如果有人不断尝试登录我的WordPress管理面板，我该怎么办？

Question

我有一个使用WordPress开发的网站。

自过去3个月以来，有人不断尝试登录我的WordPress管理面板。他们使用的是不同的IP地址 EVERYTIME 。我认为他们正在使用：暴力攻击

出于安全目的，我正在使用＆＃34; Sucuri Security＆＃34;插件安装到我的网站，我也安装了＃34;限制登录尝试＆＃34;

来自＆＃34; Sucuri Security＆＃34;插件失败后，他们会向我发送消息：

消息如下所示：

  

1次登录尝试失败（1次锁定）来自IP：109.173.88.245

     

上次尝试的用户：管理员

     

1次登录尝试失败（1次锁定）来自IP：37.194.196.180

     

1次登录尝试失败（1次锁定）来自IP：83.174.209.143

现在，在最后45分钟，他们试图登录31次。

我现在该怎么办？

Answer 1

第一个也是最明显的答案：使用长而强的密码（随机字母，数字，最好是其他字符）。

如果您这样做，他们以这种特定方式访问您网站的机会接近于零。

考虑每小时或每年的登录尝试次数：

  

31次登录/ 45分钟=每分钟大约0.7次登录。

     

乘以一年中的小方数：

     

60分钟* 24小时* 365天=大约367次和920次登录尝试   在一年的时间里。

要获得一个好的密码，这个数字太小了，以至于“蛮力攻击”＃34;实际上是微不足道的。

如果您仍想提高安全性，我不会责怪您。如果是这样，您应该查看two factor authentication for WordPress的选项（即在您登录之前需要一些额外信息来确认您的身份的系统）。

PS：我没有亲自试过这些，但如果我在你的鞋子里，我可能会给Google Authenticator plugin一个机会。

Answer 2

使用强密码。 ：）

这种类型的事情一直在发生，不仅仅是针对网站，人们试图蛮力，smtp，pop3和imap服务器，ssh服务器，常用的应用程序，如Wordpress等。

最重要的是要确保如果使用密码验证，那些密码（所有密码！）都会抵制强力尝试。这意味着有足够的熵，即。足够长，从多个字符类，不使用字典单词等.10个字符长随机 密码用字母，大写字母和数字对暴力来说几乎是不可行的。

除此之外，您可以实现某种类型的主动监控，在几次密码尝试失败后禁止用户和/或请求IP地址一段时间等等。这些对策提高了攻击者的门槛，但强大了对于Wordpress网站来说，足够的非字典密码可能已经足够了。 （所以这是一个基于风险的事情。如果您可以损失的价值是10000美元，那么您不想花费50000美元来保护它。）

Answer 3

我的其中一个网站因登录尝试失败而不断受到轰炸。 IP地址不断变化 - 我确实有一个黑名单，但我不知道如果IP地址总是在变化，那么维持这个数据有多大价值。

我可以将管理员列入白名单，只允许从特定IP范围访问;我觉得这对网站的性质非常严格 - 免费服务。这是我为此网站收到的有关失败登录尝试的数千封电子邮件的屏幕截图 - 如果不是更多，则会持续一年以上。

Answer 4

我收到了相同的登录攻击电子邮件通知（一天将近50次攻击），并通过禁用xml-rpc.php

解决了

将此添加到主题或子主题function.php：

//disable XML-RPC

add_filter('xmlrpc_enabled', '__return_false');