Se protéger des attaques par force brute sur WordPress et Drupal

Les attaques par force brute comptent parmi les types d'attaques les plus anciens et les plus courants que l'on observe encore aujourd'hui sur Internet. Ces attaques sont souvent peu complexes et théoriquement faciles à bloquer et à atténuer, mais elles se produisent toujours et réussissent, principalement parce que les utilisateurs choisissent très mal leurs mots de passe ou n'adoptent pas de bonnes pratiques de contrôle d'accès.

XML-RPC: les CMS dotés de XML_RPC sont fréquemment la cible d'attaques par force brute visant à deviner le mot de passe administrateur et à se connecter à votre site WordPress ou Drupal.

XML-RPC est un moyen simple et portable d'effectuer des appels de procédure à distance via HTTP. Il peut être utilisé avec Perl, Java, Python, C, C++, PHP et de nombreux autres langages de programmation. WordPress, Drupal et la plupart des systèmes de gestion de contenu prennent en charge XML-RPC. XML-RPC est un moyen simple et portable d'effectuer des appels de procédure à distance via HTTP. Il peut être utilisé avec Perl, Java, Python, C, C++, PHP et de nombreux autres langages de programmation. WordPress, Drupal et la plupart des systèmes de gestion de contenu prennent en charge XML-RPC.

Nous vous recommandons de bloquer toutes les requêtes vers xmlrpc.php depuis le fichier .htaccess, avant même que la requête ne soit transmise à WordPress ou à Drupal. Il vous suffit de coller le code suivant dans votre fichier .htaccess

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Cette méthode est la plus simple pour prévenir l'attaque, mais elle peut désactiver certaines fonctionnalités à distance du CMS. Vous pouvez, si nécessaire, explorer d'autres méthodes plus complexes pour obtenir le même résultat.

WP-LOGIN: plusieurs attaques par force brute à grande échelle visant wp-login.php de WordPress ont été observées, provenant d'un grand nombre d'adresses IP compromises réparties dans le monde entier. Un important botnet d'environ 90,000 serveurs compromis tente de s'introduire dans des sites WordPress en essayant continuellement de deviner le nom d'utilisateur et le mot de passe pour accéder au tableau de bord d'administration de WordPress.

Nous vous recommandons de sécuriser les requêtes vers wp-login.php depuis le fichier .htaccess, avant même que la requête ne soit transmise à WordPress. Il vous suffit de coller le code suivant dans votre fichier .htaccess

# Block WordPress xmlrpc.php requests
<Files wp-login.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

Les étapes ci-dessus sont des mesures préliminaires pour sécuriser votre CMS. Nous vous recommandons de consulter les liens ci-dessous pour connaître les étapes supplémentaires permettant de sécuriser votre installation WordPress.

Lectures recommandées

1. http://codex.wordpress.org/Hardening_WordPress
2. https://www.wordfence.com/blog/2015/12/announcing-the-wordpress-security-learning-center-free-for-the-community/
3. https://premium.wpmudev.org/blog/keeping-wordpress-secure-the-ultimate-guide/
4. https://codex.wordpress.org/FAQ_My_site_was_hacked