Hi Britta, dein Fachchinesisch macht es mir schwer dich zu verstehen ;-) Ich hatte bei mir mal, vermute ich jetzt, dass gleiche Problem, da hatten sich zig User Registriert und Lösung dafür war: diese Scripts verstehen kein DEUTSCH sieh dir mal meine Regestierung an: http://www.altertuemliches.at/user/register (unten "Wieviel ist neun + zwei als Zahl ausgeschrieben?") das Modul trick-question Beste Grüße Andreas Rosenheim 65, A- 9805 Baldramsdorf (Kärnten) und Wien 2, Laufbergergasse 2/1/7 Tel: +43 (0) 676 5227712 Email: info@altertuemliches.at Web: www.AltertuemLiches.at Setzen Sie einen Link auf unsere Seite: http://www.altertuemliches.at/link_to Am 04.09.2015 um 01:37 schrieb BDuN@gmx.net:

hi - noch eine Nachteule ;-)

Die TOR-exits zu sperren ist sinnlos- ich habs versucht, beim nächsten Angriff funktionieren die wieder - selbe Knotenpunkte, aber offenbar andere dynamische Endungen .. Dazu parsen diese Scripte ja meine eigenen Besucher bzw deren IPs !!

Ich habe festgestellt: Die kommen immer in 5er-Blocks, 4 x TOR-Exits und einer meiner eigenen User, dann ist eine Weile Ruhe, dann gehts wieder los .. davor habe ich jedesmal einen Einzelversuch einer türkischen IP gehabt - also händisch login .. jetzt habe ich die ganze Turk-Telekom gesperrt, jetzt kommen die scripte ...

bei jedem Angriff gehen meine sämtlichen Werte an die Grenze - CPU-Usage, Physical Memory, Entries ... und dann kracht die Seite ein ... Wenn ich den erwische, erwürge ich ihn händisch mit meinem Glasfaserkabel, aber das wird wohl nix werden ..

WP ist da auch nciht anders als viele andere ... Apache-Server, php-mysql ... C-Panel und ich habe recht viele Rechte auf meinem Serverschnitzel .. aber gegen Einzelangriffe kann mein Hoster nix tun -- das muß ich selber finden ..

Geruhsame Nacht und Gruß Britta

Gesendet: Freitag, 04. September 2015 um 01:18 Uhr Von: "Jakob Riepler" <jakob.riepler@gmail.com> An: "Metalab General Discussion List" <metalab@lists.metalab.at> Betreff: Re: [Metalab] bruteforce Attacken auf WP login ...

Am 04.09.2015 01:15 schrieb <BDuN@gmx.net>:

...

Hi alle,

seit 2 Tagen habe ich permanente Angriffe auf meine Login- oder admin- datei mittels eines Scriptes: Parser::Template::Auto=CODE(0x166bd998)

Als attackierende IPs fungieren entweder TOR-exits oder "normale" User meiner Seite ... die aber natürlich nicht schuldig sind, die werden durch dieses Script irgendwie ausgelesen und benutzt ...

Mein Hoster hat einen erstklassigen DDos-Schutz, aber gegen Brute-Force kann er nichts machen außer Cloudflare anbieten ... und das möchte ich vermeiden .. Cloud UND US-Unternehmen, wozu hoste ich da offshore ...

Ich habe C-Panel und kann ganz gut selbst IP-Ranges sperren etc - wenn ich sinnvolel IPs finde - aber gegen Parser bin ich machtlos, wie mein Hoster ..

kennt jemand von euch ein Script oder irgendwas, womit man Wordpress davor schützen kann ? Also gleich im Ansatz Scripts dieser Art verbieten, näherzukommen ? Nicht daß ich Angst hätte, daß sie reinkommen, ich habe ganz gute Passwörter, aber regelmäßig timeouts wegen Überlastung und damit verliert man massig Leser -- ich habe ein Limit von 20 Entries gleichzeitig und das ist gar nicht so wenig, wenn man einen guten DDos-Schutz möchte - aber die legen mir diese Scripts ein paar Mal am Tag lahm ..

irgend eine Ahnung ? Selbst wenn ich Tag und Nacht da sitze - ich kann nichts machen gegen TOR-Exits oder geclonte IPs meiner User ..

Ich hab leider nicht viel Erfahrung mit Wordpress aber ich weiß, dass es Listen mit Tor exit Nodes gibt (ist aber sicher keine Ideale Lösung, die alle zu sperren...)

...

