Массовая атака на сайты, работающие на CMS WordPress и Joomla

Последние 2 суток идёт глобальная атака на сайты работающие на WordPress и Joomla. Целью атаки является подбор паролей от административных частей сайтов. При атаках наблюдается падение серверов из-за многочисленных запросов. Сегодня я это ощутил на своих сайтах.)


Сегодня наблюдалось падение всех моих сайтов. Сайты работали ужасно медлено или совсем не открывались. При обращении в службу поддержки выяснилось, что на сайты идёт нечто очень похожее на DDoS. Шёл перебор паролей к админ-панели водпрессов. Перебор паролей носил характер DDoSа, так как осуществлялся многопоточно и с разных IP адресов.

До обнаружения проблемы, я получал письмо от другого своего хостера, где также говорилось о DDoS атаке на их сервера. Смысл такой же, подбор паролей к админкам сайта. В основном, атака направлена на бесплатные CMS, преимущественно на WordPress и Joomla. Поговорил с знакомыми и выяснилось, что у некоторых также наблюдалось падение сайтов на WordPress’е.

Для вордпресса запросы идут к скрипту wp-login.php. Наиболее простой, но наверно не совсем правильный вариант решения, отключить скрипт авторизации. Это можно сделать добавив в начало «wp-login.php» строку
exit();
Авторизация при этом работать не будет.

Ещё, чтобы обезопасить сайты от взлома, выбирайте логин отличный от стандартных «admin» и «administrator». Выбирайте надёжный пароль: набор из 20-30 букв в разном регистре, цифр и символов.

Дополнительно хостинг компании рекомендуют

Рекомендации от FastVPS

Для безопасности и стабилизации работы сервера, как один из самых простых и эффективных вариантов, нужно установить http авторизацию на админ-панель Вашего сайта, следуя простой инструкции:

1)Создать файл с названием «.htpasswd» в корне сайта и при помощи сайта http://www.htaccesstools.com/htpasswd-generator/ сгенерировать его содержание, указав желаемый логин и пароль.

2)Для Joomla в файл «.htaccess» в папке /administrator/ добавить следующие строки:
AuthName "Access Denied"
AuthType Basic
AuthUserFile полный_путь_до_корня_сайта/.htpasswd
require valid-user

Для WordPress в файл «.htaccess» в корне сайта добавить следующие строки:

AuthName "Access Denied"
AuthType Basic
AuthUserFile полный_путь_до_корня_сайта/.htpasswd
require valid-user

где «полный_путь_до_корня_сайта» — это абсолютный путь от корня файловой системы.

Например, для ISPManager он будет выглядеть так: /var/www/имя_пользователя/data/www/адрес_сайта/.htpasswd

3)Проверить работу данной конструкции, попробовав зайти в админ-панель сайта.

У меня почему-то способ не сработал.

Рекомендации от BH Group Co. Ltd.

Рекомендуем Вам максимально защитить административные части своих CMS, а именно — установить пароль на папку административной части, установить в .htaccess ограничения доступа по IP, сменить имя пользователя admin на любое другое, сменить пароль на максимально сложный и не словарный.

Если наблюдаете проблемы в работе своих сайтов, обращайтесь в тех. поддержку своего хостера.