看新闻说，用WordPress搭建的网站在过去几天里遭到了大规模的暴力破解攻击，攻击者首先扫描互联网上的Wordpress网站，然后利用Web服务器组建的僵尸网络不断尝试用户名和密码试图登录管理界面。
　　我想这不是危言耸听，而是真的行动，这几日的确有人不断的在尝试登录我的后台，并逐渐智能地判断出我的登录用户名。
　　一开始的扫描是从默认的admin开始的。

　　经过不断的试错，或者说，被有心之人盯上了，从而找到了正确的用户名。IP来自于不同的国家，有巴西，捷克，印度等。目前可以知道的是，攻击者是利用肉鸡连续不断的尝试登录后台，企图暴力破解。我的后台显示User Agent是Mozilla/3.0 (compatible; Indy Library)。由于Wordpress的默认后台地址就是wp-admin，所以全部的登录后Redirect都指向后台。

　　如何保护自己的小站呢？毕竟是我辛辛苦苦建设的网站，可不想就这么被搞。（由此可见，破坏永远远比建设容易）
　　1、常规备份
　　我用的是wp-google-drive插件，经过我自己的汉化，同时优化了备份的文件名。常规备份是每天一次。

　　2、跟进官网更新
　　不管是Wordpress程序还是其插件，需要在第一时间跟进到最新版本。因为WordPress每次升级都包含一些安全措施的修补。如果你没有及时更新，你的网站就存在漏洞，这样的网站就处于危险之中。同理，插件也是。

　　3、立即更改密码
　　如果你的网站被人暴力破解了，那肯定是因为你设置的密码太弱了。要知道现在一个8位的字母加数字组合，用不了半天就会被破。为此，你需要设置更长更强壮的密码，尽最大可能地用到大小写字母、数字、特殊符号，并且至少要达到15位。真正的密码应该是随机的、毫无意义的字母、数字和特殊符号的组合。

　　4、保护/wp-admin/文件夹
　　由于WordPress默认的管理后台就是/wp-admin/文件夹，所以我们应该尽可能的避免别人访问这个文件夹里面的文件。在/wp-admin/文件夹里面新建个.htaccess文件，用来限制IP登录吧。

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Example Access Control”
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
allow from xxx.xxx.xxx.xxx
allow from xxx.xxx.xxx.xxx
</LIMIT>

　　将xxx.xxx.xxx.xxx换成你当前的IP地址，如果你用的是固定IP则更好，如果不是的话（ADSL常常IP不固定），那只好麻烦一点，每次登录后台前获取一下你的IP地址，然后修改此文件，将当前IP加入该.htaccess文件中。

　　网站安全靠个人，为了你的成果，你必须像个斗士一样去保护它。做一些措施，行动起来吧。

转载请注明：秋水逸冰 » 网站遭遇大规模暴力破解攻击