![Информационный блог [Bloginfo]](https://bloginfo.biz/wp-content/uploads/bloginfo.png)
Приветствую всех посетителей и друзей блога! Сегодняшняя небольшая статья не была запланирована мною заранее. И я бы даже сказал, что она экстренная. Рекомендую обязательно с ней ознакомиться всем, кто имеет свои сайты и блоги на популярных CMS – Joomla и WordPress.
Все дело в том, что сегодня, посещая сайты своих коллег-блогеров, и пытаясь их комментировать при необходимости, заметил странную деталь: при отправке комментария вылетала ошибка подключения к БД блога. Сначала такая ошибка вылезла у Сергея (Мобильный Дом), затем у Артема (Artabr), после, у Ларисы (Web-Кошка), и еще у кого-то.
Первым делом я подумал, что Сергей проводит какие-то работы, мало ли. Но когда такая же проблема обнаружилась и на других блогах, я призадумался. Что-то здесь не так...
Эти моменты не заставили меня начать писать авторам этих блогов письма о том, что у них какие-то проблемы. Зачем, думаю, панику сеять. Вдруг простое совпадение?
Но когда на одном из своих блогов я хотел войти в админку, то с ужасом обнаружил, что она не доступна! 403-я ошибка. При всем при этом, сам блог вполне себе работал. А работ я никаких сегодня на нем не производил. "Бегу" сразу же на свое любимое детище, то есть на этот блог, захожу в админку – та же печенька! Сам блог благополучно работает, а админка попросту не доступна. Причем именно 403 ошибка (Forbidden, т.е. "запрещено").
Я реально немного выпал в осадок. Ведь и на этом блоге я тоже никаких работ сегодня не производил. Думаю все, надо копать в сторону хостера, пусть посмотрят логи. Может что прояснится.
Не успел я об этом подумать, как от хостера приходит письмо (я пользуюсь хостингом Beget - https://beget.ru/). Очень оперативно стоит заметить. Вообще, саппорт у них работает, как часы. Не буду здесь давать никаких реферальных ссылок (хотя стоило бы =)), дабы статью не посчитали рекламной. Суть статьи не в этом. А в том, чтобы предупредить всех своих коллег по блогоцеху.
В общем, ситуация следующая. Хостинг-провайдер намеренно заблокировал доступ в админку всем своим клиентам, которые пользуются Вордпрессом и Джумлой, в целях недопущения их взлома.
Оказывается, в течение последних двух дней очень сильно активизировались брутфорс-атаки именно на эти CMS, просто до критического предела. Ботнет, с которого осуществлялись атаки (перебор паролей) насчитывал по примерным начальным подсчетам 100 000 машин. И это число постоянно увеличивалось. Справедливости ради стоит отметить, что атаки на эти CMS осуществляются регулярно, а с начала лета их число стало расти в геометрической прогрессии. И, наконец, достигло такого критического уровня, что хостер пошел на столь кардинальные меры.
А меры эти весьма оправданы, ведь в случае удачной атаки и подбора пароля (а на таких мощностях – это вполне реально), блоги сами становятся частью ботнета. Более того, они, естественно, становятся зараженными и несут угрозу тем, кто их посещает. Таким образом, посетители также могут легко стать частью этой же ботнет-сети. Именно поэтому число "машин", с которых осуществляются атаки, так активно увеличивается. И, следовательно, будущие атаки станут еще мощней.
Из всего вышесказанного можно сделать несколько выводов. Сам хостинг-провайдер настойчиво рекомендует изменить имя файла, отвечающего за авторизацию на сайте:
- /wp-admin.php – для WordPress
- /administrator/index.php – для Joomla
Про Joomla я ничего сказать не могу, а вот про WordPress – прокомментирую.
Имя файла wp-admin.php можно и не менять, а просто запретить доступ к папке wp-admin посредством файла .htaccess. Но у нас ведь есть еще и файл wp-login.php, к которому доступ закрывать нельзя. Иначе как мы сами будем авторизоваться? Вот именно его обязательно нужно либо переименовать, либо защитить.
