Brute-Force-Angriffe auf WordPress & Drupal verhindern

Brute-Force-Angriffe gehören zu den ältesten und häufigsten Angriffsarten, die wir auch heute noch im Internet beobachten. Diese Angriffe sind oft nicht sehr komplex und theoretisch leicht zu stoppen und abzuschwächen, dennoch kommen sie weiterhin vor und sind erfolgreich – vor allem, weil Menschen sehr schlecht darin sind, gute Passwörter zu wählen oder sichere Zugriffsgewohnheiten zu pflegen.

XML-RPC: CMS mit XML-RPC werden häufig von Brute-Force-Angriffen ins Visier genommen, die versuchen, das Administratorpasswort zu erraten und sich bei Ihrer WordPress- oder Drupal-Website anzumelden.

XML-RPC ist eine einfache, portable Möglichkeit, Remote-Prozeduraufrufe über HTTP auszuführen. Es kann mit Perl, Java, Python, C, C++, PHP und vielen weiteren Programmiersprachen verwendet werden. WordPress, Drupal und die meisten Content-Management-Systeme unterstützen XML-RPC. XML-RPC ist eine einfache, portable Möglichkeit, Remote-Prozeduraufrufe über HTTP auszuführen. Es kann mit Perl, Java, Python, C, C++, PHP und vielen weiteren Programmiersprachen verwendet werden. WordPress, Drupal und die meisten Content-Management-Systeme unterstützen XML-RPC.

Wir empfehlen, alle Anfragen an xmlrpc.php über die .htaccess-Datei zu blockieren, noch bevor die Anfrage an WordPress oder Drupal weitergegeben wird. Fügen Sie dazu einfach den folgenden Code in Ihre .htaccess-Datei ein

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Diese Methode ist der einfachste Weg, Angriffe zu verhindern, kann jedoch bestimmte Remote-Funktionen des CMS deaktivieren. Bei Bedarf können Sie weitere, aufwendigere Methoden nutzen, um dasselbe Ziel zu erreichen.

WP-LOGIN: Es gab inzwischen mehrere groß angelegte Brute-Force-Angriffe auf wp-login.php von WordPress, die von einer großen Zahl kompromittierter, weltweit verteilter IP-Adressen ausgingen. Ein großes Botnetz mit etwa 90,000 kompromittierten Servern versucht, in WordPress-Websites einzudringen, indem es fortlaufend Benutzernamen und Passwort für das WordPress-Administrations-Dashboard zu erraten versucht.

Wir empfehlen, Anfragen an wp-login.php über die .htaccess-Datei abzusichern, noch bevor die Anfrage an WordPress weitergegeben wird. Fügen Sie dazu einfach den folgenden Code in Ihre .htaccess-Datei ein

# Block WordPress xmlrpc.php requests
<Files wp-login.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Die oben genannten Schritte sind erste Maßnahmen zur Absicherung Ihres CMS. Wir empfehlen Ihnen, die unten stehenden Links zu lesen, um weitere Schritte zur Absicherung Ihrer WordPress-Installation kennenzulernen.

Weiterführende Lektüre

1. http://codex.wordpress.org/Hardening_WordPress
2. https://www.wordfence.com/blog/2015/12/announcing-the-wordpress-security-learning-center-free-for-the-community/
3. https://premium.wpmudev.org/blog/keeping-wordpress-secure-the-ultimate-guide/
4. https://codex.wordpress.org/FAQ_My_site_was_hacked