Prawie 100 tys. prób logowania

Dla specjalistów Webmastering
#1

Hej,

Mam taki problem, widzę że user XYZ próbował się zalogować na moją stronę ok 100tyś razy mimo, że jest captcha.

tu dwa pytania:

  1. jak najlepiej blokować, aby w przyszłości się to nie zdarzało.
  2. warto zgłaszać takie sytuacje?
#2

Blokować konto po X niepoprawnych hasłach, do odblokowania po kontakcie do supportu.

Komu? :smiley:

#3

@hindus
Ustawiłem 10x i blokada 5 minut
Chyba działa :slight_smile:

No nie wiem właśnie, FBI od stron www :stuck_out_tongue:
Śmierdzi to mocno jakimś atakiem słownikowym lub mini “Dos” :frowning:

#4

Mam VPS. Prób zalogowania tysiące dziennie. To automaty, boty, lecą sobie w tle na serwerach na które udało się włamać i dołączyć do botnetu. Na takie przypadki pomaga tylko automatyczne banowanie. 5 niepoprawnych prób logowania? Ban na 5 minut. 5 kolejnych niepoprawnych prób logowania? Ban na 24h. Wystarcza.

#5

@hindus
czekaj czekaj, łączę wątki.
Komputer + hack = botnet -> zombie.

Zombie skan www -> i co szukają loginów / haseł czy czego oni oczekują od strony?
Wybacz, takie proste pytania, ale to nie moja brocha w IT.

#6

Szukają czegokolwiek co może im się przydać. Przykładowo - dostaną się do panelu administratora CMS. Mogą podmienić linki w artykułach, dołączyć skrypty JS do kopania bitcoinów, zgrać bazę użytkowników w celu dalszej odsprzedaży albo złamania haseł. To otwiera wiele możliwości. BTW człowiek wchodzi do gry dopiero jak hasło uda się złamać, więc kilka tysięcy jednocześnie atakowanych serwerów jest w stanie ogarnać garstka ludzi.

#7

JS na stronie do kopania bitcoinów? O tym jeszcze nie słyszałem.
Czego to człowiek nie wymyśli :slight_smile:
Dzięki za wsparcie.

#8

na jakim CMS stoi strona ?

#9

Twój zapis o ilości logowań przetłumaczony na polski to 100.000 logowań…

#10
  1. Captcha w żadem sposób nie zabezpiecza cię przed próbami logowania. Pozwala jednak (po stronie serwera) odrzucić nieprawidłowe.
  2. Co zgłaszać i komu?
#11

@zbigg47

Wspaniale. Dziękuje za przetłumaczenie na polski dla reszty użytkowników.

@kowgli
Już doszedłem do tego faktu, że to bez sensu :slight_smile: @hindus był na tyle serdeczny, że wytłumaczył i dodał jeszcze parę słów od siebie, za co mu dziękuje :slight_smile:

2 polubienia
#12

Znam to, u znajomego, poprosił o pomoc, dziennie dostawał po 600 komentarzy viagra, porno, pranie pieniędzy itp. :wink: Po wstawieniu captchy na WP ma dziennie…6 do moderacji + 30 stron nieudanych prób i jest szczęśliwy :wink:

#13

Na WorsPressa wystarczy w wersji FREE: Wordfence

#14

@m4s Hej, hej

Niee, to nie jest WordPress.
Programista pisał stronę od zera, ale że jest na wakacjach to sobie grzebie - zawsze coś nowej wiedzy :slight_smile:

#15

Zainteresuj się tematem mod_security, czy fail2ban. Zastawiaj pułapki, natrętów ślij na zip bomp ;p
Idąc na łatwiznę - puść ruch przez Cloudflare, wytnie większość złośliwego ruchu.