Я в этой конкретной статье не буду писать, как это сделать, потому как главный ее посыл – донести суть сложившейся проблемы, как можно скорее. Так что, прошу меня извинить, но придется гуглить самостоятельно. Благо в сети навалом информации на этот счет. Но если что, спрашивайте в комментариях.
Могу лишь посоветовать два плагина BulletProof Security и iThemes Security (бывший Better WordPress Security) – они решат эту и многие другие проблемы.
Ну, и конечно, основы основ – обязательно сменить стандартный логин admin на любой другой, желательно на абракадабру какую-нибудь. Про сложный пароль, надеюсь, упоминать не нужно.
В общем, друзья, нужно максимально обеспечить безопасность своих сайтов именно сейчас. Я знаю, что большинство друзей моего блога и постоянных читателей, уже давно приняли все эти меры, но если это не так, не тяните.
В заключение хочу еще раз отметить то, какой замечательный и оперативный у меня хостинг-провайдер =) Кстати, они мониторят ситуацию не только за своими серверами, но и обстановку в целом. Вот на днях приходило письмо, что многие дата-центры (и их в том числе) подверглись очень массивной DDoS-атаке, пропускной силы в 17 Гбит/сек (если правильно помню, но точно не меньше)! Эта нехилая атака была успешно отражена без ущерба для конечных пользователей.
Ладно, перестану нахваливать уже своего хостера. Просто еще раз напомню: защищайте свои блоги, если еще этого не сделали. Не тяните резину.
Всем удачи и несокрушимых админок =) До скорого!
С уважением, Александр Майер
PS: В последнее время еще и интенсивно активизировался фишинговый спам от якобы-хостеров. Как правило, такие письма выглядят идентично официальным, но главное их отличие – это просьба (под разными предлогами) пройти по ссылке из письма в панель управления. Никогда этого не делайте! И всегда проверяйте такие письма на предмет отправителя. Причем смотреть нужно не на поле "От кого", а в свойствах самого письма.
Вот пока писал статью, на блоге также слетало соединение с БД. Как и у всех сегодня. Блин, печалька какая-то
Прибежала читать... Смотри, а вообще как узнать, что блог (не дай бог, конечно) взломали?
БВС установлен, настроен вроде по-человечески, но все равно страшно...
Мне хостер ничего не писал, а твои молодцы, оперативно отработали, не грех и рефссылку воткнуть...
Ага, меня даже прям гордость взяла. Не столь даже за оперативность, а именно за столь кардинальные меры. А как узнать? Да откуда ж я знаю))) Тут смотря как взломали, какова причина взлома и т.д. Ну, например, взломали, чтобы код внедрить - узнаешь тогда, когда какой-нибудь антивирусник начнет ругаться, или Яндекс письмецо накатает. А если, например, напакостить и удалить все (хотя глупо это, бэкапы-то все юзают), то думаю сразу узнаешь =) Если в качестве бота использоваться будет, то можно долго об этом и не подозревать.
БВС настроен правильно - брут-атаки не должны быть страшны.
Ну тогда ладно, а то я прочитала, мне аж плохо стало :?: Никакой жизни нет прямо. Ну вот когда я уже буду спокойно сидеть и писать, а не переживать, что то блог взломают, то само собой чего-нибудь слетит?!
Надо Joomla-сайт проверить, кстати. Там защиты вообще ноль.
Кстати, а можно папку с сайтом скачать и обычным антивирусом проверить? Мне так хостер когда-то советовал...
Да можно, почему нельзя. Но если вредоносный код будет закодирован, не факт что что-то обнаружится.
Не заметил на ваших сайтах рекламы, поэтому вам легче. Смысл взлома может быть в установке другого рекламного кода, вместо вашего. Внешне не заметно и так просто, я думаю не определишь. Вплотную не думал над этим вопросом, можно ли визуально, например, эдсенс, отличить свой от чужого. Цифры идентификатора, мне кажется, можно поставить любые.
