托管WPCode在WordPress中一键使用 这将阻止机器人在您的网站上运行作者扫描。你的网站用户仍然可以访问作者页面，但机器人将无法这样做。 我们希望这一技巧对您有所帮助。我们想强调的是，这并不能阻止暴力攻击。这只是一个警示步骤，您可以采取这些步骤来阻止黑客。当有人不顾一切地想要攻击你的网站时，他们会找到方法这样做的。我们强烈建议您使用Sucuri并定期备份WordPress。另外，以下是我们使用Sucuri的5个原因。 本文作者：伊恩·阿姆斯特朗
暴力
如何保护您的WordPress站点免受暴力攻击
你想保护你的WordPress站点免受暴力攻击吗？ 暴力攻击可能会减慢您的网站速度，使其无法访问，甚至会破解您的密码以在您的网站上安装恶意软件。 在本文中，我们将向您展示如何保护您的WordPress站点免受暴力攻击。 您可以使用两种类型的网站防火墙： 应用程序级别防火墙在流量到达您的服务器之后，但在加载大多数WordPress脚本之前，检查流量。此方法效率较低，因为暴力攻击仍会影响服务器负载。DNS级网站防火墙通过他们的云代理服务器路由您的网站流量。这允许他们只向你的主虚拟主机服务器发送真正的流量，同时提升你的WordPress的速度和性能。 我们推荐使用Sucuri。他们是网站安全领域的行业领导者，也是市场上最好的WordPress防火墙。因为他们有一个DNS级别的网站防火墙，这意味着你的所有网站流量都会通过他们的代理，在那里不好的流量会被过滤掉。 我们在我们的网站上使用Sucuri，您可以阅读我们完整的Sucuri评论来了解更多信息。 有关更多详细信息，请参阅我们关于如何安全更新WordPress和正确更新WordPress插件的指南。 接下来，您需要找到wp-admin文件夹。 一旦你找到它，你应该点击文件夹名称。 CPanel现在将要求您提供受限文件夹的名称、用户名和密码。 输入此信息后，请单击“保存”按钮以存储您的设置。 您的WordPress管理目录现在受密码保护。 当你访问你的WordPress管理区域时，你会看到一个新的登录提示。 如果您遇到404错误或错误太多重定向消息，则需要将以下行添加到WordPress.htaccess文件中： 添加双因素身份验证将使黑客更难获得访问权限，即使他们能够破解您的WordPress密码。 有关详细的分步说明，请参阅我们关于如何在WordPress中添加双因素身份验证的指南。 在暴力攻击期间，黑客可以使用这样的目录浏览来查找易受攻击的文件。要解决此问题，您需要使用FTP服务在WordPress.htaccess文件的底部添加以下行： 还有一个免费版本的复印机，你可以用来开始使用。 关于如何使用复印机备份WordPress站点的逐步说明，您可以按照本指南进行操作。 以上所有提示将帮助您保护您的WordPress站点免受暴力攻击。对于更全面的安全设置，您应该遵循我们为初学者提供的终极WordPress安全指南中的说明。 我们希望本文能帮助您了解如何保护您的WordPress站点免受暴力攻击。你可能还想看看我们关于如何修复被黑客攻击的WordPress网站的指南，以及我们的专家挑选出最好的WordPress拖放页面构建器。 中国和中国都是如此。
IP Geo Block – WordPress plugin WordPress插件下载
点击下载 IP地理块 插件描述 您安装主题和插件的次数越多，您的网站越容易受到攻击，即使您安全地强化您的网站。 虽然WordPress.org 提供 优秀的 资源，但由于开发人员人为因素，主题和插件可能经常受到攻击例如缺乏安全意识，滥用和滥用这些资源中的最佳做法。 这个插件专注于洞察这些开发人员的人为因素，而不是在他们被披露后检测特定的攻击向量。这带来了一种名为“ WP Zero-day Exploit Prevention ”和“ WP Metadata Exploit Protection ”的智能且强大的方法。 结合这些方法和IP地址地理定位，您会惊讶地发现在安装几天后，在此插件的日志中阻止了一堆恶意或不受欢迎的访问。 产品特点 设计隐私： IP地址始终在日志/缓存中记录时加密。此外，它可以匿名化并限制发送给第三方，例如地理位置API或whois服务。 出入境管制： 进入后端的基本和重要入口，如 wp-comments-post.php ， xmlrpc。 php ， wp-login.php ， wp-signup.php ， wp-admin / admin.php ， wp-admin / admin-ajax.php ， wp-admin / admin-post.php 将通过基于IP地址的国家代码进行验证。它允许您将白名单或黑名单配置为对于一组IP地址，使用， CIDR表示法，对于一组IP网络，使用 AS号。 零日漏洞预防： 与基于攻击模式（向量）的其他安全防火墙不同，原始功能“ W ord P ress Z […]
