有天你闲来无事翻后台登录日志，好家伙，几十上百条失败记录，同一个IP换着用户名试密码，从凌晨试到天亮。别慌，这十有八九是爆破脚本在自动跑，它不光试你的站，全网扫描着试，广撒网捞鱼。但你也别不当回事——脚本虽笨，架不住日夜不停地试，真让它蒙对一次弱密码，网站就完了。今天教你怎么识别这类攻击，以及怎么给后台加几道实用的锁。
先认出攻击的几种样子
爆破攻击最常见的是撞库和暴力破解：撞库是用别处泄露的用户名密码组合来试你的后台，暴力破解是盯着一个用户名硬试各种密码。特征都挺明显：短时间内大量失败登录、来源IP集中、尝试的用户名要么是admin这种常见名要么是随机生成的。还有一种是扫描器在探测你的后台路径，日志里会看到一堆不存在的路径请求，那是在找你后台入口在哪。认出这些特征，你就知道该防什么了。
第一道锁：换个不显眼的后台地址
WordPress的后台默认在/wp-admin，这是公开的秘密，扫描器闭着眼都知道去哪敲门。把后台地址改掉，攻击者就得先找到门在哪，这能劝退一大批懒人扫描器。WordPress可以用插件或者代码改后台路径，改完记得收藏好新地址，别自己都找不着了。别嫌这招土，它真能挡掉大部分自动化攻击，攻击脚本哪有功夫先探测你的后台地址再慢慢试。
第二道锁：限制登录尝试次数
登录尝试次数限制是最直接的招：同一个IP或者同一个账号，短时间内失败太多次就直接锁住一段时间，脚本再怎么试也是白费力气。WordPress装个登录限制插件就能搞定，设置失败几次后锁定多少分钟，一般设置5次失败锁15分钟就够用了。注意别设得太狠，不然你自己手滑输错几次密码也被锁门外，那才叫尴尬。
第三道锁：验证码和双因素认证
验证码能挡住纯脚本的自动化尝试，因为脚本处理图片验证码的代价很高，很多攻击者直接放弃。再进阶一步就是双因素认证：登录除了密码，还要输手机验证码或者用认证器App生成的一次性码。双因素认证基本能把爆破这条路彻底堵死——就算密码泄露了，没有第二重验证也进不来。敏感的后台，强烈建议上双因素，这是性价比最高的安全投资。
日志和告警：让它无处遁形
防是一方面，看得见是另一方面。把登录失败记录接上告警：短时间大量失败就通知你，这样攻击发生的时候你第一时间知道，而不是事后翻日志才发现。平时也可以定期看看登录日志，了解有没有人盯上你的站。很多面板和管理工具都有现成的登录日志和告警功能，设置一下就行，别浪费现成的功能。
对了，还有个细节：管理员的用户名别用默认的admin，注册个新管理员账号，把admin降权或者删掉。攻击脚本最爱试的用户名就是admin，你把它换了，等于又少了一道被蒙对的机会。
被爆破成功之后，第一时间做啥
万一真倒霉，后台被爆破进去了，别慌也别删日志，按顺序处理：先改所有账号密码，把可疑的后台会话全部踢下线，很多程序可以一键注销所有会话；然后排查有没有被植入后门，重点查定时任务、上传目录和主题插件文件，之前讲挂马排查的那套流程直接套用；最后查一下后台有没有被创建新管理员账号，攻击者常干这事留后门。处理完别忘了复盘漏洞：是密码太弱还是少了限制，把对应的锁补上，别让同一块石头绊倒两次。
最后说句实在话
后台爆破这事，说大可大说小可小：不设防的站，等于把门虚掩着等贼来；设好上面几道锁，爆破脚本基本就绕着你走了。换个后台地址、加个登录限制、上个双因素、开好告警，这几件事加起来用不了半天，换来的却是后台长期的安全。别等真被攻破了才后悔没早做，那时候损失的可就不只是时间了。记住一句话：后台的门锁，宁可多上几道，也别图省事只挂一把，安全这事，永远不嫌麻烦，别等出了事才想起来补课，那时候就晚了。真要防患于未然，现在就把锁加上吧。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