Да, рекламы пока нет никакой. Гугл что-то не хочу ставить, так как сложно будет подогнать его рекламные блоки под общий дизайн. Хотя можно и попробовать. А в РСЯ пока рано.
А насчет подмены рекламных блоков, так как раз по идентификатору и можно будет определить, ваш это блок или чужой. Периодически, я думаю, нужно этот вопрос отслеживать.
Спасибо за предупреждение! У меня на блоге на Ворд Пресс стоит защита БВС и я почти каждый день получаю предупреждения на электронку о попытках открыть не существующий файл и защита блокирует блог, но доступ для меня остается. Интересно с чем это связано и зачем это делается. Плагин ЛЛД сегодня поставлю. Жаль многих терминов пока еще не знаю. Спасибо за статью.
Александр, ЛЛД не нужно ставить, если есть БВС (в нем эта же функция присутствует). А что касается "попытка открыть несуществующий файл" - причин несколько: обычно это всяческие боты пытаются попасть в админку или получить доступ к иным служебным файлам. А есть еще и другая причина, если для блога не сделала специальная иконка, типа фавикон, но именно для айфонов и айпадов, то при заходе на блог с этих устройств идет обращение к этим файлам. А их нет. Отсюда тоже "попытка открыть...."
А про какие вы ЛЛД и БВС говорили , я не понимаю расшифруйте пожалуйста поподробнее. У нас ведь не все спецы в этом.
Светлана, ЛЛД - это Login LockDown. А БВС - Better WP Security. Если ставить БВС, то надобность в ЛЛД отпадает, т.к. такая функция в БВС уже имеется. И вообще, ЛЛД уже более двух лет не обновляется, а это значит, что желательно его не использовать.
А чего это за ошибка такая "при отправке комментария вылетала проблема подключения к БД блога" Как она проявлялась, именно так и было написано?
Ну вот нажимаю на "отправить", а открывается белая страница с надписью "Ошибка соединения с базой данных", или примерно так.
А разве плагин Better WordPress Security не заменяет плагин Login LockDown? Я думал, что первый ставят, чтобы заменить второй или подобный.
БВП заменяет конечно, и БПС тоже. Это я написал, если вдруг у кого-то ни первого ни второго не имеется, а только Логин ЛокДаун.
Можно также сменить адрес админки, с wp-admin на что-то другое! + При авторизации в админке поставить капчу. И проблем не будет :) пусть брутфорсят!
Вот именно адрес админки хостер и советует сменить.
Пойду просить у хостера, что бы доступ к админке открыли. А то работать надо
Ну как результат? Открыли админку?))
Александр, спасибо за предупреждение! Вопрос: если на блоге "поработал" плагин Secure WordPress, требуется ли установка Better WP Security?
Сергей, я точно не помню, что этот плагин делает, но помню, что тестировал его. И если не ошибаюсь, то его основное предназначение не совсем то, о чем сейчас речь. Он вроде делает только то, что удаляет из админки всякую инфу о версиях плагинов, движка и т.п. И актуально это только на тех блогах, на которых есть регистрация для пользователей.
Короче, ставь БВП однозначно. Отличный мануал по нему (даже в нескольких частях вроде) есть у Димы Лемура (ideafox.ru)
я вроде бы тут комментарий оставлял O_o
Чегой-то он в спам попал =) Поправил, "воскресил"
Александр, спасибо за оперативное предупреждение. Это все касается российских хостеров или без разницы?
Ольга, этот феномен (массовые брут-атаки на ВП) были впервые замечены в апреле этого года. По всему миру. Сейчас атаки усилились еще больше.
Понятно, давно я не работала с ВП)))
MODx просто еще не настолько популярна, чтобы массово ее взламывать =)
Согласна :) Хотя, были попытки массового взлома буквально, но атака захлебнулась.
