博客貌似遭暴力破解

周末登录博客空间管理 da 面板,突然发现 1G 的空间快用完了,吓我一跳,立马找附件的文件夹删除那些没必要的缩略图,删着删着,发现貌似不对,我一年没更新多少博客,图片就更少,而且一直不敢用大图,即使每张图都生成3张缩略图也不至于占用空间这么厉害啊。

于是文件夹管理里一个个文件夹的看,发现有个叫 Maildir 的文件夹居然 500M 多将近 600M,打开一看,原来都是博客发邮件通知的记录,点开几个是评论回复通知的邮件内容,而绝大多数都是下面这种后台登录失败的邮件通知内容:

baolipj

我的博客有设置这种登录失败邮件通知,不过可能代码复制的有问题,这种邮件一直发不出来,从来没收到过,就像别人回复我的评论我收不到邮件通知一样,没想到都在这里了。而且增长的非常快,上午清空后,一会儿的功夫就又 40 多页了(发博客的时候已经上 50 页了):

baolipojie2

查了一下记录,估计是有人在被暴力破解我的博客登录名和密码:

baolipojie

5click

6click

网上找了一些教程,有些因为虚拟空间的限制无法使用,而那些介绍的通过 htaccess 禁止或者只允许部分 IP 可登录 wp-login.php 的方法也不起作用,问了空间商客服,说可以通过 CDN 来解决,而我最讨厌这 CDN 了,免费的 CDN 有时候还不如空间本身稳定,也不知道有什么办法能解决问题,真是晕了。

解决办法

网上有许多教程说通过插件解决,因为从一开始用博客养成的插件屏蔽症,所以不到万不得已能不用插件就不用插件,最后通过别人介绍找到了在 functions.php 添加以下代码来解决通过 wp-login.php 来暴力破解登录名密码的方法:

//保护后台登录
function login_protection(){  
    if($_GET['ox'] != 'yes') header('Location: http://lms.im/');  
}
add_action('login_enqueue_scripts','login_protection');  

加入以上代码后,直接访问 wp-login.php 将跳到首页,正确的访问地址是 wp-login.php?ox=yes,其中的 oxyes 可以改为你自己喜欢的。

加了上面的代码后,立马安静了!

作者: LMS

天行贱,君子自强自息。

标签

《博客貌似遭暴力破解》有32个想法

  1. 这个代码好,又可以少装一个插件

  2. 之前好像看过这方法是可以被破解的……

    1. LMS

      @老杨 真小人肯定很难防的了,有一些苍蝇一样的假小人能防的住就好。

  3. 易师傅

    前段时间,朋友的一个WordPress主机,放在我的VPS上,天天装各种乱七八糟的插件,导致发送垃圾邮件被服务商删了帐号。。。。。哭了一个晚上

    1. LMS

      @易师傅 哭了一个晚上?女博主么?

  4. 这个值得收藏一下呀,网上太多复制粘贴的内容,实在是太烦人了,最烦人多就是复制粘贴也就算了,还不好用,不知道有个蛋用。

  5. 隐藏登录地址很有必要。话说不知道怎么回事,昨晚的邮件提醒,发不到你的邮箱。

    1. LMS

      @灰狼 难道是我qq域名邮箱的问题么?
      我昨天也找了下,没发现有什么设置的啊。

    2. LMS

      @灰狼 哦,我换了dns解析,少了个mx的记录,刚添加上去了,应该没问题了。

  6. 🙁 前段时间有人友情检测了我博客。并且加我Q告诉我了。还算不错。比你运气好多了。

  7. 还是用vps方便,一个iptables加上failban就可以自动识别屏蔽了

    1. LMS

      @穹庐 那价格差的多嘛,当然福利也不一样了。

      1. @LMS 价格可能我的比你还便宜一点。
        我的vps一年才10美元,域名8美元好像。其他开销就没了

        1. LMS

          @穹庐 哪里的vps什么配置怎么这么便宜

          1. @LMS 搬瓦工512M的。其实便宜vps很多啦,只要你肯慢慢挑

            1. LMS

              @穹庐 搬瓦工现在没有一年10刀的vps了好像。

  8. CK

    不用插件解决的最佳方法 🙄

    1. LMS

      @CK :mrgreen: 看到你这用户名,我就想到内裤,叫内裤也不错。

      1. CK

        @LMS 耶,这是人家名字的缩写,你心邪了!

        1. LMS

          @CK CK内裤可有名了,居家旅行必备装备啊怎么就心邪了呢。

  9. 我那僵尸博客整天被人爆破

    1. LMS

      @神父 有没有很爽的感觉。

  10. 这招不错嘿。唯一要担心的是到时自己会不会记不住……
    我好久没去服务器根目录下看过了。

    1. LMS

      @大致 忘记了就ftp登录看下functions文件了。
      你是哪里的vps还是虚拟主机?

      1. @LMS bluehost。我一直用虚拟主机。VPS没功夫折腾。

        1. LMS

          @大致 以前 hisherry也是用bluehost,貌似空间很大。

    1. LMS

      @路易大叔 有什么问题可以谈嘛,何必这么让人紧张呢,坏人也不知道怎么想的。

  11. 在博客遇到的各种情况中,这是除了被黑第二讨厌的事情。

    1. LMS

      @从良未遂 就是啊,看着后台数据一直刷刷的增长,心里就莫名紧张。

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注