[WARNING] Global Wordpress Brute Force Flood

salah satu website wordpress ane kena tuuh mas, dri hari jum'at kmren ndak isa mbuka WP-admin ampe skrng blm isa2...

klo udah terlanjur kena gmna ya solusinya ?

 

waduh

ada yg gak suka nih ama cms wordpress
atau lagi latihan jebol engine wp?
bisa jadi keduanya...

 

iya website saya juga yang platform wordpress hampir semuanya kena deface.
coba masuk ke Cpanel nya, trus update email untuk admin wordpressnya, biasanya diganti sama hackernya.
kemudian reset password admin wordpress.
setelah bisa login, update theme wordpress tersebut (kembalikan seperti semula)
kalo sudah normal, install Plugin = Better WP Security dan Limit Login Attempts

semoga sukses.

 

kasih .htaccess plus .htpasswd pada wp-admin,,doble security, lumayan aman tuh

 

Thanks tipsnya mas, nanti tak cobake...
o iya sekalian nanya, itu nanti pengaruh di kontent blog nya ndak ya ?

 

Ngga membantu, mending pake better wp security... ganti url login dan wp-adminnya...
ane pake limit login attemp plus wp firewall juga jebol
tiep hari masuk email notifikasi sampe 700an email dari percobaan serangan itu..

 

SEKEDAR BUAT TAMBAHAN, BARANGKALI BERMANFAAT :

Berikut adalah tutorial tips cara mengamankan (security) website WordPress Anda :
1. Update dan upgrade versi instalasi WordPress disertai pula plugins dan template nya.
2. Jangan mempergunakan username admin sebagai administrator. Ciptakan user baru dengan username selain admin dengan hak akses (privilege) Administrator. Login melalui user baru, matikan (delete) username admin. Delegasikan semua post & links (attribute all posts and links to) ke user baru tersebut.
3. Ubah password user administrator ke level yang lebih sulit. Kombinasi huruf, angka dan karakter, misal: hyei%*5sg68a
4. Install plugins keamanan (security) seperti Better WP Security
Untuk kasus Brute Force login, langkah 1 – 3 diatas sudah cukup untuk dilakukan sebagai pencegahan. Disisi lain, server BOC melengkapi diri dengan aturan (rule) pada modsecurity server yaitu: “This new rule will block http requests to the WordPress login page more than 2 login attempts within 30 seconds. The attacking IP address will then be permanently blocked“. Langkah ke 4 dan tambahan dibawah ini adalah untuk memperkuat keamanan WordPress Anda.
Langkah tambahan untuk memperkuat keamanan WordPress Anda adalah (Opsional, ada yang sudah ditangani oleh plugin Better WP Security) :
1. Hilangkan privileges DROP pada setiap user database WordPress. Caranya dari Cpanel -> Mysql Databases -> klik nama user databasenya.

2. Hapus file README (readme.html) dan LICENSE (license.txt) melalui Cpanel -> File Manager -> public_html (sudah ditangani oleh plugin Better WP Security)

3. Pindahkan (move) file wp-config.php ke direktori diatas nya. Path sebelumnya adalah /home/userCpanel/public_html/wp-config.php setelah move menjadi /home/userCpanel/wp-config.php kemudian ubah permission file baru ke 400. WordPress akan otomatis mencari kesana.

4. Cegah semua pihak membaca file .htaccess dengan menambahkan script (sudah ditangani oleh plugin Better WP Security) :
<Files .htaccess>
order allow,deny
deny from all
</Files>

5. Cegah akses ke wp-admin hanya untuk beberapa IP yang anda gunakan (berlaku untuk pengguna layanan internet dengan IP statis), melalui CPanel -> File Manager (centang Show Hidden Files (dotfiles)) -> public_html -> klik dan edit file .htaccess, masukan script dibawah ini lalu save changes
<files wp-login.php>
order deny,allow
deny from all
# whitelist IP Pertama anda
allow from xxx.xxx.xxx.xxx
#whitelist IP Kedua anda (jika ada)
allow from xxx.xxx.xxx.xxx
#dan seterusnya
allow from xxx.xxx.xxx.xxx
</files>
6. Instal beberapa plugins rekomendasi untuk keamanan semisal wp-security-scan, wordpress-firewall, ms-user-management, Stealth Login, ultimate-security-scanner, Exploit Scanner, Timthumb Vulnerability Scanner, wordfence. Ini sesuai kebutuhan saja.
7. Perbanyak berdoa

Copas dari BOC..

 

Website ane kena hack beberapa kali dan begitu dibenerin di hack lagi, sampai 7x dicoba beberapa tips security seperti trick .htaccess dll gak ngaruh juga. Akhirnya nemuin solusinya... pindahin access wp config ke wp-config duplicate ke dalam folder tersembunyi (dan set permission 444 ke dalamnya). Sampai sekarang aman

 

selama ini belum ada pengaruh tuh....