Vulnerabilidade do Wordpress - CRITICO

[Jefferson]

2 minutos atrás, owsbr disse:

A maior "merd**" é para quem não utiliza Nginx (como eu) rs..
Load que não passa de 1.21 está em 70 ¬¬

Efetue o bloqueio do acesso ao arquivo wp-login.php via Apache em todo o servidor enquanto procura e testa outras soluções.

WHM > Configuração de serviço > Configuração do Apache > Include Editor > Pre VirtualHost Include

Citar

<Files ./wp-login.php>
Order Allow,Deny
Deny from all
</Files>

 

[chuvadenovembro]

8 minutos atrás, owsbr disse:

A maior "merd**" é para quem não utiliza Nginx (como eu) rs..
Load que não passa de 1.21 está em 70 ¬¬

Eu deixo o Engintron  instalado em alguns servidores e só ativo ele em caso de necessidade...

[Fernando Rafs]

21 minutos atrás, chuvadenovembro disse:

Sobre a dica do Luciano, eu estava recebendo um ataque em um servidor e mantenho o nginx desativado, fiz a configuração e ativei ele, a carga caiu e os processos de login diminuíram, concluo que deu certo...

@chuvadenovembro aqui ocorreu o mesmo, minutos atrás em 2 servidores, que inclusive o CloudLinux barrou até os clientes de acessarem seus websites, com a famosa mensagem de limite atingido, ou seja prejudicando o cliente. Implantamos as configurações do nosso amigo@LucianoZ e simplesmente a carga baixou e muito e os websites dos clientes voltaram a ser acessados novamente, então concluo que também funcionou.

Mas notei que o cliente que ainda não ativou SSL na conta, ao tentar acessar o wp-login.php sem HTTPS, vai ser retornado a mensagem "403 Forbidden", o cliente conseguirá acesso apenas com HTTPS, o que é mais fácil de se lidar, já que o SSL já está ativo, basta o cliente configurar em sua aplicação (o que já deveria ser feito).

[NullRoute]

Agora, chuvadenovembro disse:

Eu deixo o Engintron  instalado em alguns servidores e só ativo ele em caso de necessidade...

Meu problema com Nginx (no geral) seriam os plugins de segurança (Pyxsoft) por exemplo que até então não funciona com Nginx instalado apenas com apache puro.

6 minutos atrás, Jefferson disse:

Efetue o bloqueio do acesso ao arquivo wp-login.php via Apache em todo o servidor enquanto procura e testa outras soluções.

WHM > Configuração de serviço > Configuração do Apache > Include Editor > Pre VirtualHost Include

 

Irei testar, obrigado pela dica.

[caiocaz]

Agora, Fernando Rafs disse:

@chuvadenovembro aqui ocorreu o mesmo, minutos atrás em 2 servidores, que inclusive o CloudLinux barrou até os clientes de acessarem seus websites, com a famosa mensagem de limite atingido, ou seja prejudicando o cliente. Implantamos as configurações do nosso amigo@LucianoZ e simplesmente a carga baixou e muito e os websites dos clientes voltaram a ser acessados novamente, então concluo que também funcionou.

Mas notei que o cliente que ainda não ativou SSL na conta, ao tentar acessar o wp-login.php sem HTTPS, vai ser retornado a mensagem "403 Forbidden", o cliente conseguirá acesso apenas com HTTPS, o que é mais fácil de se lidar, já que o SSL já está ativo, basta o cliente configurar em sua aplicação (o que já deveria ser feito).

O acesso somente será possível com SSL a porta 80 foi bloqueada para este arquivo wp-login.php, pois é onde o ataque ocorre .

[NullRoute]

9 minutos atrás, Jefferson disse:

Efetue o bloqueio do acesso ao arquivo wp-login.php via Apache em todo o servidor enquanto procura e testa outras soluções.

WHM > Configuração de serviço > Configuração do Apache > Include Editor > Pre VirtualHost Include

 

[Fernando Rafs]

5 minutos atrás, owsbr disse:

Meu problema com Nginx (no geral) seriam os plugins de segurança (Pyxsoft) por exemplo que até então não funciona com Nginx instalado apenas com apache puro.

Irei testar, obrigado pela dica.

Utilizamos Pyxsoft com Nginx/Engintron há anos, e funciona normalmente, mesmo o desenvolvedor falando o contrário, claro que alguns ajustes podem ser necessários por parte do SysAdmin

[chuvadenovembro]

Eu tentei achar alguma noticia em algum forum ou site gringo falando sobre esse problema principalmente nos ultimos dias, mas não consegui achar nada, procurava por "attack, ddos, wp-login, wordpress" entre algumas outras palavras, filtrava por 24 horas, ultima semana, mas não encontrei nada relevante, somente sugestão de renomear o arquivo wp-login.php

[Fernando Rafs]

Eu tentei achar alguma noticia em algum forum ou site gringo falando sobre esse problema principalmente nos ultimos dias, mas não consegui achar nada, procurava por "attack, ddos, wp-login, wordpress" entre algumas outras palavras, filtrava por 24 horas, ultima semana, mas não encontrei nada relevante, somente sugestão de renomear o arquivo wp-login.php

Fiz o mesmo kkkk, não achava nada, apenas relatos de amigos, mas após o nosso amigo aqui do forum disponibilizar sua solução, ficou mais fácil, até agora os servidores que estavam sob ataque estao estáveis e com load baixo.

Quando era apenas IPS do exterior era mais fácil lidar, até mesmo com um simples htaccess, mas agora com IPs Brasileiros a coisa apertou.

[caiocaz]

Pessoal quem não tem NGINX tenta usar esta regra no ModSecurity.

 

Editar o arquivo:
/etc/apache2/conf.d/modsec/modsec2.user.conf

Inserir:
SecRule REQUEST_HEADERS:User-Agent "python-requests" "id:3000001,phase:1,deny,status:402,log,t:lowercase,chain,msg:'blocked python-requests'"
SecRule REQUEST_FILENAME "wp-login.php"

Reiniciar serviço:
service httpd restart

 

Resolveu aqui.