大量 GET /wp-login.php 记录有威胁吗？

[Quaintjade]

看了下 WP 日志，有一大坨 "GET /wp-login.php HTTP/1.1" 200 的记录，每两次换一个 IP ，很明显是恶意访问。但问题是如果是尝试暴力破解密码不应该是 POST 吗？ GET 有什么用？看后面也没跟类似于 ?user=xxx&password=xxx 之类的参数。

频率大概几秒到几分钟一次，也远达不到 DDCC 。

所以这种攻击究竟在干什么呢？

177.135.125.206 - - [13/Aug/2016:05:13:00 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
177.135.125.206 - - [13/Aug/2016:05:13:01 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
89.211.148.154 - - [13/Aug/2016:05:14:31 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
89.211.148.154 - - [13/Aug/2016:05:14:32 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
78.98.40.39 - - [13/Aug/2016:05:14:53 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
78.98.40.39 - - [13/Aug/2016:05:14:54 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
109.242.65.92 - - [13/Aug/2016:05:15:50 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
109.242.65.92 - - [13/Aug/2016:05:15:53 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
190.209.182.227 - - [13/Aug/2016:05:16:19 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
190.209.182.227 - - [13/Aug/2016:05:16:20 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
2a01:cb04:80c:4200:6df1:44b1:d7fa:79f4 - - [13/Aug/2016:05:18:13 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"
2a01:cb04:80c:4200:6df1:44b1:d7fa:79f4 - - [13/Aug/2016:05:18:14 +0800] "GET /wp-login.php HTTP/1.1" 200 2834 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1"

[crab]

判断是不是 wp 博客程序吧

[Quaintjade]

@crab
但只要访问一两次就够了吧，这个总共访问了大约 2000 多次……

[zhaoxiting1997]

估计不是每两次换一个 ip ，是有很多 ip 都在用某种扫描程序扫全网。。。

[ivmm]

屏蔽 UA 吧

[Quaintjade]

@zhaoxiting1997
你的意思是这些 IP 互相之间不知道某个网站已经被扫过了，所以重复扫描？
但是从时间上看各个 IP 都是连续的，不会同时一起扫，也不会相隔很长时间，看起来应该是一起的。

@ivmm
封起来不难。但我很好奇这些 IP 究竟想做什么事情。

[peartail]

试试用 .htaccess 禁止访问 wp-login.php

或者安装 CloudFlare

[ranran]

以前也是看着超级不爽，装个防暴力破解的也是天天有来暴力的，于是分析了日志后写了个插件，就全部消灭了（主要是访问消耗资源啊，虽然很少，但是就是不爽资源浪费在这种地方）

[gulucn]

我用 fail2ban ，每天都会封掉几个新 IP 。

[llrg222]

修改 WordPress 登陆文件名 wp-login.php ，防密码被暴力破解
可能有人在碰瓷