2015 年最大的愿望就是 wordpress 的 BUG 赶紧修复了吧...

[qiuai]

[kmvan]

什么bug？难道你也发现了？我还以为我自己一个人发现了漏洞

[qiuai]

@kmvan 我现在每天都要用很多时间处理服务器的安全问题.就因为WP...唉

[kmvan]

@qiuai 我现在每天都要用很多时间处理服务器的安全问题.就因为WP...唉
报给官方吧，他们会很快解决的。如果是比较严重的bug，第二天就有修正版了

[anewg]

每天都处理一堆安全问题？wordpress 安全性bug有多成这样？确定不是服务器或其他地方有漏口？

[sumhat]

是 WP 本身还是插件的 bug? 举个例子来看看

[diartyz]

什么bug 求教

[lvfujun]

什么Bug快快放出我来修复.

[qiuai]

@kmvan
@anewg
@sumhat
@diartyz
@lvfujun

我说的是WP-LOGIN.PHP F5的问题.和现在一直没修复的爆破问题.

[sumhat]

@qiuai F5 不能算是安全问题，爆破问题可以用插件解决，比如两步验证。

[qiuai]

@sumhat 都无法解决对系统的巨大压力

[kn007]

@qiuai wp-login.php？什么问题？一直刷新带来的负载？
你可以试试 http://kn007.net/wp-login.php
直接访问是无用的，必须特定才可以，禁用了找回密码等。

[qiuai]

@kn007 现在早就改成尝试密码了.我这经常一个报警就已经检测了2W次...

[kn007]

@qiuai 我晕，这么多

[qiuai]

@kn007

IP 5.196.5.116 has 24822 failed login attempts: wordpress2=24822

只是随便翻了几条日志,就有这么一条...

现在真的是每天都有几十万条的攻击.全是从国外过来的...我都想直接屏蔽掉这些地区的所有IP,又怕影响客户...做虚拟主机累啊...

[kn007]

@qiuai 你还做虚拟主机？我以为你只是vnet.link，话说延迟很大啊，经常timeout（测试的时候提示none of the name servers responded in a timely manner）尝试密码的话，用REFERER或fail2ban试试？

[qiuai]

@kn007 我转给技术让他看看.

[kn007]

@qiuai http://kn007.net/topics/wordpress-how-to-protect-the-wp-login-php-and-wp-cron-php/
我新弄的办法。感觉可以

[qiuai]

@kn007 麻烦的就是虚拟主机是apache的..而且也没有什么全局的解决方案.现在是检测WP-LOGIN的频率,超过一个阈值就直接杀掉IP.

[kn007]

@qiuai 我的是站不多，全部都做了同样的保护。
确实，如果是客户的，那就麻烦一点。
对于小白，他肯定是简单就好

[qiuai]

@kn007 是的.现在的很多客户都只管写文章,不管别的...昨天发现一个客户的站被黑了,好像被人传了个php的代理程序...结果一问根本不知道...都不知道装了多久了...