Hacker-Angriffe trotz .htaccess

Hallo,

ich habe folgendes Problem:
meine 2 Websiten werden trotz eines .htaccess-Schutzes (mit jeweils über 20-stelligem Passwort) von ein und derselben Person versucht, zu hacken. Neben dem .htacces-Schutzes ist der Plugin ''Limit Login Attemps'' aktiviert. Daher weiß ich auch, dass es sich um EINEN Hacker handelt.

DIE PERSON HAT ES GESCHAFFT, DEN .htaccess-Schutz ZU UMGEHEN !!! Aber wie soll das funktionieren? :o Ganze 23x mit verschiedener IP wurde es an einem Tag versucht!

Ebenfalls musste ich feststellen, dass man mit (http://www.deine-blogadresse.de/?author=1) den Autornamen ganz leicht abfragen kann.
Wie kann man es vermeiden, dass der Autorname abgefragt werden kann?
Denn eine größere Einladung kann man doch gar nicht geben. :(

Ich bitte um dringende Hilfe.

Zitat von Hille

Poste mal den Inhalt deiner .htaccess

<Files "wp-login.php">
AuthName "Admin-Bereich"
AuthType Basic
AuthUserFile /home/xxxxxxxxxx/xxxxx/wp-schutzxxx/.htpasswd
require valid-user
</Files>

Zitat von Hille

Versuche mal das verzeichnis /wp-admin mit in die .htaccess einzubinden.

wp-admin ist bereits mit über .htaccess geschützt.
Warum aber der Hacker diesen Schutz einfach umgehen kann, ist mir ein Rätsel. Er hat es heute auch schon wieder 4x mit verschiedenen IPs versucht.

Ich habe es auch mal mit dem Plug-In ''rename-wp-login.2.4'' versucht, mit der man den Login-Namen ändern kann.
Leider entfällt aber dabei der wichtige .htaccess-Schutz.

Zitat von Hille

In der von dir geposteten .htaccess ist das aber nicht der Fall. Im Normalfall sollte dann ein 403 Fehler im log auftauchen. Haste mal geschaut, ob das so ist?

Wenn man bei mir auf wp-admin zugreifen möchte, hat man ebenfalls erst einmal die .htaccess-Abfrage (außer man ist ein Hacker und kann diese umgehen).
Heute sind es auch schon wieder 5 IPs, mit der er es versucht hat.

Zitat von maxe

Die Login Versuche könnten auch alle über die xmlrpc Schnittstelle kommen. Wer die nicht braucht, deaktivieren.

Wie deaktiviere ich die xmlrpc-Schnittstelle? Welche Auswirkungen hat eine Deaktivierung?

Zitat von r23

man kann über XMLRPC zum Beispiel in Open Office seinen Blog Artikle auf seinem PC schreiben und über die Schnittstelle veröffentlichen.

http://de.wikipedia.org/wiki/XML-RPC

Wenn du über externe Programme oder Rechner etwas *ohne* webBrowser veröffentlichen möchtest ... Wenn nicht einfach deaktivieren-

Code

<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

oder einschränken

Code

<IfModule mod_setenvif.c>
    <Files xmlrpc.php>
        BrowserMatch "Poster" allowed
        BrowserMatch "WordPress" allowed
        BrowserMatch "Windows Live Writer" allowed
        BrowserMatch "wp-iphone" allowed
        BrowserMatch "wp-android" allowed
        BrowserMatch "wp-windowsphone" allowed


        Order Deny,Allow
        Deny from All
        Allow from env=allowed
    </Files>
</IfModule>

Alles anzeigen

Vielen Dank für den Code.
Ich bin noch recht unerfahren in dieser Marterie und brauche deshalb eine ''idiotensichere Anfängerbeschreibung''.
Die XMLRPC-Schnittstelle soll komplett deaktiviert werden. Wo muss ich diesen Code dann genau einfügen?

Zitat von r23

Den Apache Laien, die sich dieses Bausteins bedienen möchten, sei warnend auf den Weg gegeben:

Mit einem Messer kann man Zwiebeln schneiden, wenn man weiß, wie man mit dem scharfen Eisen umgehen muß. Weiß man das nicht, ist das Risiko recht groß, sich damit böse in die Finger zu schneiden. Genauso funktioniert das auch mit den Scripten:

Code

<Files xmlrpc.php>
    Order Deny,
Allow     Deny from all 
</Files>

in die .htaccess

Setzte ich den Code einfach unter den .htaccess-Code? Oder muss er in den vorhandenen .htaccess-Code ''eingearbeitet werden?
Ist es so richtig?

<Files "wp-login.php">
AuthName "Admin-Bereich"
AuthType Basic
AuthUserFile /home/xxxxxxxxxx/xxxxx/wp-schutzxxx/.htpasswd
require valid-user
</Files>

<Files xmlrpc.php>
Order Deny,
Allow Deny from all
</Files>

# BEGIN WordPress

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /

### Ausnahme fuer wp-login Verzeichnisschutz ###
.......
.......

Zitat von Radolski

Setzte ich den Code einfach unter den .htaccess-Code? Oder muss er in den vorhandenen .htaccess-Code ''eingearbeitet werden?
Ist es so richtig?

<Files "wp-login.php">
AuthName "Admin-Bereich"
AuthType Basic
AuthUserFile /home/xxxxxxxxxx/xxxxx/wp-schutzxxx/.htpasswd
require valid-user
</Files>

<Files xmlrpc.php>
Order Deny,
Allow Deny from all
</Files>

# BEGIN WordPress

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /

### Ausnahme fuer wp-login Verzeichnisschutz ###
.......
.......

Alles anzeigen

Wenn ich den Code so eingebe wie im Zitat angegeben, erhalte ich eine Fehlermeldung. Wo muss der xmlrpc-Code denn jetzt genau stehen?