IP Geo Block – WordPress plugin WordPress插件下载
点击下载 IP地理块 插件描述 您安装主题和插件的次数越多，您的网站越容易受到攻击，即使您安全地强化您的网站。 虽然WordPress.org 提供 优秀的 资源，但由于开发人员人为因素，主题和插件可能经常受到攻击例如缺乏安全意识，滥用和滥用这些资源中的最佳做法。 这个插件专注于洞察这些开发人员的人为因素，而不是在他们被披露后检测特定的攻击向量。这带来了一种名为“ WP Zero-day Exploit Prevention ”和“ WP Metadata Exploit Protection ”的智能且强大的方法。 结合这些方法和IP地址地理定位，您会惊讶地发现在安装几天后，在此插件的日志中阻止了一堆恶意或不受欢迎的访问。 产品特点 设计隐私： IP地址始终在日志/缓存中记录时加密。此外，它可以匿名化并限制发送给第三方，例如地理位置API或whois服务。 出入境管制： 进入后端的基本和重要入口，如 wp-comments-post.php ， xmlrpc。 php ， wp-login.php ， wp-signup.php ， wp-admin / admin.php ， wp-admin / admin-ajax.php ， wp-admin / admin-post.php 将通过基于IP地址的国家代码进行验证。它允许您将白名单或黑名单配置为对于一组IP地址，使用， CIDR表示法，对于一组IP网络，使用 AS号。 零日漏洞预防： 与基于攻击模式（向量）的其他安全防火墙不同，原始功能“ W ord P ress Z […]
SiteGuard WP Plugin – WordPress plugin WordPress插件下载
点击下载 SiteGuard WP插件 插件描述 您可以在英文页面上找到文档，常见问题和更多详细信息。 日文页面。 只需安装SiteGuard WP插件，WordPress的安全性就得到了改进。 此插件是一个安全插件，专门用于强力攻击的登录攻击，例如保护和管理功能。 注释 它不支持WordPress的多站点功能。它仅支持Web服务器的Apache 1.3,2.x。要使用CAPTCHA功能，扩展库“mbstring”和“gd”应该安装在php上。要使用管理页面过滤功能和登录页面更改功能，应在Apache上加载“mod_rewrite”。要使用WAF Tuning支持，应在Apache上安装WAF（SiteGuard Lite）。 有以下功能。 管理页面IP过滤器 它是防止攻击管理页面的功能（在wp-admin下）。从连接源IP地址访问，不登录管理页面，404（未找到）被返回。 在登录时，记录连接源IP地址，并允许访问该页面。 按顺序删除未登录超过24小时的连接源IP地址。 可以指定排除此功能的URL（在wp-admin下）。 重命名登录 这是减少针对非法登录尝试攻击（如暴力攻击或密码列表攻击）的漏洞的功能。 登录页面名称（wp-login.php）已更改。初始值为“login_＆lt; 5 random digits＆gt;”但可以将其更改为收藏夹名称。 CAPTCHA 减少漏洞的功能a获得非法登录尝试攻击，例如暴力攻击或密码列表攻击，或收到较少的垃圾评论。对于CAPTCHA的角色，可以选择平假名和字母数字字符。 登录锁 这是减少非法登录尝试攻击（如强力攻击或密码列表攻击）的漏洞的功能。 特别是，它是防止自动攻击的功能。登录失败次数达到的连接源IP地址在指定时间内被阻止指定的时间。 未锁定每个用户帐户。 登录提醒 此功能可让您更轻松地注意到未经授权的登录。登录后将向登录用户发送电子邮件。如果您收到电子邮件，但没有登录的想法，请怀疑未经授权登录。 一次失败 这是减少密码列表攻击漏洞的功能。即使登录输入正确，第一次登录也必须失败。 5秒后，在60秒内，另一个正确的登录输入使登录成功。在第一次登录失败时，将显示以下错误消息。 禁用Pingback 禁用pingback功能并防止滥用。 更新通知 安全基础是始终使用最新版本。