Спасибо! Учту данную информацию из статьи, а так же из комментариев. В закладки.
Предупрежден, значит вооружен =)
Ого, кошмар! У меня стоят какие-то защиты (честно, я не сильно вникала) - отправлю запрос безопасникам. А какой у тебя хостер? Я недавно на Спринтхост переехала.
И еще: во время Троллинга ты мне писал, что wp-login у меня доступен и еще советовал сменить логин админа. Но я проверила - файл закрыт, логин не admin. Я не поняла тогда, что конкретно сменить?
Нет, у тебя с wp-login все в порядке, там заглушка стоит. А логин admin - это "обманка" оказывается. Некоторые плагины такое умеют делать. Т.е., на самом деле логин админа совсем другой, но в паблике специально отображается именно admin
А хостер у меня Beget. Но я сейчас смотрю, другие блогеры пишут, что их хостеры тоже закрывают админки блогов.
Аа, понятно тогда насчет логина. А я давно хочу у тебя уточнить, но все забываю))
Мой хостер вроде не закрыл, хотя хз, может, я просто не попадала в нужный момент. Но, скорее всего, сообщили бы по почте.
Если сейчас можешь зайти в админку - значит не закрыл. Хотя хостинг-провайдеры поступают на свое усмотрение: мой, например, на несколько часов только закрыл админки, чтобы сделать рассылку и предупредить клиентов, чтобы приняли меры по защите. А некоторые хостеры до сих пор вроде держат админки закрытыми
Александр, в троллинге моего блога ты писал:
"Желательно поменять страницу входа для админа с wp-login.php на произвольную. Хоть плагин ЛокДаун и имеется, лишним это не будет.
Еще желательно сменить ID админа на отличный от 1, иначе реальный логин палится. Также он палится и в CSS. А еще не будет лишним (даже если ID сменить) сделать редирект с архива автора (т.е. с сайт.ру/author/реальный логин), например, на главную страницу."
Плагин BWS это всё делает?
Сергей, так точно. Только вот редирект со страницы архива автора на главную он не умеет делать.
Это можно сделать через .htaccess, добавив в него строку:
RedirectMatch Permanent ^/author/admin$ _http://имя_сайта.ру
Забыл добавить. В этой строке вместо admin, нужно вписать свой текущий логин
Обновлено: перед адресом сайта я поставил нижнее подчеркивание, чтобы не было активной битой ссылки. Его нужно будет удалить перед вставкой в .htaccess
А Login Lock Down можно будет удалить потом? И ещё: где именно в настройках плагина меняется страница входа для админа?
Да, ЛокДаун можно будет удалить, у БВС есть такая функция (вкладка Login, только не забыть активировать эту функцию). А на вкладке Hide нужно скрыть стандартный вход в админку. Там просто в пустые поля записать произвольные значения, и желательно периодически менять секретный ключ (поставить галочку напротив генерации нового секретного ключа). Во всех трех полях можно написать одно и то же значение, тем более, если админ только один у сайта, а других пользователей нет. Например, если ввести в поля слово vhod, то доступ к админке будет осуществляться по _http://bloginfo.biz/vhod
Ещё один вопрос: что за секретный ключ и для чего он нужен?
Сергей. Короче суть работы этой функции плагина такова, что само название файла wp-login.php физически не меняется, а создается некий редирект с той страницы, имя который ты придумаешь, на тот же самый wp-login.php, на с припиской в конце файла в виде секретного ключа, т.е. после входа на сайт.ру/вход, будет осуществлен редирект на страницу сайт.ру/wp-login.php?nvvvn89vd8svds8vhds89v (это для примера). Но при входе напрямую на wp-login.php будет выдаваться ошибка 404.
То, что выделено жирным - это и есть тот самый секретный ключ.
