博客貌似遭暴力破解

周末登录博客空间管理 da 面板,突然发现 1G 的空间快用完了,吓我一跳,立马找附件的文件夹删除那些没必要的缩略图,删着删着,发现貌似不对,我一年没更新多少博客,图片就更少,而且一直不敢用大图,即使每张图都生成3张缩略图也不至于占用空间这么厉害啊。

于是文件夹管理里一个个文件夹的看,发现有个叫 Maildir 的文件夹居然 500M 多将近 600M,打开一看,原来都是博客发邮件通知的记录,点开几个是评论回复通知的邮件内容,而绝大多数都是下面这种后台登录失败的邮件通知内容:

baolipj

我的博客有设置这种登录失败邮件通知,不过可能代码复制的有问题,这种邮件一直发不出来,从来没收到过,就像别人回复我的评论我收不到邮件通知一样,没想到都在这里了。而且增长的非常快,上午清空后,一会儿的功夫就又 40 多页了(发博客的时候已经上 50 页了):

baolipojie2

查了一下记录,估计是有人在被暴力破解我的博客登录名和密码:

baolipojie

5click

6click

网上找了一些教程,有些因为虚拟空间的限制无法使用,而那些介绍的通过 htaccess 禁止或者只允许部分 IP 可登录 wp-login.php 的方法也不起作用,问了空间商客服,说可以通过 CDN 来解决,而我最讨厌这 CDN 了,免费的 CDN 有时候还不如空间本身稳定,也不知道有什么办法能解决问题,真是晕了。

解决办法

网上有许多教程说通过插件解决,因为从一开始用博客养成的插件屏蔽症,所以不到万不得已能不用插件就不用插件,最后通过别人介绍找到了在 functions.php 添加以下代码来解决通过 wp-login.php 来暴力破解登录名密码的方法:

//保护后台登录
function login_protection(){  
    if($_GET['ox'] != 'yes') header('Location: http://lms.im/');  
}
add_action('login_enqueue_scripts','login_protection');  

加入以上代码后,直接访问 wp-login.php 将跳到首页,正确的访问地址是 wp-login.php?ox=yes,其中的 oxyes 可以改为你自己喜欢的。

加了上面的代码后,立马安静了!

作者: LMS

天行贱,君子自强自息。

标签

《博客貌似遭暴力破解》有32个想法

  1. 这个值得收藏一下呀,网上太多复制粘贴的内容,实在是太烦人了,最烦人多就是复制粘贴也就算了,还不好用,不知道有个蛋用。

  2. 前段时间,朋友的一个WordPress主机,放在我的VPS上,天天装各种乱七八糟的插件,导致发送垃圾邮件被服务商删了帐号。。。。。哭了一个晚上

发表评论

电子邮件地址不会被公开。 必填项已用*标注