如果需要WordPress核心，插件和主题更新，请发送电子邮件通知管理员。 WAF调整支持 创建规则以避免WordPress中的错误检测（包括正常访问时发生403错误）的功能如果安装了JP-Secure的WAF（SiteGuard Lite）一个Web服务器。 WAF防止外部攻击Web服务器，但是对于某些WordPress或插件功能，WAF可能会检测到实际上没有攻击的攻击和b锁定功能。 ワードプレスのデフォルトの仕様だと思いますが，/可湿性粉剂管理员/にアクセスするとプラグインで変更したログイン画面のURLヘリダイレクトされてしまいますのでこちらの改善もお愿いいたします。例）例如.co.jp / wp-admin↓リダイレクトexample j p ; add_filter（’auth_redirect_scheme’，’stop_redirect’，9999）; function stop_redirect（$ scheme）{if（$ […]
Limit Login Attempts Reloaded – WordPress plugin WordPress插件下载
点击下载 限制登录尝试重新加载 插件描述 限制通过正常登录以及使用auth cookies。 默认情况下，WordPress允许通过登录页面或发送特殊cookie进行无限次登录尝试。这允许相对容易地通过蛮力破解密码（或哈希）。 限制登录尝试重新加载阻止Internet地址在达到指定的重试限制后进一步尝试，使得暴力攻击变得困难或不可能。 功能： 限制登录时的重试次数（每个IP）。这是完全可自定义的。限制以相同方式使用授权cookie登录的尝试次数。通知用户登录页面上的剩余重试或锁定时间。可选日志记录和可选电子邮件通知。在反向代理后面处理服务器。可以将IP和用户名列入白名单/黑名单.Scurcuri网站防火墙兼容性。 XMLRPC 网关保护。 Woocommerce 登录页面保护。 多站点与额外MU设置的兼容性。符合 GDPR 。启用此功能后，所有记录的IP都会被混淆（md5-hashed）。 从旧的Limit Login Attempts插件升级 转到站点后端的插件部分。移动Limit Login Attempts插件。安装Limit Login Attempts Reloaded插件。 您的所有设置都将保持完好！ Limit Login Attempts Reloaded插件目前支持许多语言，但我们欢迎任何其他语言。 帮助我们将限制登录尝试重新加载到更多文化中。 翻译：保加利亚语，巴西葡萄牙语e，加泰罗尼亚语，中文（繁体），捷克语，荷兰语，芬兰语，法语，德语，匈牙利语，挪威语，波斯语，罗马尼亚语，俄语，西班牙语，瑞典语，土耳其语 插件仅使用标准操作和过滤器。 基于Johan Eenfeldt的Limit Login Attemps插件的原始代码。 屏幕截图 登录失败后登录屏幕，其余重试次数 锁定登录屏幕 WordPress 4.5.3中的管理界面 评论
WordPress 网站如何防范大规模暴力破解攻击
WordPress 网站遭遇大规模暴力破解攻击 WordPress 网站过去几天遭到了大规模的暴力破解攻击，攻击者首先扫描互联网上的 WordPress 网站，然后利用 Web 服务器组建的僵尸网络不断尝试用户名和密码试图登录管理后台。 一般的僵尸网络是利用普通 PC，而这次攻击者使用了超过 9万台 Web 服务器，服务器比 PC 有更大的带宽和连接速度，因此可以更快的发动攻击。攻击者暴力攻击WordPress 管理入口，使用默认的用户名 admin，并尝试数以千计的密码。 如果防止被扫描和攻击 从上面这则新闻，可以看出攻击者主要是首先扫描 WordPress 网站，然后通过穷举法攻击 WordPress 的默认用户名：admin，我们可以通过以下三个步骤来减少被攻击以及被攻陷的机会： 在当前 functions.php 添加以下代码去掉 WordPress 版本信息，减少被扫描到的机会。 remove_action( 'wp_head', 'wp_generator'); 默认的用户名不要为 admin，通过一下 SQL 修改 admin 的用户名： UPDATE wp_users SET user_login = 'newuser' WHERE user_login = 'admin'; 安装 Limit Login Attempts 插件，限制登陆尝试次数，防止通过穷举法获取后台密码。
