Vulnerabilidade do Wordpress - CRITICO

[sabenada]

Eu agradeço a dica do LucianoZ porém aqui o ataque chega na porta 80 e 443, ou seja com ou sem SSL.

Se fosse só na porta 80 uma regra no apache/nginx etc resolvia o problema, mas não é. 

Não está fácil bloquear de vez. 

[Fernando Rafs]

2 minutos atrás, LucianoZ disse:

Sim modSecurity também não resolve, unica coisa que resolveu foi o regex.
Depois deixe seu feedback se resolveu totalmente.

Claro, vou deixar alguns servidores com esta solução ativa, para comparar com outros durante o dia de amanhã, então amanhã a noite já poderei retornar com algum feedback a respeito.

[sabenada]

2 minutes ago, LucianoZ said:

Sim modSecurity também não resolve, unica coisa que resolveu foi o regex.
Depois deixe seu feedback se resolveu totalmente.

Aqui o mod_security "apenas" devolve a botnet erro http, não deixando a botnet acessar o wp-login.php.

Ou seja, a botnet perde tempo - e desestimula a botnet continuar - mas é claro, o mod_security não vai impedir da botnet sobrecarregar o servidor.

Além disso o mod_security está impedindo que a botnet tenha sucesso, porque se algum cliente colocar senha "abc123" iria ter o site hackeado.

Mas pelo visto cada caso é um caso.

[LucianoZ]

13 minutos atrás, sabenada disse:

Eu agradeço a dica do LucianoZ porém aqui o ataque chega na porta 80 e 443, ou seja com ou sem SSL.

Se fosse só na porta 80 uma regra no apache/nginx etc resolvia o problema, mas não é. 

Não está fácil bloquear de vez. 

Suspeito que no caso ai seja outro estilo de ataque, pois os que tenho recebido todos são via porta 80.

[chuvadenovembro]

Testando sua dica aqui @LucianoZ, agora pela noite começou um novo ataque em 3 servidores, mas no final de tarde tive um realmente forte que quase deixou o servidor indisponível...

[NullRoute]

3 minutos atrás, chuvadenovembro disse:

Testando sua dica aqui @LucianoZ, agora pela noite começou um novo ataque em 3 servidores, mas no final de tarde tive um realmente forte que quase deixou o servidor indisponível...

Acabo de receber um ataque em 1 servidor nesse exato momento, infelizmente para mais de 3 sites o que realmente elevou o load a um nível crítico.

[Jefferson]

No WHT existe um tópico que não me recordo agora, com a seguinte regra para o IPTABLES que bloqueia este ataque. Está na "lista" para efetuarmos os testes quando ocorrer novamente um ataque ao wp-login.php.

Para quem quiser testar e postar o resultado:

Citar

iptables -I INPUT -p tcp --dport 80 -m string --string "Log+In&testcookie=1" --algo kmp -j DROP

 

[NullRoute]

4 minutos atrás, Jefferson disse:

No WHT existe um tópico que não me recordo agora, com a seguinte regra para o IPTABLES que bloqueia este ataque. Está na "lista" para efetuarmos os testes quando ocorrer novamente um ataque ao wp-login.php.

Para quem quiser testar e postar o resultado:

 

Aqui não funcionou.

[chuvadenovembro]

Sobre a dica do Luciano, eu estava recebendo um ataque em um servidor e mantenho o nginx desativado, fiz a configuração e ativei ele, a carga caiu e os processos de login diminuíram, concluo que deu certo...

[NullRoute]

A maior "merd**" é para quem não utiliza Nginx (como eu) rs..
Load que não passa de 1.21 está em 70 ¬¬