Ähnlich wie bei Thomas häuften sich bei mir in den letzten Tagen Angriffe auf meinen Blog. Das Ganze sogar recht aggressiv – 133 Login-Versuche innerhalb einer Stunde.
 
Da ich mich bei jedem fehlgeschlagenen Versuch per E-Mail benachrichtigen lasse, könnt Ihr Euch leicht vorstellen, wie mein Posteingang ausgesehen hat.
 
Das ist natürlich sehr nervig und genau wie Thomas sah ich Handlungsbedarf, da Login-Attempts zwar nach wie vor sehr zuverlässig seinen Dienst verrichtet, sich aber dennoch verstärkt auch korrekte Anmeldenamen eingeschlichen haben. Da muß es offenbar ein weiteres Loch geben, denn dieses hier habe ich erfolgreich gestopft.
 
Thomas geht in seiner Lösung nun den Weg, den ganzen Adminbereich über die .htaccess zu schützen. Das hatte ich ebenfalls eine zeitlang immer wieder verwendet, aber irgendwie ist es einigen Stinkstiefeln trotzdem gelungen, diesen zusätzlichen Schutz zu umgehen. Login-Attempts war also weiterhin dringend notwendig.
 
Nach dieser Angriffswelle vorgestern habe ich auf die Suche nach einer brauchbaren Lösung gemacht.
Mein Gedanke war, was ein Angreifer nicht kennt, kann er auch nicht angreifen.
Kurz: einfach die wp-login.php umbenennen und dann sollte zumindest von dieser Seite aus Ruhe sein.
 
Und genau hierfür gibt es ein kleines aber feines Plugin: Lockdown WP
 
Mithilfe dieses Plugins läßt sich die wp-login.php in eine beliebige Zeichenfolge umbenennen und jeder, der die “normale” Login-Seite aufruft, bekommt die 404 zu sehen.
 
Zusätzlich läßt sich der Admin-Ordner vor neugierigen Blicken verstecken. Auch hier gibt es die 404.
 
Genau das, was ich gesucht habe. Ich hoffe, jetzt ist für eine Weile Ruhe. Login-Attempt läuft hier natürlich weiter – das hat sich in der Vergangenheit ja bewährt und man kann ja nie wissen, ob da ein findiger Angreifer nicht doch die neue Anmeldeseite herausfindet.
 
Für diejenigen, die lieber auf PlugIns verzichten, gibt es hier noch eine “händige” Lösung. Diese erschien mir aber etwas unpraktisch, da dies offenbar bei jedem WordPress – Update neu geändert werden muß. Außerdem ist diese Methode mit Arbeit verbunden. Da habe ich am Wochenende keine Böcke drauf
 
[Update:] das Plugin greift offenbar nur bei einer Domain – ohne www war die Login-Seite nach wie vor aufrufbar. Das läßt sich ja aber schnell in der .htaccess über die Zeilen
RewriteEngine on
RewriteCond %{HTTP_HOST} !^www\.deine-domain\.de$
RewriteRule ^(.*)$ http://deine-domain.de/$1 [L,R=301]
beheben. Diese Zeilen sollten ja sowieso da drin stehen. Bei mir sind sie irgendwann unterwegs mal verloren gegangen…