Ты попробуй, поэкспериментируй. Сразу поймешь как это работает, когда своими глазами увидишь)
Ок)
Да, я в субботу статью писал, а меня хостинг мой постоянно банил))) Я им в поддержку звоню по горячей линии - они меня вновь в админку пускают. И так раза три. :idea:
Да, ситуация сложная. Я бы на месте хостеров поставил бы ультиматум: пока локальные меры не будут приняты, админку не открывать. Ну само собой, саппорт при этом был бы обязан помогать тем, кто не способен самостоятельно проделать необходимые манипуляции.
А чего-то мой комментарий куда-то сгинул... :mrgreen:
Akismet чего-то оба комментария в спам определил =)
Слава богу, пока что нет таких атак на Drupal а Joomla у меня частенько хакали
Да, Джумла и ВП большую долю на рынке CMS имеют, поэтому представляют больший интерес для злоумышленников.
У кого вчера БД слетала. Посмотрите логи на предмет IP-адреса 89.148.226.136, или попросите саппорт пусть посмотрят. Ко мне вчера более 15 000 раз он ломился. За короткий промежуток времени. Причем айпишник наш, российский. Баньте его (ломится в основном на сайт.ру/edit)
А ко мне на почту пришло письмо:
A хост, 79.182.177.140(you can check the host at _http://ip-adress.com/ip_tracer/79.182.177.140) был заблокирован сайт WordPress из-заслишком много попыток не существующий открыть файл. Вы можете войти на сайт вручную сняв блокировку, если необходимо.
Это значит, что с этого ip было много попыток входа на сайт?
Нет, это значит, что кто-то пытался неоднократно открыть несуществующую страницу. Какой-то "бот". Такие письма постоянно приходят, потому что блоги регулярно атакуются. Особо на этот счет не заморачивайся.
А смотри, иногда идут попытки... ну в обшем, что-то с apple связано. Вроде как попытка открыть несуществующий файл... Это из-за того, что яблочникам отдельная фавиконка нужна?
Ага, оно самое.
Ваше исследование по делу. Действительно пошла активация различного рода атак. Месяц назад мой сайт в течение 3-х минут пытались взломать с Saint Petersburg Petersburg Internet Network Ltd, причем с разных IP- адресов: 37.9.53.65 и 89.148.226.136. Последний как раз указан в твоем ответе.
Помог OSE Firewall
OSE Firewall очень хорошая штука! А вот то, что Российские IP-шники так активно в атаках участвуют - это несколько странно. И этот 89.148.226.136 у Вас тоже был.. Можно абузу провайдеру написать. Хотя хозяин айпишника скорее всего не виноват, просто он часть ботнета. А может это и сервак какой-нибудь.
Я посмотрела - у меня последние трое суток по пять-шесть атак в минуту идет. Почта лопается просто от сообщений. Вроде все закрыла и попрятала, все равно как-то страшно...
5-6/мин - это ничего страшного. Да и вообще, если меры приняты, то атаки-брут можно особо не опасаться. Единственное, что может случиться - это уронят сайт на какое-то время. Как вот у меня было. Эти самые ошибки соединения с БД как раз и происходят в моменты самой активной атаки, сайт становится недоступен. Это похоже чем-то на DDoS-атаку. Вот у меня при допустимых 50CP в момент наибольшей активности брут-атаки это значение выросло до 188CP. Нагрузка бешенная (еще бы, около 14к запросов за короткий период). Я одно только не пойму, почему у меня блок не сработал именно на этот IP-шник? :| Короче, заносите его в "блэклист": или плагином, или в .htaccess
Посмотрела логи, у меня такого айпишника нет. Знаешь, мне вообще достаточно оказалось адрес админки сменить, все более-менее успокоилось.
