2

Недавно просматривал логи администрируемого сайта, построенного на Joomla, обнаружил, что необычно много появились запросы в админку сайта (на главную, знаю что сглубил оставив стандартные адреса). Начал углубляться в запросы к сайту, и обнаружил последовательность:

  1. Некий IP пытается обратиться на wp_admin.php (т.к. Joomla ее нет, но все же)
  2. Далее идет обращение на админку, уже правильный адрес.

В этой ситуации крайне смутил IP - он оказался закрытым прокси, находящися во Франции.

Далее я закрыл доступ в админку, и изменил ее адрес.

На следующий день запрос из Франции повторился (опять сначало был на wp_admin, потом на стандартный адрес), но получив 404-ую ошибку, спустя 10 минут запрос повторился с другого закрытого прокси - на этот раз с Люксимбурга.

Подумал что, кто-то намеренно пытается получить или уже получил доступ.

Что посоветуете делать в данной ситуации? и как защититься вот от таких взломщиков?

1
  • 2
    wp_admin.php это вордпресс админка похоже какая то программа ищет возможности отправить спамм через известные дыры
    – dfhsfhgfj
    8 июн 2013 в 23:57

3 ответа 3

6

Я бы посоветовал не паниковать. Если в сайте дыр нету, потенциальный взломщик фиг получит доступ к админке без знания пароля. Ну, чей-то скрипт пытается через прокси пробить стандартные адреса админок, на то и взломщик, чтобы админ не дремал.

Перепроверьте пароль на всякий случай, убедитесь, что он достаточно надёжный. Сделайте локальный бэкап сайта на случай взлома и подмены страниц. Перепроверьте контент, не залил ли кто что-то нехорошее на сайт (внешний вид сайта при это не обязательно поменяется, взломщик может добавить и iframe 1x1). И спокойно отдыхайте, выходные же :-)

Да, и настройте автоматическое копирование логов на другой сервер — на всякий случай.

5
  • Спасибо :) бэкап, пароли, и страницу пойду делать / проверять. а беспокоит меня больше, то что эти запросы серьезно грузят хост. Хостер правда еще не писал ничего, но думаю скоро может прислать письмо )
    – IVsevolod
    8 июн 2013 в 19:21
  • 3
    Хм, а запросов реально много приходит? Если да, надо бы динамически отправлять в бан тех, что берёт намного больше трафика, чем нормальный клиент. Наверняка есть готовые или полуготовые решения, может, сетевики на сайте посоветуют что-то.
    – VladD
    8 июн 2013 в 23:18
  • Допилил на админке сайта проверку на Геолокации на свою республику. Если идет попытка зайди с другого места, то загружаю им 272 статью ук рф "Неправомерный доступ к компьютерной информации"
    – IVsevolod
    13 июн 2013 в 6:47
  • 1
    @IVsevolod: Вы всё же осторожнее, а то вдруг отправитесь в командировку или в отпуск, а понадобится срочно что-то поменять. Или ваш провайдер зараутит вас через Австралию.
    – VladD
    13 июн 2013 в 9:00
  • @VladD это само собой, код могу в принципе быстренько переписать ) а как временным решением вполне доволен ). Ну еще проблема - это если база IP устареет, и просто тот метод не будет правильно определять )
    – IVsevolod
    13 июн 2013 в 14:06
4

Бекап - это да, святое в данной ситуации. Причем регулярный.

А вот для взломщиков (это по большей части боты), нужно сделать honeypot (боченок с медом). Раз ищет файл wp_admin.php - создайте его. А внутри просто выводите мусор по символу, но с задержкой. Можно даже подсмотреть, что должен такой файл выводить и показывать что-то похожее. Такой длинный вывод заставит скорее всего бота висеть. И пусть лучше один висит часами (апач конечно нужно будет подстроить, а то php скрипты обычно более 30 сек не работают), чем сотни пробиваются.

Некоторые специалисты в таких скриптах прописывают редирект на яндекс или гугл (мол те большие и выдержат сотню-другую лишних запросов), но это нужно делать осторожно и хорошо посоветовавшись с специалистами (и, может быть, в зависимости от страны, с юристами).

2

А я бы предпринял кое-какую хитрую меру - пусть на каждую страницу в хедарах выводится 404. Сама страница - стандартная по содержанию, а в хедере - 404. Ну плюс традиционные логи и бэкапы.

Вообщем вот - если после 404 anonimus отстанет, подождите месяцок и снимайте. Если нет - то значит скорее всего целенаправленная. Тогда пишите сюда, подскажем :)

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.