Ratlose aber beste Grüße Britta

LG Jakob

_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab

_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab

hi Moritz, bin zwar schon ein wenig langsam im Lesen heute, habs aber, denke ich, einigermaßen verstanden, was du meinst .. ich habe einen Shared-Webspace mit einer Gemeinschafts-IP ... noch, wird auch noch eine Weile so sein, denn an sich komme ich damit aus - und wir haben einen ausgezeichneten DDos-Schutz inklusive ... das bedeutet aber auch, daß der Server recht zimperlich reagiert, wenn er auch nur vermeintlich angegriffen wird. Ich zB habe mit Chello eine statische IP und mußte mich extra whitelisten lassen, um an meiner Seite arbeiten zu können, ohne von Jolnir, so heißt mein Server, ausgesperrt zu werden - DAS funktioniert also ganz gut ... Würde also jemand in sehr kurzer Zeit - was scripte ja tun - versuchen, sich bei mir mit der selben IP einzuloggen, ist er automatisch für eine gute Stunde ausgesperrt - ich habe auch keine Angst, daß so ein Script mein Passwort knackt, das schaff oft nichtmal ich auf Anhieb beim Einloggen- es geht nur darum, daß sie mir mit vielen Zugriffen von verschiedenen !! IPs die Ressourcen lahmlegen .. und viele dieser IPs sind normale User von mir - dieses Script liest die irgendwie aus oder hat eine leere Variable drin, in die dann echte Besucher-IPs eingesetzt werden ??? kenn mich da nicht aus, halte sowas aber für möglich (es gibt sogar auf rennomierten Seiten Scripte zum Runterladen - die nennen sich "Brutforcer" und dergleichen - damit könnte sogar ich, wenn ich mich eine Stunde konzentriert hersetze, einen Angriff starten ... also keine Kunst) Selbst wenn ich die Login- und Admin-php-scripte verstecke - dafür gibts Programme - würde das nichts ändern, denn es geht um die permanenten Aufrufe, die den gleichen Schaden anrichten wie DDos, aber wie dieses vom Hoster nicht abgefangen werden können .. also selbst wenn ich den zusätzlichen Passwortschutz aktiviere, wie du gesagt hast - 3 x pro IP kann er darauf zugreifen und wenn er sämtlicht TOR-Exit-Nodes aktiviert - rechne das mal drei -bin ich nach dem zehnten Node wieder offline ... Alle Scripte, die ich bisher gefunden habe inkl Anfragen bei anderen WP-usern laufen also nur in die Richtung, ein Eindringen wie von Spammern zu unterbinden oder zu erschweren, nicht aber die Überlastung der Ressourcen abzuwehren und darum gehts .. auf mein .htaccess kann ich selber zugreifen, habe vergangenes Wochenende etliche Stunden mit einem Spezialisten vom Hoster verbracht, der mir erstens meine Seite optimiert hat ;-) - hat sich als Superadmin angemeldet und in meinen Widgets und Dateien gewütet, seither rennt die Seite wie geschmiert ;-) geht nix über Vertrauen er hat mir auch ein Mindestlimit für die Seite ins .htaccess geschrieben, damit läuft sie bei vielen Zugriffen stabiler, da keine Ressourcen von ihr zugunsten der User abgezogen werden, aber natürlich verringert das den Rest für die User --- bei normalem Tagesablauf reicht das aber mehr als aus, ... .. aber gegen Login-Attacken kann er auch nix machen ... Cloudflare oder ein anderer 3.-Anbieter oder sonstwie cachen .. mich wurmt das - da hast du so viel Technik und dann kann dich ein so ein Bengel mit einem Gratisscript den ganzen Tag beschäftigen und lahmlegen und du hast keine Chance, den zu finden oder gar zu blocken .. ich werds mir aber morgen ausgeschlafen nochmal durchlesen und das, was du da vorgeschlagen hast, auch meinem finnischen Second-Level-Sicherheitsmann meines isländischen Hosters senden ;-) wenn der Nachtdienst hat und keine Angriffe rollen, ist dem fad und er hilft gerne und unterhält sich über Trolle mit mir - aber da ist er auch ratlos, denn von Serverseite kann er nix machen und obwohl er sich mit WP ganz gut auskennt, weiß er da auch nix -- es bleibt mir nur, von meiner Seite etwas zu finden oder finden zu lassen, also passionierte Hacker fragen ;-) - habe gelesen, daß mehr als 23 % aller privaten Websites schon mit Wordpress laufen - klar ist das ein lohnendes Angriffsziel, aber genauso klar müßte da doch ausreichend Interesse bestehen, etwas Besseres zum Schutz zu entwickeln als Cloudflare meine Daten zu überlassen ... Wie gesagt - Glasfaserkabel ;-) aber kriegen müßt ich ihn halt erst .. und ich lese es mir ausgeschlafen noch mal durch natti natt - sagt man in Norge Grüße und Danke Britta

Gesendet: Freitag, 04. September 2015 um 02:33 Uhr Von: "Moritz Wilhelmy" <mw@barfooze.de> An: "Metalab General Discussion List" <metalab@lists.metalab.at> Betreff: Re: [Metalab] bruteforce Attacken auf WP login ...

Hallo Britta,

On Fri, Sep 04, 2015 at 01:13:59 +0200, BDuN@gmx.net wrote:

...

kennt jemand von euch ein Script oder irgendwas, womit man Wordpress davor schützen kann ? Also gleich im Ansatz Scripts dieser Art verbieten, näherzukommen ? Nicht daß ich Angst hätte, daß sie reinkommen, ich habe ganz gute Passwörter, aber regelmäßig timeouts wegen Überlastung und damit verliert man massig Leser -- ich habe ein Limit von 20 Entries gleichzeitig und das ist gar nicht so wenig, wenn man einen guten DDos-Schutz möchte - aber die legen mir diese Scripts ein paar Mal am Tag lahm ..

Falls da ein Apache läuft und dein Hoster .htaccess aktiviert hat (wovon ich ausgehe) könntest du auf die Login und Admin-Seiten mittels .htaccess ein Passwort setzen bzw. falls du eine statische IP hast die Seite nur für deine IP whitelisten.

Das zusätzliche Passwort hätte den Vorteil, dass im Hintergrund kein langsamer PHP-Prozess anläuft, der die Passwörter überprüft und dabei relativ viele Ressourcen frisst - mehr, als wenn Apache die Passwörter überprüft. Gegen Bruteforce-Attacken auf dieses zusätzliche Passwort schützt das natürlich nicht, aber ich denke dass es dein Problem lösen würde und eine einfache Methode dazu wäre.

Siehe hier: http://www.inmotionhosting.com/support/website/wordpress/lock-down-wordpress...

LG ente

_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab