Hackerangriff auf wp-login trotz htaccess-Schutz

Zitat von m266

ich verwende zum Schutz des Logins zusätzlich eine htaccess-Datei mit sicherem Passwort. Sogar der Benutzername besteht aus mehreren zufälligen Zeichen und steht in keinem Zusammenhang mit Username oder Domain.

Du wirst vermutlich nur das Verzeichnis /wp-admin/ schützen?

Zitat von m266

Frage. Hat das schon einmal jemand festgestellt, dass trotz htaccess-Schutz Einbruchversuche am Login vorgenommen werden? Momentan bin ich ratlos.

das Login-Script liegt im Documentroot von wordpress und nennt sich wp-login.php

Die Anmeldung als Admin sollte über eine verschlüsselte SSL-Verbindung erfolgen.

Du musst die Passwortabfrage auf die wp-login.php und /wp-admin festlegen. Falls du ne statische IP hast, würde ich das Login auf dieses IP begrenzen.

Zitat von m266

Ich schütze die wp-login.php gemäß einer Empfehlung von Sergej Müller (Punkt 7).

und wie schütz du das Verzeichnis wp-admin?

Zitat von m266

Merkwürdig ist auch, dass es immer die gleiche IP ist. Das deutet ja eher auf einen Amateur hin.

Als erstes würde ich diese IP auch mittels htaccess komplett aussperren. Zumindest temporär:

# IP-Sperre
order allow,deny
deny from 123.45.678.123
allow from all

Dann kannst du vielleicht noch eine Zwei-Faktor-Authentifizierung für WordPress einrichten:
https://github.com/sergejmueller/2-Step-Verification/
Damit kommt ein Angreifer auch nicht ins Backend, wenn er den Loginnamen und das Passwort herausfindet. Zusätzlich bräuchte er dann noch Zugriff auf dein Email-Konto.

Bei mir funktionierte der Zugriffsschutz auf die Loginseite mit htaccess auch nie zuverlässig. Lag bei mir aber am Hoster.

Zitat von m266

Merkwürdig ist auch, dass es immer die gleiche IP ist. Das deutet ja eher auf einen Amateur hin.

Nicht unbedingt, denn nur wegen ein paar fehlerhafter Logins kann der dort kaum belangt werden. Kommt dann auch noch darauf an, ob es sich wirklich um seine IP handelt, wovon ich nicht unbedingt ausgehen würde. Sperre doch die IP, dann wirst Du ja sehen, wie schnell ein Wechsel möglich ist oder auch nicht.

Zitat von m266

Die Zwei-Faktor-Authentifizierung dürfte vermutlich helfen, aber ich halte die Angriffe doch für bedenklich. Die Hacker müssen eine Möglichkeit zur Überwindung der htaccess-Sperre gefunden haben. M. E. betrifft das Problem in Kürze alle WP-Installationen. Es wäre daher gut, das Leck zu finden.

Kommt die Passwortabfrage, wenn du http://www.deinedomain.xy/wp-admin/ aufrufst? Leitet normalerweise an die Login-Seite weiter.

Zitat von m266

Die Sperre von /wp-admin führt teilweise zu Problemen, wie auch Sergej schreibt, so dass sie nicht sinnvoll

Ich binde die wp-login.php und /wp-admin an meine IP (Passwortabfrage ist nichts anderes), absolut problemlos. Welche Probleme sollen damit auftreten?

Das geht nur, wenn du eine statische IP hast. Du kannst es aber mal per Passwortabfrage von /wp-admin versuchen.

Zitat von Hille

Ich binde die wp-login.php und /wp-admin an meine IP (Passwortabfrage ist nichts anderes), absolut problemlos. Welche Probleme sollen damit auftreten?

es gibt Plugins die verwenden im frontend zum Beispiel

wpajax:"/wp-admin/admin-ajax.php",

wer derartig unsaubere Plugins verwendet, muss halt den admin und weitere Scripte offen halten.

Woocommerce macht dies zum Beispiel.

Abteuerlicher finde ich zurzeit xmlrpc... egal.

http://www.example.org/wp-admin/admin-ajax.php

funktioniert bei diesen ungeschützen Wordpress Blogs wunderbar.

Zitat von m266

Die grundsätzliche Frage bleibt aber: Wie kann ein Hacker die htaccess umgehen und Zugriff zum Login bekommen?
Dieses Leck müsste man finden.

Vermutlich der übliche weg:

A non-logged in user can call the ajax function
wp_ajax_nopriv_ajax_navigation that calls ajax_navigation_callback in
ajax-pagination-front.php at line 75.
By setting the value of “loop” in the POST data, they can include the
contents of that path on the returned page.
For example, to include the contents of wp-login.php in the returned
page, send the following:
POST /wordpress/wp-admin/admin-ajax.php HTTP/1.1
Host: 127.0.0.1
Content-Length: 53
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
paged=2&action=ajax_navigation&loop=../../../wp-login

Zitat von m266

Ich schütze die wp-login.php gemäß einer Empfehlung von Sergej Müller (Punkt 7).

Zitat

7. Verzeichnisschutz für wp-login.php

Im Beispiel wird AuthType Basic verwendet.

Zitat von m266

Die grundsätzliche Frage bleibt aber: Wie kann ein Hacker die htaccess umgehen und Zugriff zum Login bekommen?

Zu AuthType Basic steht verschiedentlich geschrieben:

Zitat

... HTTP Basic Authentication (einfache Authentifizierung über HTTP) ...

Diese Methode verlangt aber, dass das Passwort unverschlüsselt vom Browser an den Webserver übermittelt wird. Sie ist daher nicht wirklich sicher.

http://de.selfhtml.org/servercgi/server/htaccess.htm