这是一个创建于 3001 天前的主题，其中的信息可能已经有所发展或是发生改变。
看了下 WP 日志，有一大坨 "GET /wp-login.php HTTP/1.1" 200 的记录，每两次换一个 IP ，很明显是恶意访问。但问题是如果是尝试暴力破解密码不应该是 POST 吗？ GET 有什么用？看后面也没跟类似于 ?user=xxx&password=xxx 之类的参数。
频率大概几秒到几分钟一次，也远达不到 DDCC 。
所以这种攻击究竟在干什么呢？
177.135.125.206 - - [13/Aug/2016:05:13:00 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
177.135.125.206 - - [13/Aug/2016:05:13:01 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
89.211.148.154 - - [13/Aug/2016:05:14:31 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
89.211.148.154 - - [13/Aug/2016:05:14:32 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
78.98.40.39 - - [13/Aug/2016:05:14:53 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
78.98.40.39 - - [13/Aug/2016:05:14:54 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
109.242.65.92 - - [13/Aug/2016:05:15:50 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
109.242.65.92 - - [13/Aug/2016:05:15:53 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
190.209.182.227 - - [13/Aug/2016:05:16:19 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
190.209.182.227 - - [13/Aug/2016:05:16:20 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
2a01:cb04:80c:4200:6df1:44b1:d7fa:79f4 - - [13/Aug/2016:05:18:13 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
2a01:cb04:80c:4200:6df1:44b1:d7fa:79f4 - - [13/Aug/2016:05:18:14 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
 |
1
crab 2016-08-28 17:18:04 +08:00
判断是不是 wp 博客程序吧
|
 |
2
Quaintjade OP @crab
但只要访问一两次就够了吧，这个总共访问了大约 2000 多次…… |
 |
3
zhaoxiting1997 2016-08-28 20:36:31 +08:00
估计不是每两次换一个 ip ，是有很多 ip 都在用某种扫描程序扫全网。。。
|
 |
4
ivmm 2016-08-28 20:40:05 +08:00
屏蔽 UA 吧
|
|
5
Quaintjade OP @zhaoxiting1997
你的意思是这些 IP 互相之间不知道某个网站已经被扫过了，所以重复扫描？ 但是从时间上看各个 IP 都是连续的，不会同时一起扫，也不会相隔很长时间，看起来应该是一起的。 @ivmm 封起来不难。但我很好奇这些 IP 究竟想做什么事情。 |
 |
6
peartail 2016-08-28 23:53:28 +08:00 via iPad
试试用 .htaccess 禁止访问 wp-login.php
或者安装 CloudFlare |
 |
7
ranran 2016-08-29 01:36:23 +08:00
以前也是看着超级不爽，装个防暴力破解的也是天天有来暴力的，于是分析了日志后写了个插件，就全部消灭了（主要是访问消耗资源啊，虽然很少，但是就是不爽资源浪费在这种地方）
|
 |
8
gulucn 2016-08-29 09:28:24 +08:00
我用 fail2ban ，每天都会封掉几个新 IP 。
|
 |
9
llrg222 2018-09-25 00:19:13 +08:00
修改 WordPress 登陆文件名 wp-login.php ，防密码被暴力破解
可能有人在碰瓷 |
Select Language