发现了强制 HTTPS 后的另一个好处

[ZE3kr]

最近把日志文件和云服务连接了一下，看日志的时候发现了这个现象：绝大多数针对 WordPress 的密码破解肉机在试图破解我的密码时，都是把 POST 请求发在了 HTTP 的页面，这个页面会被重定向到 HTTPS 版本，于是跳转了之后 POST 变 GET ，破解直接就无效了。

所以启动 HTTPS 之后，相当于能过滤掉大多数这些破解密码的 Bot ，这算是 HTTPS 的另一个好处吧。

截图（预警：使用的是竖屏 “ 8K ” 显示器一次截成）

xmlrpc ，全是 bot 破解

wp-login 登陆日志也一样是这种情况，因为包含了我自己的登陆，就没发

顺便吐槽一下微博的图床，我这图片 TinyPNG 压缩完就 1.4M ，传到微博图床上被转成了 JPEG 格式，约 10M ……

[xenme]

我都在前台加个字段，这种机器人直接回 200 ，让他以为成功了

[Phant0m]

截图的是什么系统？

[jybox]

其实这应该算是 HTTP 302 重定向的坑，应该使用 307 （或 303 ）代替 302 。
见 https://developer.mozilla.org/en-US/docs/Web/HTTP/Status/307

[ZE3kr]

@Phant0m Stackdriver

@jybox 307 客户端兼容也存在问题，我估计 bot 的客户端未必支持 307 。就连我之前测试 Safari 都是没用的， post 给我变成 get 了。

[winterbells]

wordpress 可以改后台地址的啊=。=

[ZE3kr]

@winterbells 不想改，改地址我觉得只能算是一种 hack 的方式去解决，正常的解决方式是限制密码重试次数或者 ip 白名单等。 xmlrpc 如果改了的话会影响客户端使用。

[ivmm]

有两步验证，让他猜去吧

[AsherG]

静态博客就是好😂

[ys0290]

改了登录地址

[Zohar]

https://www.iwch.me/wp-login.php

[bfanr]

@Zohar 人心叵测啊，基本的信任呢。我点开没几秒没等我反应过来联通 4G 就跑了两百兆，大过年的不给我发红包就算了，还让我接着花钱订流量包😂

[Zohar]

@bfanr 噗…心疼…
(实际上已经笑疯了😂😂😂

[laukwanchan]

@bfanr 笑出声（逃

[ys0290]

@Zohar 跳转的那一下我就刻意看了一下我的 wifi 有没有连接，真是人心叵测啊！

[cchange]

@bfanr 弄得我也好想点 但是也基本没流量了😂

[Technetiumer]

而 typecho 配置一下就可以改地址，我认为不改地址才是不正常的，后台地址不应当公开。

[techmoe]

好老套的 bot

[Kaiyuan]

@Zohar 原来还可以这样啊，我弄了个 1G 的... 判断到是 Bot 访问 wp-login.php 和 xmlrpc.php 就 301 到网上找到的 Download Test File 。

[FreeDog]

@Zohar 发现用的是 Bing 的背景图，好机智

[wkl17]

图裂了啊，v2ex 用的也是外链？