Wordpress, Joomla brute force login védelem

Ha jól értem, akkor 10 perc alatt 5db belépésnél büntetsz. Szerintem ha próbálkoznak, akkor jóval sűrűbben jönnek a kérések.

https://bitninja.io/

"If I had six hours to chop down a tree, I'd spend the first four hours sharpening the axe."

A tulajok egyébként főképp magyarok, vagy teljesen változó?
Olykor abból is lehet profitálni, hogy ilyen kicsi ország vagyunk. Tudom, hogy 2016 meg nem olyan szép megoldás, de a fail2ban-hoz tudsz csinálni olyan ignore list-et / action-t ami mellőzi a magyar IP-ket. (tudom proxy, tudom tor, de itt nyilván botnet támadásról van szó)

"If I had six hours to chop down a tree, I'd spend the first four hours sharpening the axe."

fail2ban-nal akarsz DDoS kivedeni? :D Azert az eleg vicces.

Ha tenyleg elkezdenek DDoSolni mar mint rendesen akkor elobb fog a szervered osszeomlani out of memory-val mint ,hogy a failban megtudna vedeni vagy fognak egy 404-es oldalt elkezdenek random requestekkel tolni ,hogy kihaljon a HTTP szerver.

Ilyen ha DDoSolnak:
https://www.dropbox.com/s/y46tpksq4uj4aua/Screenshot%202016-12-16%2020…

--
"ssh in a for loop is not a solution" – Luke Kanies, Puppet developer

En most bevezettem, hogy apache + geoip vel .hu esetleg .us meg .eu, sokat tud segiteni :>

Fedora 25, Thinkpad x220

Nem akarom ismételni magam, se reklámot csinálni, de fentebb már említettem a BitNinját

https://bitninja.io/

.
Egy ideje már használom, igazán jó tapasztalataim vannak vele. Tökéletesen az olyan problémákra (is) van, mint amit te is említettél.
Ha a Kandós Proci85 vagy, akkor szegről-végről már ismerjük is egymást, talán jövök is neked eggyel, (egy matek tárgyam tkp. miattad lett meg :D) írj és segítek beállítás és account ügyben is akár! ;)

"If I had six hours to chop down a tree, I'd spend the first four hours sharpening the axe."

1: csak érdekességképp megnéztem egy (legfrissebb verziójú) wp oldalam admin logját, és abban egy kérés sem jött a wp-login.php-ra a ki- és bejelentkezéseken kívül, ergo - annak ellenére amit fentebb írsz - az adminok benti matatása nincs erre ráhatással. vagyis én mindenképpen ezt az url-t külön kezelném és a default maxretry-t én a helyedben 3-ra tenném a wp-login.php esetén, és az időkeretet is feljebb venném (ha azt látod, hogy az ip-k változnak, de egy órán belül azért vissza-visszatérnek, akkor mehet a findtime egy órára). pont a napokban javasoltam egy alternatív, loop-szerű megoldást, amivel a tényleg bénákat hosszú távon el lehet különíteni a botoktól (lehet, hogy minimális effort lesz, hogy vkit manuálisan unbanolj, de hát ez belefér szvsz).

2: az xmlrpc.php az api végpont. ergo ezt se nagyon kéne az adminok "benti" tevékenysége érintse.

3: gondolom a felesleges terhelést okozó próbálkozások java pontosan ezekre az url-ekre jönnek. ergo egy $ a regex végére, és ezáltal is lehet még elkülöníteni próbálkozásokat.

4: ha jól emlékszem, Joomla esetében nem a /administrator url-re szűrtem, hanem az "authentication failure." szövegre. ezzel is elkerülhető, hogy az adminjaid "benti" matatásával összekeverd a tényleges próbálkozásokat. de lehet, hogy ehhez már külön plugint használtam? sajnos nem emlékszem, rég volt :-/

5: ha a logjaid külön vannak, keresstess a fail2bannal egyszerre többen!

Egyre több portálmotor már telepítésénél javasolja, hogy ne default címen legyen az admin login.
WP-hez (gondolom máshoz is) van bővítmény, ami kimondottam az admin felületet védi.
Már találkoztam szolgáltatónál, és mi is alkalmazzuk, hogy webszerver segítségével teszünk egy egyszerű jelszavas védelmet az admin felületekre. Ha a user/passwd is a domain név, akkor is 100%-os a védelem az eddigi kb 3 éves tapasztalat alapján.
Vannak publikus feketelisták olyan címekkel, amikről támadják az oldalakat. Ezekre is lehet szűrni.
Szóval egészen egyszerű, ingyenes eszközökkel vissza lehet szorítani az ilyen terheléseket.
Az ügyfélnek is érdeke, hogy gyors legyen az oldala, ezért meg lehet kérni, egy plugin telepítésére, vagy egy plusz jelszó megadására.

Érdemben nem tudok hozzászólni, de mondjuk kínát és koreát nem árt rögtön kizárni, index.php-ba írva ez bejön:

$latogato=gethostbyaddr(GetIP());

#korea hanyagolasa
if (substr_count($latogato,'.kr')>=1) header("Location: http://www.disney.com");

#kina hanyagolasa
if (substr_count($latogato,'.cn')>=1) header("Location: http://www.disney.com"); 

---
--- A gond akkor van, ha látszólag minden működik. ---
---

Bár tudom, hogy ez nem megoldás neked de hátha hasznos lehet ötlet szinten. Én csak a saját céges pár oldalunkat védtem le, úgy hogy csak bizonyos ip címekről engedem a hozzáférést+fail2ban. A bejövő http/https kéréseket pedig varnish-al kezelem, bár az itt most nem releváns azt hiszem. A document rootban lévő .htacces tartalma:

Kézi megoldás de nekem bevált az illetéktelen próbálkozásoknál. Természetesen utána bannolva vannak akik nem oda illenek.

RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
RewriteCond %{REQUEST_URI} ^(.*)?wp-login\.php(.*)$ [OR]
RewriteCond %{REQUEST_URI} ^(.*)?wp-admin$
RewriteCond %{REMOTE_ADDR} !^xxx\.xxx\.xxx\.xxx$
RewriteCond %{REMOTE_ADDR} !^yyy\.yyy\.yyy\.yyy$
RewriteRule ^(.*)$ - [R=403,L]

fail2banban van lehetoseg ip whitelistre, felveszed az admin(ok) ip tartomanyait.

vagy akar csinalsz egy sajat cuccot, az admin meg eloszor megnyitja a http://teipd/engedelyezz-a-fail2banban.php oldalt, ami liveban felveszi a whitelistre (vagy irsz egy wrapper az iptables elott, ami nem tiltha ki az ipt aki meglatogatta ezt az oldalt)

--
A vegtelen ciklus is vegeter egyszer, csak kelloen eros hardver kell hozza!

Tegyél be a login oldal elé egy basic auth-ot. A 401 szerintem elijeszti a botokat, mivel nem látnak WP oldalt. Akkor brútolnak ha látják, hogy ott egy valódi WP admin oldal rejtőzik.

Persze lehet, hogy nekiesnek a basic auth-nak is, de kevésbé tartom valószínűnek, és a terhelés is kisebb lesz. Ráadásul arra valszeg egyszerűbb fail2ban -t konfigolni.