Хотя заметила у себя какие-то аномалии на блоге, хотела посоветоваться с тобой в скайпе, но ты неуловим((( Поглядывай туда иногда, пожалуйста, есть пара тем для обсуждения)))
Да, что-то я совсем редко в скайпе появляюсь. Сейчас забегу =)
Не, не сейчас, может, ночью, как обычно? Не обязательно сегодня, но вообще поглядывай)))
Александр, после установки BWS у меня при создании новой записи появился пунктик "Enable SSL". Подскажите, пожалуйста, стоит ли ставить галочку напротив него?
По идее, чтобы использовать SSL нужен сертификат. Я вообще не совсем понимаю эту функцию плагина. Написано "если ваш хостинг-провайдер поддерживает SSL, то можно включить эту функцию". Не пойму, если честно, как это реализуется.
У компании, что атаковала мой сайт 7 (семь) IP и они их видимо чередуют.
Но самое главное, кому я перешел дорогу, у меня сайт по теоретической физике, называется "Гравитация" Адрес можно закрыть _http://gennady-ershov.ru
Геннадий, это никакая не "компания". И это не происки конкурентов. Это явление массовое. Сайты выбираются по одному простому принципу - все они на WordPress (реже на Joomla). Это мое мнение, и оно скорее всего так и есть.
Геннадий, а Вы астрофизикой не увлекаетесь? Недавно на ютубе завис на несколько часов. Смотрел ролики про всяческие квазары, магнетары, черные дыры и т.д. Обалдеть, как это все притягивает.
Отправил коммент, но похоже его плагин отправил в спам, Все правильно я указал там URL сайта
Да, он в спам улетел.
Уже рег.ру и макхост превентивно закрыли доступ к админке ВП у всех пользователей.
Похоже, всех коснулась эта проблема. А техподдержка рег.ру вообще перестала на запросы отвечать, похоже :- )
Саппорт уже не справляется наверное =) Интересно, надолго они прикрыли админки?
так понял, что навсегда.
Мой ВПС тоже пытаются брутфорсить. БПВС постоянно шлет что, кто-то пытается открыть несуществующий файл, так как URL админки изменен.
Так это же очень печально =) А насчет несуществующих файлов - это постоянно так. Там логи посмотри, не только в стандартную админку ломятся, но и во всякие похожие названия, типа "administrator.php", "edit" и т.п. Ну а цель да, одна - это админка =)
Да, соглашусь, что это атаки на популярные движки.
Что касается физики, то я пытаюсь заниматься реальными, но не решенными задачами в теоретической физике, а и черные дыры и темня материя - этими вещами занимаются те, идеи коих проверить не возможно. Поэтому дыры и темнота.
Я понимаю. Но это же так интересно и маняще. Хотя, изучать это может и не столь интересно. Но вот читать, или док.фильмы смотреть - это да =)
Про неизвестное и неизведанное всегда интересно. А вот про известное, например: почему при нагревании тела расширяются? Все учились в школе, но никто не знает, прочитать можно здесь: http://gennady-ershov.ru/gravitaciya/rasshirenie-tel.html
Или почему Земля растянута по экватору? Есть один ответ: центробежной силой, но, оказывается, этой силы не хватает, ответ тут же.
Феномен Тунгусского метеорита.
Детский вопрос: почему облака не падают, хотя во много раз тяжелее воздуха?
Броуновское, вечное движение - за счет какой энергии? На эти вопросы будут ответы на данном сайте.
Геннадий, буду на досуге почитывать. Это полезно знать. Я вот из школьной программы ничерта не помню =)
Сегодня с саппортом хостинга общался, говорят: "Серьезные атаки мы уже отбили и поставили защиту. Более, данный тип атаки, не сможет навредить хостингу"
Так что, другие хостинг-провайдеры тоже скоро отобьют, или уже отбили.
раньше ломали почты , теперь добрались до блогов , если решу создать себе блог - надо будет это учесть
Сайты, блоги, форумы и т.д. всегда ломали. И будут ломать. Недоброжелатели, или просто "шалуны" всегда найдутся
Что атакуют поняла , как защититься не поняла.
