Jump to content
Sign in to follow this  
VasyaAg

Скромный брутфорс админки

Recommended Posts

Заголовок полностью соответствует содержанию)  :-)

В логах апача заметил скромного "клиента", который настойчиво, но ровно раз в два часа отправляет POST запрос, видимо с перебором логина и пароля к админке.

запрос выглядит примерно так: 

"POST /admin/index.php?route=common/login HTTP/1.1" 200 16248 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_6_8) AppleWebKit/535.2 (KHTML, like Gecko) Chrome/15.0.874.54 Safari/535.2"

только поле "User agent" меняется каждый раз.

 

У меня .htaccess-ом закрыт доступ к admin/index.php и все пользователи вместо него видят "404" страницу.

 

логин не дефолтный, пароль хороший, + рекапчу прикрутил, так что уверен, что он никогда его не подберет)

 

Однако почему он получает 200 ответ, а не 404, думаю так его "автоматика" скорее всего отвалила бы от меня.

 

Можно это как то реализовать, к примеру ещё login.php внести в .htaccess или какие другие настройки?

 

Конкретно по ip банить - слишком банально, нужен массовый вариант, этот клиент может быть не единственным)

 

Спасибо.

Share this post


Link to post
Share on other sites

Раз в два часа никто не бутфорсит.

Бутфорсят раз в пол секунды ;)

Share this post


Link to post
Share on other sites

Сделайте доступ к админке по предварительной http-аутентификации - решит часть проблем.

Edited by neonox

Share this post


Link to post
Share on other sites

Раз в два часа никто не бутфорсит.

Бутфорсят раз в пол секунды ;)

 

Поэтому и говорю, что "скромный"  :-) .

По факту он и есть. Может и раз в долю секунды, может раз в час, название термина не изменится)

 

Сделайте доступ к админке по предварительной http-аутентификации - решит часть проблем.

 

Так вот как раз хотелось бы обойтись без дополнительных паролей.

Share this post


Link to post
Share on other sites

разрешить админку только доверенным ip - и все дела ;)

Share this post


Link to post
Share on other sites

Или сделайте так, чтобы правильный логин и пароль нужно было ввести 2 раза подряд :ugeek:

Share this post


Link to post
Share on other sites

Или сделайте так, чтобы правильный логин и пароль нужно было ввести 2 раза подряд :ugeek:

 

3 раза, на счастье! я настаиваю!!! :-D

Share this post


Link to post
Share on other sites

Ну... я бы в таком случае сделал бы логирование неудачных запросов с анализом всего POST запроса

Share this post


Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
You are posting as a guest. If you have an account, please sign in.
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Sign in to follow this  

  • Recently Browsing   0 members

    No registered users viewing this page.

×

Important Information

On our site, cookies are used and personal data is processed to improve the user interface. To find out what and what personal data we are processing, please go to the link. If you click "I agree," it means that you understand and accept all the conditions specified in this Privacy Notice.