Apache 로그에서 /wp-login.php에 대한 많은 POST 요청이있는 경우 무엇을 의미합니까?

15

메시지는 내 서버 의 WordPress 사이트로 전달됩니다. 이것들은 access_log에서 나오며, 이것이 나를 걱정 해야하는지 모르겠습니다.

매번 몇 초에 걸쳐 동일한 메시지가 수백 줄이 넘습니다. 무슨 뜻인지 모르겠다면 다음과 같은 로그가 있습니다.

108.162.216.73 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"

방금이 두 IP 주소의 모든 인스턴스에 대한 카운트를 수행했으며 22 일 이후 최소 100,000 번 이상 액세스되었습니다.

apache-http-server  logging  wordpress 
— 트래비스
소스

답변:

30

누군가가 귀하의 로그인 페이지를 무차별 대입하려고합니다. HTTP POST 요청은 HTML 양식 데이터에 사용되며, wp-login.php페이지 의 경우 사용자 이름 / 암호 양식 일 수 있습니다.

특히 WordPress의 경우이 Wiki 페이지를 읽어야합니다. 이 페이지 에는 인스턴스를 수행하고 보호하기위한 다음과 같은 유용한 단계가 많이 있습니다.

  • admin사용자 이름을 사용하지 않는
  • 강력한 비밀번호 선택
  • 플러그인을 사용하여 WordPress, Apache 또는 서버 수준에서 로그인 시도 제한
  • htpasswd페이지 보호 ( 생성자 의 도움으로 )

어쨌든 설정 fail2ban은 반드시 고려해야 할 사항입니다. 특정 IP가 시스템에 로그인을 시도 할 수있는 횟수를 제한합니다 (예 : FTP, SSH 등).

— h
소스
fail2ban을 설정하려고했지만 서버에 액세스 할 수 없었습니다. 안전한 재부팅을 사용할 수 있었지만 제거 할 수 없었습니다. 내 문제를 봤는데 Centos 7에있는 다른 사람들도 같은 문제가 있음을 알았습니다. 운 좋게도 서버에 아무것도 없었기 때문에 몇 분 정도 걸린 OS를 다시 설치했습니다.
— travis
2
아, 유감입니다. CentOS 서버에서 문제가 발생하지 않았습니다. 일반적으로 그렇게 많이 방해해서는 안됩니다.
— slhck
고려해야 할 또 다른 사항은 PeerGuardian입니다.
— paradroid
2
당신은 인증을 위해 SSH 키를 사용하여 완전히 로그인을 기반으로 SSH 비밀번호를 사용하지 않는 것이해야하고, 아마 또한 서버의 기본 SSH 포트를 변경하는 좋은 아이디어입니다 ... 당신이 암호를 기반으로 SSH 로그인이있을 때의 일이 예상되는 것을 @travis
— 겨울
1
@glglgl 억제력입니다. 그것은 누군가가 "이것이 안전하지 않은지 궁금하다 ..."가는 것을 막는다.-직접적인 공격을 멈추지는 않지만 우연한 해커를 막을 것이다. "어딘가 더 쉬워요."
2

무차별 해킹 시도가 WordPress 사이트의 관리 콘솔에 들어 가려는 것처럼 보입니다. 나는 WordPress 사이트에서 항상 이것을 얻습니다. 암호가 'pass'인 admin이라는 사용자가 있다면 지금까지 들어 왔을 것입니다.

특정 횟수의 로그인 시도 후 IP 주소를 차단하는 보안 플러그인을 설치하십시오. 나는 Wordfence를 사용 합니다 .

— 부갑상선
소스
4
이 IP 주소는 샌프란시스코와 일본의 CloudFlare CDN 서버에서 오는 것 같습니다.
— paradroid
사이트가 CloudFlare 뒤에 있다는 것을 의미합니다. 아마도 사용할 수 X-Forwarded-For있는 것과 같은 헤더가 mod_rpaf있지만 설정되지 않았습니다
— ceejayoz
@ceejayoz 무슨 말인지 잘 모르겠습니다. 으로 wp-login.php정적 파일이 아닙니다, 그것은 어쨌든 CDN에되지 않습니다. 들어오는 연결이 CloudFlare CDN 서버에서 오는 이유를 이해하지 못합니다. CloudFlare도 서버 호스팅을 수행합니까?
— paradroid
CloudFlare에서 전체 도메인을 가리킬 수 있습니다. 즉, 수신 요청 (GET 및 POST, 동적 또는 정적)은 CloudFlare를 먼저 거쳐 IP를 갖게됩니다.
— ceejayoz
당사 사이트를 사용함과 동시에 당사의 쿠키 정책과 개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.