Помощь Защита от взлома WP

[xsata]

Кто такие модули использует для защиты:
админки, скриптов, доступа?

 

[moredemons]

охотно верю, но для нормального проекта "бекенд чуть подтормаживает" это уже не есть гуд.

Действительно, гугл считает что ответ от сервера долгий когда 0.4 секунды респонс. А вплоть до 1.6с это даже по ощущениям долго )

 

[нарада]

Действительно, гугл считает что ответ от сервера долгий когда 0.4 секунды респонс. А вплоть до 1.6с это даже по ощущениям долго )

Ответ от сервера? ча? Там ведь написано "Загрузка сайта" причем здесь ответ от сервера?
ок, тема полезная, но в ней речь идет о Защите сайта.

 

[kavs]

Я админку блокирую по IP, запрещаю регистрацию новых пользователей. И все модули и компоненты либо с проверенных источников, либо проверяю ай-болитом.

 

[KomandorZS]

Большенство взломов сейчас через плагины , так что ставьте либо от офицыалов либо проверяйте по 10 раз )

 

[Null87]

Если обходиться без плагинов защиты, то можно просто придумать длинный логин и пароль (символов по 50), а так же изменить или удалить файл xmlrpc.php - именно через него и подбирают пароли. Я так и делаю. Ни разу не взламывали WP за долгие годы.

 

[Drake781]

Wordfence - кто юзал - хавтит ли его или еще что то потребуется?

Я юзаю. В целом неплохой плагин, много интересной информации показывает, но реальный функционал по защите платный.

 

[CreoKiev]

вообще, по хорошему, защититься нормально можно и ручками. главное что бы оные не кривые были.
пара подсказок:
1. генерируем новые ключи и соль для wp-config.php;
2. убить meta name="generator" в заголовках;
3. если WP установлен в какой то папке на хостинге - можно переместить файл wp-config.php в папку выше. это позволяется делать уже с версии 2.6;
4. защищаем wp-config.php через .htaccess;
5. никаких пользователей "admin" - убить сразу при установке;
6. при установке меняем префикс таблицы с wp_ на что то типа wp0y67_;
7. понятное дело юзать .htaccess и .htpasswd;
8. никто не отменял сложные пароли - это обязательно.
это тот минимум, который следует сделать сразу при установке. ну а если WP уже давно работает - тут могут быть вопросы только с пунктом 6. в идеале можно поменять, если есть доступ к базе и к wp-config.php, но если установлены какие то плагины, которые юзают базу - надо будет ковыряться, так как некоторые могут не работать.
ну и поискать плагин, который ограничивают вход в админку при каком то количестве неудавшихся попыток входа. если такой есть, ну или попробовать написать самостоятельно.

примерно так я защищаю свои WP сайты.

 

[vesak]

Я админку блокирую по IP, запрещаю регистрацию новых пользователей. И все модули и компоненты либо с проверенных источников, либо проверяю ай-болитом.

хороший вариант, если у самого статический IP адрес. Я админку дополнительно паролирую через .htaccess

 

[DzSoft]

Я к примеру получил в дар вот такой файлик

Спойлер: htaccess

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

# END WordPress

php_flag register_globals off

php_value disable_functions show_source
php_value disable_functions system
php_value disable_functions shell_exec
php_value disable_functions passthru
php_value disable_functions exec
php_value disable_functions phpinfo
php_value disable_functions popen
php_value disable_functions proc_open

#php_value open_basedir "/home/login/mysite.ru/public_html"
AddDefaultCharset utf-8
Options -Indexes
Options +FollowSymLinks
RewriteEngine On

########## Редирект 301 ##########
RewriteCond %{HTTP_HOST} ^Для просмотра ссылки Войди или Зарегистрируйся [NC]
RewriteRule ^(.*)$ Для просмотра ссылки Войди или Зарегистрируйся [R=301,L]

##################################
RewriteCond %{HTTP:Accept-Encoding} gzip
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_URI} !^/index.php
RewriteCond %{REQUEST_URI} (/|\.php|\.html|\.htm|\.feed|\.pdf|\.raw|/[^.]*)$ [NC]
RewriteRule (.*) index.php
RewriteCond %{HTTP_REFERER} !^http(s)?://([a-z0-9-]+.)*mysite.ru80)?(/.*)? [NC]
RewriteRule .*[Zz][Ii][Pp]$|.*[Rr][Aa][Rr]$ Для просмотра ссылки Войди или Зарегистрируйся [L,R]
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|\%3D) [OR]
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|[|%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} sbp(=|%20|%3D) [OR]
RewriteCond %{QUERY_STRING} sb_authorname(=|%20|%3D)

