Можно ли обслуживать определенные страницы на основе IP-адреса?

Я был целью атаки методом перебора на двух сайтах WordPress, которыми я владею. Злоумышленник использует старый добрый XML-RPC для усиления атаки паролем. К счастью, у нас очень хорошо сгенерированные пароли, поэтому я очень сомневаюсь, что он когда-нибудь будет.

Я только что использовал iptables для блокировки его запросов всякий раз, когда он снова появляется (всегда от того же провайдера виртуального облака), но я бы предпочел изменить сервер так, чтобы всякий раз, когда его IP-адрес запрашивал какую-либо страницу, он получал ответ, сообщающий ему чтобы получить жизнь. Большинство запросов являются сообщениями POST, поэтому в идеале я хотел бы просто изменить заголовок ответа так, чтобы он включал что-то вроде «Удачи в следующий раз!» или что-то в равной степени удовлетворяющее.

Это возможно? Я далеко не эксперт по Apache, поэтому я не уверен, насколько сложно это реализовать. Но даже если это займет у меня несколько часов, удовлетворение будет бесценным.

Для справки, я использую Ubuntu 16.04.2 LTS, с Apache 2.4.18 и Wordpress 4.7.3.

Просто установите fail2ban с соответствующим джейлом и покончите с этим. Не пытайтесь дать индивидуальный ответ, так как, скорее всего, его никогда не увидят.

Существует возможность, и мы сделали это довольно много, чтобы отменить возможные атаки. Используйте iptables, чтобы перенаправить облачного провайдера (диапазон адресов) на другой порт, и злоумышленник получит ответ, даже в простых заголовках.

В Apache вы можете изменить заголовки, например:

Header set GetOut "Better luck next time!"

Это очень просто с ModSecurity, который является сторонним WAF-модулем для Apache. Хотя это включает в себя изучение синтаксиса языка правил.

Вы также можете использовать ModSecurity, чтобы просто разорвать соединение, а не отвечать вообще.

Сказать, что установка ModSecurity как раз для этого, когда, как другие предлагали, вполне вероятно, что ответы будут проигнорированы, может быть излишним.

Я бы пошел с fail2ban и отбрасывал запросы из известных мест злоупотреблений. И если вы чувствуете, что поставщик услуг злоумышленника не виноват, сообщите об атаках на его адрес электронной почты.

Если вы хотите потратить время на создание чего-то, что замедлит атакующего, вы можете попробовать сделать тарпит . Сначала вы должны, конечно, знать, откуда происходят атаки. Затем вы можете использовать apache для перенаправления запроса из ip (range?) В конкретный скрипт. Это может помочь, хотя я сам не пробовал. Затем просто реализуйте скрипт, который, например, выводит точку (или что-то из / dev / null) каждые 15 секунд, чтобы соединение злоумышленника оставалось открытым бесконечно долго.

Поскольку злоумышленник, скорее всего, использует сценарии для атаки на ваш сайт, может потребоваться время, чтобы заметить, что атаки прекратились, так как все соединения, по-видимому, активны, тайм-аут не будет и запрос не будет отклонен на месте.

Проблема в том, что вы посвящаете свое время и ресурсы чему-то, что, вероятно, не будет столь же полезным, как более важная задача: защита вашего логина. Трудно атаковать, когда ты не знаешь, где атаковать. Рассмотрим некоторые из следующих:

• ограничить доступ к странице входа (только ваша интрасеть? ip range? vpn? other?).
• добавить reCaptcha или другой вопрос проверки для входа в систему.
• использовать многофакторную аутентификацию .
• скрыть страницу входа Если возможно, не делайте ссылки на него со своей главной страницы и не используйте / login или другое очевидное местоположение.