К сожалению, у меня на блоге еще очень мало статей, поэтому конкретныъ руководств здесь я не привел. Главная цель статьи - рассказать, что идут массивные атаки. Ну, и вкратце я описал, что нужно сделать. А вот подробную информацию о защите, увы, пока придется искать на других сайтах.
Позже я обязательно посвящу целый цикл статей по защите блогов на WP
Скажите про плагины вы говорили плагин Better WordPress Security он так и пишется или второе слово WP то есть Better WP Security?
Светлана, правильно он называется Better WP Security. Устанавливать можно через админку. У меня пока еще нет статьи по этому плагину, да и вообще много чего еще нет (блог молодой). Так что, могу посоветовать блог Дмитрия (ideafox.ru). У него подробно про настройку этого плагина написано. Целая серия статей.
Но есть люди которые установили этот плагин и не очень им довольны.
Не знаю ни одного такого человека =) Это реально самый лучший плагин для безопасности WP-блогов.
Я держу свои сайты у reg.ru, они хорошо себя зарекомендовали, так и в этот раз. Еще в первые дни, когда начались атаки они прислали на почту уведомление с предупреждением, сначала ограничили доступ изменением основного порта, а спустя время ввели дополнительную аутентификацию. И до сих пор она стоит, на постоянной основе что ли ее сделали...
reg.ru очень авторитетные ребята, одни из пионеров в рунете в этой области. Тут не поспоришь.
А они сделали аутентификацию на уровне сервера, а потом уже в саму админку? Ну, по типу, как, допустим, на некоторые роутеры логинишься (или прочие сетевые устройства), ну, или как при авторизации на фтп-сервер через веб-интерфейс? Т.е. такое отдельное окошко сначала появляется, для ввода логина и пасса?
Это очень грамотно и эффективно, молодцы.
Кстати, можно тоже самое самостоятельно сделать, через .htaccess, на любом сайте. Тогда брутфорс стопудово не страшен :)
Да, на уровне сервера с отдельным окном для входа, потом админка)
Вот, это классная тема. Тоже себе запилю такую штуку =)
С каждым обновлением вордпресса, его защита становится всё лучше и лучше. Я думаю нечего переживать ;-)
Защита-то лучше, а хозяева блогов как юзали простые пароли, так и юзают. Как не меняли дефолтный логин, так и не меняют. Здесь же идет речь не об уязвимостях WordPress, а о брутфорс-атаках.
Так здесь уже никакая защита не поможет.
Еще как поможет. Способов борьбы с брутфорсом очень много.
Хороший хакер - всё сбрутит. Что не сбрутит - то инъекцией вскроет ;-)
Так в этом-то и вся соль. Речь в статье об автоматизированных брут-атаках, а не о целенаправленном взломе
Из всего вышесказанного можно сделать несколько выводов. Сам хостинг-провайдер настойчиво рекомендует изменить имя файла, отвечающего за авторизацию на сайте:
/wp-admin.php – для WordPress
/administrator/index.php – для Joomla
Имя файла wp-admin.php можно и не менять, а просто запретить доступ к папке wp-admin посредством файла .htaccess. Но у нас ведь есть еще и файл wp-login.php, к которому доступ закрывать нельзя. Иначе как мы сами будем авторизоваться?
Файла "wp-admin.php" в WordPress не существует. Administrator/index.php в Joomla это не файл а папка. Запретив доступ к папке wp-admin посредством файла .htaccess, паролем для всех или по IP для всех, кроме себя, одновременно запрет действует на файл wp-login.php, хотя тот и не находится в каталоге wp-admin.
Вообще, вариантов защиты админки много. Например:
а) дополнительная HTTP-авторизация;
б) специальное перенаправление в .htaccess, реализованное плагином Better WP Security (в принципе, можно посмотреть созданные этим плагином правила, подкорректировать при необходимости, и использовать их и не на WP-сайтах)
Ну и т.д. и т.п. Вплоть до использования Cloud/Proxy сервисов.