Atak na wp-login.php i bardzo proste rozwiązanie

Dzisiejszy dzień zaczął się dla mnie dość dziwnie. Poranne spotkanie z klientem skończyło się przed czasem z powodu nie działania serwisu testowego! Co dziwne, czasem coś się pojawiało, czasem nic. Generalnie dość nieprzyjemna sytuacja, biorąc pod uwagę, działo się to na prezentacji serwisu, krótko przed odbiorem.

A że serwis testowy jest jedną z witryn w sieci blogów, do której należy również ta witryna, to również ona nie działa.

Szybkie logowanie na serwer pozwala ustalić przyczynę.
Do pliku

wp-login.php

leciało i leci kilka zapytań na sekundę, jako spreparowane próby zalogowania się.

Dane oczywiście słownikowe typu:

administrator cheetah
administrator older
administrator sabres
administrator some
admin wings
iworks beaches
iworks greenbay
iworks legacy
iworks pothead
iworks spice

Serwer www oczywiście bez kłopotu to przyjmował, ale niestety proces fcgi już nie dawał rady z obsługiwaniem takiej liczby zapytań.

Rozwiązanie jest bardzo proste:

Należy zmienić nazwę pliku wp-login.php na inną.

No taaaak.

Ja się zaloguję, ale co z klientami? Z idącym cały czas atakiem nie ma problemu, bo to nie jest próba logowania na adres, który otrzymujemy po próbie dostępu do zasobu wp-admin, tylko brutalne wysyłanie metodą POST.

Tutaj na pomocą przychodzi filtr site_urlFunction Reference/site_url, który można wykorzystać do zmiany docelowego pliku wykonującego logowanie.
W celu zapewnienia wyświetlania poprawnej strony po wylogowaniu skorzystać należy z filtra wp_redirectFunction Reference/wp_redirect.

Kod obsługujący:

class iWorks_WP_Login_Redirect
{
    private $login_prefix = 'vuushiep-';
    public function __construct()
    {
        add_filter( 'site_url', array( &$this, 'site_url' ), 10, 2 );
        add_filter( 'wp_redirect', array( &$this, 'wp_redirect' ), 10, 2 );
    }
    public function site_url( $url, $file )
    {
        if ( 'wp-login.php' == $file ) {
            return preg_replace( '/wp-login/', $this->login_prefix.'wp-login', $url );
        }
        return $url;
    }
    public function wp_redirect( $location, $status )
    {
        if ( 'wp-login.php?loggedout=true' == $location ) {
            return preg_replace( '/wp-login/', $this->login_prefix.'wp-login', $location );
        }
        return $location;
    }
}
new iWorks_WP_Login_Redirect();

Cały kod mikro-wtyczki możesz pobrać i używać do woli.

Bardzo ważne!

Zmień nazwę pliku wp-login.php na taki który będzie zgodny z tym co używa załączony kod, tutaj vuushiep-wp-login.php

Łukasz zwrócił uwagę na dość istotną kwestię. Jeżeli nie macie CGI, tylko standardowy serwer www, to zawartość pliku

wp-login.php

wymienić na następujący kod:

<?php
header("HTTP/1.0 404 Not Found");

Aktualizacja 2013-09-25 20:30

Można dodać do serwera regułę banującą dostęp do pliku wp-login.php w celu uniknięcia dostępu do niego po aktualizacji i co za tym idzie odtworzeniu pliku.

Konfiguracja dla nginxa:

location ~ ^/wp-login\.php {
    deny all;
}

konfiguracja dla apache’a:

<files wp-login.php>
deny from all
</files>

Aktualizacja: 2014-11-21

Ja u siebie (nginx) nie kasuję pliku wp-login.php a tylko tworzę do niego symlinka. W rezultacie plik zawsze jest aktualny. Dostęp do niego jest zakazany w konfiguracji wirtuala (nginx).

Aktualizacja: 2016-09-21

Zamiast kasować/zmieniać nazwę pliku wp-login.php lepiej jest zrobić symlinka do pliki wp-login.php oraz zablokować sam plik wp-login.php w konfiguracji wirtuala lub za pomocą pliku .htaccess.

Po zalogowaniu się i przejściu do odpowiedniego folderu:

ln -s wp-login.php vuushiep-wp-login.php