########## Блокируем плохие боты и роботы ##########
SetEnvIfNoCase user-Agent ^FrontPage [NC,OR]
SetEnvIfNoCase user-Agent ^Java.* [NC,OR]
SetEnvIfNoCase user-Agent ^Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) [NC,OR]
SetEnvIfNoCase user-Agent ^Microsoft.URL [NC,OR]
SetEnvIfNoCase user-Agent ^MSFrontPage [NC,OR]
SetEnvIfNoCase user-Agent ^Offline.Explorer [NC,OR]
SetEnvIfNoCase user-Agent ^[Ww]eb[Bb]andit [NC,OR]
SetEnvIfNoCase user-Agent ^Zeus [NC]
<limit get="" post="" head="">
Order Allow,Deny
Allow from all
Deny from env=bad_bot
</limit>

####### блокируем известные типы атак и программ, используемые для атак на сайты.#####
BrowserMatchNoCase ^libwww-perl blocktheaccess
BrowserMatchNoCase .*libwww-FM.* blocktheaccess
BrowserMatchNoCase ^wget blocktheaccess
BrowserMatchNoCase ^TeamSoft blocktheaccess
BrowserMatchNoCase &quot;^Express WebPictures&quot; blocktheaccess
BrowserMatchNoCase ^WebAuto blocktheaccess
BrowserMatchNoCase ^eCatch blocktheaccess
BrowserMatchNoCase ^InterGet blocktheaccess
BrowserMatchNoCase ^DOWNLOAD blocktheaccess
BrowserMatchNoCase ^Java1 blocktheaccess
BrowserMatchNoCase &quot;^Internet Ninja&quot; blocktheaccess
BrowserMatchNoCase &quot;^Teleport Pro&quot; blocktheaccess
BrowserMatchNoCase ^AllThumbs blocktheaccess
BrowserMatchNoCase ^Pockey-GetHTML blocktheaccess
BrowserMatchNoCase .*DnloadMage.* blocktheaccess
BrowserMatchNoCase .*HTTrack.* blocktheaccess
BrowserMatchNoCase .*WebLeacher.* blocktheaccess
BrowserMatchNoCase &quot;^Microsoft URL Control&quot; blocktheaccess
BrowserMatchNoCase ^Webdup blocktheaccess
BrowserMatchNoCase ^WebReaper blocktheaccess
BrowserMatchNoCase ^WebSauger blocktheaccess
BrowserMatchNoCase &quot;^Mister PiX&quot; blocktheaccess
BrowserMatchNoCase &quot;^Offline Explorer&quot; blocktheaccess
BrowserMatchNoCase &quot;^Download Ninja&quot; blocktheaccess
BrowserMatchNoCase ^Linkbot blocktheaccess
BrowserMatchNoCase &quot;.*Link Sleuth.*&quot; blocktheaccess
BrowserMatchNoCase ^SiteSnagger blocktheaccess
SetEnvIf Request_URI &quot;.*/phpwcms&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*/nonexistentfile.php$&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*/xmlrpc.php$&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*/adxmlrpc.php$&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*/cmd.php$&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*shell.php$&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*r57\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*c99\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*mod_pxt_latest\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*functions_mod_user\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*favorites\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*configuration\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*component\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*controller\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*router\.php&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*mosConfig_absolute_path&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*^(.*)CAST(.*)&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*^(.*)DECLARE(.*)&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*base64_encode.*\(.*\)&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*(\&lt;|%3C).*script.*(\&gt;|%3E)&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*GLOBALS(=|\[|\%[0-9A-Z]{0,2})&quot; blocktheaccess
SetEnvIf Request_URI &quot;.*_REQUEST(=|\[|\%[0-9A-Z]{0,2})&quot; blocktheaccess
SetEnvIfNoCase User-Agent &quot;^libwww-perl*&quot; blocktheaccess
Order deny,allow
Deny from env=blocktheaccess

####### / блокировки атак и программ#####
<FilesMatch "\.(js|css)$">
SetOutputFilter DEFLATE
</FilesMatch>
<IfModule mod_expires.c>
ExpiresActive On
ExpiresDefault A600
ExpiresByType image/x-icon A2592000
ExpiresByType application/x-javascript A604800
ExpiresByType text/css A604800
ExpiresByType text/javascript A604800
ExpiresByType image/gif A2592000
ExpiresByType image/png A2592000
ExpiresByType image/jpeg A2592000
ExpiresByType text/html A60
</IfModule>

пока никто не крошил сайт

 

[x_Asmo_x]

Login LockDown и в довесок в .htaccess, так же всю инфу с самого вордпресс и плагинов о версиях.