Wij bij Trafego hosten om en nabij de 27000 wordpress websites en hebben de laatste maanden dan ook enorm veel overlast ervaren hiervan. Door onze shared pools met load balancing bleven onze servers wel online maar de VPS huurders met bijvoorbeeld 50/60 wordpress websites hebben nagenoeg dagelijks overlast hiervan tot complete server downtime toe.
Tot heden is er op netwerk niveau weinig tegen te filteren, het botnet bestaat uit meer dan 90.000 computers (en dus ook IP adressen) welke georganiseerd aanvallen uitvoeren. Heb je het ene ip geweerd staan de volgende 25 IPs al aan je virtuele admin deur.
hier enkele tips welke bij ons tot heden effectief helpen:
Er zijn enkele mogelijkheden die u zelf kunt uitvoeren binnen uw WordPress omgeving om de aanvallen “af te kaatsen”.
Door het wijzigen van enkele bestanden geeft u de “bot” het idee dat er geen wordpress meer is, of voldoende beveiligd is.
Stap 1: Wijzig uw inlognaam indien u de usernaam “admin” gebruikt naar een compleet andere naam
Stap 2: Wijzig uw wachtwoord naar een sterk wachtwoord.
Stap 3: Login op uw FTP (of filemanager) en wijzig het bestand “wp-login.php’ naar bijvoorbeeld “login.php”
Stap 4: Open het bestand “login.php” (heeft u net gerenamed) met een editor naar keuze en vervang alle “wp-login.php” verwijzingen in het bestand naar login.php
Stap 5: Open het bestand “functions.php” in uw themamap. Als er geen function.php is kunt u die aanmaken.
Code: Selecteer alles
//register url fix add_filter(‘register’,'fix_register_url’); function fix_register_url($link){ return str_replace(site_url(‘wp-login.php?action=register’, ‘login’),site_url(‘login.php?action=register’, ‘login’),$link); } //login url fix add_filter(‘login_url’,'fix_login_url’); function fix_login_url($link){ return “/login.php”; } //forgot password url fix add_filter(‘lostpassword_url’,'fix_lostpass_url’); function fix_lostpass_url($link){ return “/login.php?action=lostpassword”; } //Site URL hack to overwrite register url add_filter(‘site_url’,'fix_urls’,10,3); function fix_urls($url, $path, $orig_scheme){ if ($orig_scheme !== ‘login’) return $url; if ($path == ‘wp-login.php?action=register’) return site_url(‘register’, ‘login’); return $url; } – See more at: http://www.firsttracksmarketing.com/website-development/how-to-protect-your-wordpress-site-from-brute-force-attacks.html#sthash.eqVVUIrI.dpuf
