A-A+

WordPress 受到大規模攻擊,建議用家修改密碼

網站受到攻擊屢見不鮮,早前黑客就以 Twitter 漏洞去偷取密碼。今次是另一受歡迎的網站 – WordPress,其創辨人 Matt Mullenweg 日前在 Blog 上就建議用家修改密碼。

Screen Shot 2013-04-15 at 10.36.41 AM

今次黑客是針對 WordPress 使用 “admin" 作為預設登入帳戶的漏洞去攻擊,不少用家申請帳戶時只使用簡單密碼,而黑客就利用 Brute Force 方式不斷嘗試密碼的可能,從而偷取該帳戶資料。Matt Mullenweg 表示,黑客透過多達 90,000 個不同 IP 地址不斷登入去嘗試以不同密碼登入,亦令其網站速度大幅拖慢。雖然 Matt Mullenweg 亦聲稱 99% 用戶或網站沒有該問題,但仍建議作出密碼修改,可能的話可以使用其雙重認證功能,另外請升級至最新的 WordPress 版本。

來源:ma.tt

因為這次攻擊行動的規模非常龐大,再加上攻擊來源是由分散在世界各地的殭屍電腦而來,因此一般的防護方式仍然無法斷絕攻擊,在國外的資安報告中,有針對攻擊發動者的攻擊行為進行分析,雖然攻擊行為可能隨時會有變動,但是把握最基本的攻擊行為對於資安防護上仍然是非常有效果的,在這邊整理提供給大家參考:

1. 最常被攻擊的帳號

如果你的 WordPress 中有以下帳號,就得特別強化密碼強度,以免密碼遭到破解,最常被嘗試攻擊的帳號依序為:

  1. admin
  2. test
  3. administrator
  4. Admin
  5. root

其中最需要注意的是「admin」這個帳號。

2. 最常被嘗試的密碼

因為攻擊的方式是使用暴力破解法,因此駭客會嘗試以各種不同的密碼登入您的網站,請避免使用已下密碼組合:

  1. admin
  2. 123456
  3. 666666
  4. 111111
  5. 12345678
  6. qwerty
  7. 1234567
  8. #@F#GBH$R^JNEBSRVWRVW
  9. password
  10. 12345
  11. $#GBERBSTGBR%GSERHBSR
  12. %G#GBAEGBW%HBFGBFXGB
  13. RGA%BT%HBSERGAEEAHAEH
  14. aethAEHBAEGBAEGEE%
  15. 123
  16. 123qwe
  17. 123admin
  18. 12345qwe
  19. 12369874
  20. 123123
  21. 1234qwer
  22. 1234abcd
  23. 123654
  24. 123qwe123qwe
  25. 123abc
  26. 123qweasd
  27. 123abc123
  28. 12345qwert

3. 發動攻擊次數最多的主機

根據統計,已下 IP 是攻擊最頻繁的來源,如果您的系統有設置防火牆,可以將這幾個 IP 封鎖,減少被攻擊的機會:

  1. 31.184.238.38
  2. 178.151.216.53
  3. 91.224.160.143
  4. 195.128.126.6
  5. 85.114.133.118
  6. 177.125.184.8
  7. 89.233.216.203
  8. 89.233.216.209
  9. 109.230.246.37
  10. 188.175.122.21
  11. 46.119.127.1
  12. 176.57.216.198
  13. 173.38.155.22
  14. 67.229.59.202
  15. 94.242.237.101
  16. 209.73.151.64
  17. 212.175.14.114
  18. 78.154.105.23
  19. 50.116.27.19
  20. 195.128.126.114
  21. 78.153.216.56
  22. 31.202.217.135
  23. 204.93.60.182
  24. 173.38.155.8
  25. 204.93.60.75
  26. 50.117.59.3
  27. 209.73.151.229
  28. 216.172.147.251
  29. 204.93.60.57
  30. 94.199.51.7
  31. 204.93.60.185

WordPress 官方有整理了一份增強 WordPRess 安全性的文章提供參考。能夠補強的地方很多,您可以參考這份文件來補強自己的系統,避免遭到駭客入侵。

http://codex.wordpress.org/Hardening_WordPress

標籤: