Como estão os ataques ao wp-login.php por ai???

[LucianoZ]

3 minutos atrás, adamkain disse:

Aquela dica que deram no outro tópico, do Engintron parece segurar bem esses ataques...

Segura sim, só que querendo ou não tudo que chegue ao servidor causa alguma carga, o ideal seria uma camada de firewall antes do servidor.

[Fernando Ferenz]

Aqui tivemos que implementar umas regras antes de chegar nos servidores em camada layer 7 post/get nas /wp-login.php etc...

Resolveu 100%.

E a quem quiser os IPs da botnet a gente coletou mais de 2.000 IPs que este ataque usa, talvez pode ser útil para alguém efetuar bloqueios, ai pode entrar em contato comigo via MP.

[chuvadenovembro]

40 minutos atrás, Fernando Ferenz disse:

Aqui tivemos que implementar umas regras antes de chegar nos servidores em camada layer 7 post/get nas /wp-login.php etc...

Resolveu 100%.

E a quem quiser os IPs da botnet a gente coletou mais de 2.000 IPs que este ataque usa, talvez pode ser útil para alguém efetuar bloqueios, ai pode entrar em contato comigo via MP.

Fernando, eu tenho interesse sim nesses ips, obrigado desde já 

[silas_i]

Aqui tivemos que implementar umas regras antes de chegar nos servidores em camada layer 7 post/get nas /wp-login.php etc...
Resolveu 100%.
E a quem quiser os IPs da botnet a gente coletou mais de 2.000 IPs que este ataque usa, talvez pode ser útil para alguém efetuar bloqueios, ai pode entrar em contato comigo via MP.

Também tenho interesse


Enviado do meu iPhone usando Tapatalk

[Guilherme Siqueira]

2 horas atrás, owsbr disse:

Aqui sofro alguns dias, outros não...
Servidores que mantem uma média de 1.67 de load sobem para 9/11.... ai já fico meio assustado.

Algo que deu um "jeito" foi criar a regra no ModSecurity onde bloqueia tudo vindo de Python-Request que é onde a "brincadeira" ocorre.
Tenho pensado fortemente em migrar as +1000 contas para trás do CloudFlare e barrar tudo por lá.

Algo que faço para clientes mais exigentes é travar acesso a wp-login.php / wp-admin/* e liberar apenas para o IP do cliente (dentro do CloudFlare).
 

O grande X da questão é que o filho de uma p** usa BotNet-BR...ai tem complicado bastante.

Como seria feita, em massa, essa passagem para o CloudFlare? Ou seria feito manualmente?

[NullRoute]

2 horas atrás, Guilherme Siqueira disse:

Como seria feita, em massa, essa passagem para o CloudFlare? Ou seria feito manualmente?

100% manual, não consigo inserir os domínios automaticamente no CloudFlare então teria que ir criando um a um...aos poucos...
Seria cansativo no começo mas extremamente proveitoso depois de tudo feito pois ai via API consigo aplicar as regras de bloqueio.

[chuvadenovembro]

31 minutos atrás, owsbr disse:

100% manual, não consigo inserir os domínios automaticamente no CloudFlare então teria que ir criando um a um...aos poucos...
Seria cansativo no começo mas extremamente proveitoso depois de tudo feito pois ai via API consigo aplicar as regras de bloqueio.

Mas se mudar o ip do servidor, vai ser tenso precisar editar tudo novamente, não? (Apesar disso, se ficar sossegado durante o periodo dos ataques, talvez está valendo hehehe)

[Guilherme Siqueira]

35 minutos atrás, owsbr disse:

100% manual, não consigo inserir os domínios automaticamente no CloudFlare então teria que ir criando um a um...aos poucos...
Seria cansativo no começo mas extremamente proveitoso depois de tudo feito pois ai via API consigo aplicar as regras de bloqueio.

Seria interessante algum sistema ou API que possibilitasse essa mudança em massa. Seria uma ótima ferramenta.

[DELTA SERVERS]

Boa noite!

Aplicamos em todos os nossos servidores de revenda e hospedagem de sites o BitNinja e sanou os problemas de ataques, vários tipos no caso, para clientes cujo tem servidores com cPanel conosco e não tem condições ou não aderem ao BitNinja, aplicamos permissão 400 ao wp-config.php e as regras abaixo ao .htaccess:

# Negar acesso ao wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>

# Mitigação temporária de força bruta
SetEnvIfNoCase User-Agent "python-requests" bad_user
Deny from env=bad_user

Em 100% dos casos sanou na hora os ataques aos wp-admin.

Segue abaixo um demostrativo apenas de hoje:

Editado Março 27, 2019 por DELTA SERVERS

[NullRoute]

4 minutos atrás, chuvadenovembro disse:

Mas se mudar o ip do servidor, vai ser tenso precisar editar tudo novamente, não? (Apesar disso, se ficar sossegado durante o periodo dos ataques, talvez está valendo hehehe)

Então, via API ele permite fazer isso. 
Tenho brincado muito com a API do CloudFlare que é bastante completa e funcional até mesmo para os planos FREE.