2

Недавно просматривал логи администрируемого сайта, построенного на Joomla, обнаружил, что необычно много появились запросы в админку сайта (на главную, знаю что сглубил оставив стандартные адреса). Начал углубляться в запросы к сайту, и обнаружил последовательность:

  1. Некий IP пытается обратиться на wp_admin.php (т.к. Joomla ее нет, но все же)
  2. Далее идет обращение на админку, уже правильный адрес.

В этой ситуации крайне смутил IP - он оказался закрытым прокси, находящися во Франции.

Далее я закрыл доступ в админку, и изменил ее адрес.

На следующий день запрос из Франции повторился (опять сначало был на wp_admin, потом на стандартный адрес), но получив 404-ую ошибку, спустя 10 минут запрос повторился с другого закрытого прокси - на этот раз с Люксимбурга.

Подумал что, кто-то намеренно пытается получить или уже получил доступ.

Что посоветуете делать в данной ситуации? и как защититься вот от таких взломщиков?

1
  • 2
    wp_admin.php это вордпресс админка похоже какая то программа ищет возможности отправить спамм через известные дыры
    – dfhsfhgfj
    8 июн 2013 в 23:57

3 ответа 3

6

Я бы посоветовал не паниковать. Если в сайте дыр нету, потенциальный взломщик фиг получит доступ к админке без знания пароля. Ну, чей-то скрипт пытается через прокси пробить стандартные адреса админок, на то и взломщик, чтобы админ не дремал.

Перепроверьте пароль на всякий случай, убедитесь, что он достаточно надёжный. Сделайте локальный бэкап сайта на случай взлома и подмены страниц. Перепроверьте контент, не залил ли кто что-то нехорошее на сайт (внешний вид сайта при это не обязательно поменяется, взломщик может добавить и iframe 1x1). И спокойно отдыхайте, выходные же :-)

Да, и настройте автоматическое копирование логов на другой сервер — на всякий случай.

5
  • Спасибо :) бэкап, пароли, и страницу пойду делать / проверять. а беспокоит меня больше, то что эти запросы серьезно грузят хост. Хостер правда еще не писал ничего, но думаю скоро может прислать письмо )
    – IVsevolod
    8 июн 2013 в 19:21
  • 3
    Хм, а запросов реально много приходит? Если да, надо бы динамически отправлять в бан тех, что берёт намного больше трафика, чем нормальный клиент. Наверняка есть готовые или полуготовые решения, может, сетевики на сайте посоветуют что-то.
    – VladD
    8 июн 2013 в 23:18
  • Допилил на админке сайта проверку на Геолокации на свою республику. Если идет попытка зайди с другого места, то загружаю им 272 статью ук рф "Неправомерный доступ к компьютерной информации"
    – IVsevolod
    13 июн 2013 в 6:47
  • 1
    @IVsevolod: Вы всё же осторожнее, а то вдруг отправитесь в командировку или в отпуск, а понадобится срочно что-то поменять. Или ваш провайдер зараутит вас через Австралию.
    – VladD
    13 июн 2013 в 9:00
  • @VladD это само собой, код могу в принципе быстренько переписать ) а как временным решением вполне доволен ). Ну еще проблема - это если база IP устареет, и просто тот метод не будет правильно определять )
    – IVsevolod
    13 июн 2013 в 14:06
4

Бекап - это да, святое в данной ситуации. Причем регулярный.

А вот для взломщиков (это по большей части боты), нужно сделать honeypot (боченок с медом). Раз ищет файл wp_admin.php - создайте его. А внутри просто выводите мусор по символу, но с задержкой. Можно даже подсмотреть, что должен такой файл выводить и показывать что-то похожее. Такой длинный вывод заставит скорее всего бота висеть. И пусть лучше один висит часами (апач конечно нужно будет подстроить, а то php скрипты обычно более 30 сек не работают), чем сотни пробиваются.

Некоторые специалисты в таких скриптах прописывают редирект на яндекс или гугл (мол те большие и выдержат сотню-другую лишних запросов), но это нужно делать осторожно и хорошо посоветовавшись с специалистами (и, может быть, в зависимости от страны, с юристами).

2

А я бы предпринял кое-какую хитрую меру - пусть на каждую страницу в хедарах выводится 404. Сама страница - стандартная по содержанию, а в хедере - 404. Ну плюс традиционные логи и бэкапы.

Вообщем вот - если после 404 anonimus отстанет, подождите месяцок и снимайте. Если нет - то значит скорее всего целенаправленная. Тогда пишите сюда, подскажем :)

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.