DDOS napad na WordPress instalacije i password

U toku je veliki DDOS napad na sve WordPress instalacije, a sastoji se od brute-force pokušaja probijanja passworda. Ne samo mi, svi web hosteri na svijetu imaju u ovom trenutku problema s time. DDOS napad je jako dobro pripremljen i organiziran, a u ovom trenu zabilježeno je preko 100.000 ip adresa uključenih u ovaj napad.

Promijenite password svih WordPress instalacija

Ako imate ili održavate WordPress, prvo što bi trebalo hitno napraviti je promijeniti admin password od svih WordPress instalacija. Passworde ne ostavljajte jednostavnim, nego koristite najmanje 10 znamenaka, koristite velika i mala slova, obavezno koristite i specijalne znakove (^% $ # & @ *). Više informacija o ispravnom kreiranju lozinke pročitajte ovdje.

Kako izgleda DDOS napad

DDOS napad je počeo početkom tjedna. Naime mi cijelo vrijeme primjećujemo neki određeni broj pokušaja loginova na wp-admin.php, no početkom tjedna to je naraslo na preko 50 requestova po sekundi. Simptomi su sporo učitavanje weba i spor ili totalno neupotrebljiv backend, a u peakovima napada web site prestaje raditi u potpunosti. To izgleda otprilike ovako:

Mi smo još na početku napada počeli raditi filtere, pokušavali DDOS napad mitigirati i ublažiti posljedice, no zbog magnitude i vrste napada, serveri povremeno postaju neresponzivni, a webovi prestaju raditi. Ništa ne pomaže niti način na koji WordPress logira korisnike, niti 404 stranica koja je često dinamička i ide kroz index.php na WordPressu.

Ono što možete napraviti, ne bi li sebi i nama olakšali situaciju je:

• ODMAH izmijeniti password za WordPress instalaciju u neki znatno kompliciraniji, koristeći mala slova, brojeve i znakove.
• Passwordom zaštiti “wp-login.php” datoteku prateći upute na dnu ovog posta.
• Instalirati plugin za rate limiting loginova.
• Instalirajte w3 Total Cache ili WP Super Cache, ne bi li instalaciju WordPressa učinili otpornijom
• Koristite CloudFlare, možete ga instalirati jednostavno iz cPanela, a čak i u besplatnom modelu pruža zaštitu od ovakvih napada

Updateat ćemo ovaj blog post kako budemo dolazili do novih informacija.

Zaštita wp-login.php datoteke

Unutar cPanela klikom na “Password Protected Directies” odaberite direktorij koji želite zaštiti (odaberite public_html)

Unutar ekrana koji će vam se otvoriti, pod “Create User:” odaberite korisničko ime i lozinku. Provjerite da je “Snaga” lozinke (“Strength”) iznad 80%. Pomoću “Password Generatora” možete generirati lozinke koje će biti Snage 100%. (Svakako zapišite tu lozinku.)

Potom kroz File Manager , FTP ili kroz SSH navigirajte do direktorija gdje se nalazi vaša WordPress instalacija i kreirajte datoteku naziva “.htaccess”.
Potom otvorite tu datoteku i u nju ubacite sljedeći kod:

AuthType Basic
AuthName “Login required”
AuthUserFile “/home/<VAŠ USERNAME>/.htpasswds/public_html/passwd”
ErrorDocument 401 default
# Autentikacija za wp-login i wp-admin
<Files “wp-login.php”>
require valid-user
</Files>

* “VAŠ USERNAME” je vaše cpanel korisničko ime.