Zum Inhalt

WordPress: BruteForce per .htaccess abwehren

Jeder, der eine WordPress-Instanz mit einem Plugin wie LoginSecuritySolution betreibt, kennt sicher die Erinnerungsmails zu Brute-Force-Angriffen. Mit einer einfachen .htaccess-Modifikation lassen sich die Login-Namen ausreichend vor den Angreifern verstecken. Die hier genannten Vorschläge haben zwar etwas von Augenwischerei, weil sie weder die Symptome bekämpfen noch vollständig sind; derzeit decken sie aber um die 98% der Angriffe ab. Dabei bedarf es nur eines minimalen Eingriffs in die Blog-Konfiguration via .htaccess.

Polizeiabsperrung - Karl-Heinz Laube / pixelio.de
Polizeiabsperrung – Karl-Heinz Laube / pixelio.de

Problem sind die Autorennamen

Der Angreifer macht es sich einfach, in dem er erst einmal die Autorennamen abgreift. Die lassen sich einfachst über eine URL abfragen, an der man die Autoren-ID anhängt. Da man diese nicht kennt, lässt man diese als Nummer einfach hochzählen. Der Angreifer hat bei einer Standard-Wordpress-Installation also leichtes Spiel, an den Autoren-Namen und damit den Loginnamen zu gelangen.

Autorennamen per curl abfragen

Die folgenden Schritte zeigen auf, wie man die Namen aller Autoren eines Blogs herausbekommt. Zunächst schreibt man sich ein Shell-Skript, was in einer For-Schleife die ersten z.B. 100 Autoren des WordPress-Blogs heraussucht. Die AutorenID-URL ist dabei ganz einfach aufgebaut und lässt sich (wie oben erwähnt) wie folgt abfragen:

Hierbei handelt es sich bei einer WordPress-Installation um eine Weiterleitung auf die URL mit dem Autorennamen. Eine Weiterleitung bedeutet, dass im HTTP-Header eine Location-Direktive zu finden ist, welche die Ziel-URL enthält. Man kann also einfach nach der Ziel-URL suchen, sobald man auf einen 301-Redirect stößt und diesen (da immer gleich aufgebaut) nach dem Autorennamen parsen. Man erhält somit den Benutzernamen.

Erklärung: Der erste Befehl (curl) lädt die URL. Der Parameter -I (großes i – das ist wichtigt) zeigt ausschließlich die Kopfzeilen (Header) an, ohne den Body auszugeben. Hier zählen wir so lange mit der ID hoch, bis wir im Header den Status-Code 301 Moved Permanently finden. Ist die Autoren-ID unbekannt, erscheint sonst ein Status-Code 404.
Nun starten wir die Anfrage noch einmal, filtern allerdings auf die Zeile mit dem Inhalt „Location:“ und holen uns denjenigen Teil der Zeile, der hinter dem Abschnitt /author/ steht. Da der Benutzername keine Schrägstriche enthalten darf, suchen wir einfach so lange, bis wir wieder auf einen Schrätstrich stoßen. Die Ausgabe enthält dann nur noch das Muster in den maskierten runden Klammern.

Wie man sieht, lässt sich also der Autorenname leicht durch einfachste Brute-Force-Techniken herausfinden. Damit kann ein Angreifer seinen Brute-Force-Angriff starten. Natürlich wollen wir das nicht, also schauen wir uns eine Abwehrmöglichkeit an.

Redirect per .htaccess unterbinden

Die einfachste Möglichkeit ist ein http-Redriect. Der Grund ist, dass der Webserver ohne Aufruf des PHP-Interpreters die Anfrage beantworten kann – damit spart man wertvolle CPU-Zeit und Last. Glücklicherweise gibt es keine Internen Links auf die Autoren-ID — es wird immer nur auf den Autorennamen verlinkt. Daher kann man die Anzeige der Autoren-ID problemlos unterbinden.

Die Autoren-ID lässt sich daher mit der folgenden Direktive unterbinden, die man vor dem Blog # BEGIN WORDPRESS  einfügt:

Die oben angegebe Anweisung leitet den Angreifer auf die nicht-existente Seite /author/ um. Er wird zudem mit einem Status-Code 303 (See Other) umgeleitet um anzudeuten, dass diese Seite nicht verschoben wurde (301 oder 302), sondern ein anderer Inhalt dargestellt wird. Dieser endet zwar in einem 404 (Not Found), aber das ist hier nun gewollt.

Das war es im Endeffekt schon. Will man nun einen beliebigen Autoren aufrufen, erhält der Angreifer folgende Meldung, die man mit einem gleichen Befehl per Curl abfragen kann:

Wichtig ist aus meiner Sicht, dass die Antwort schnell kommt – das ist bei der Lösung über die htaccess-Datei gegeben.

Augenwischerei, die etwas hilft

Zur Qualität meiner Lösung: Kritisch betrachtet ist sie Augenwischerei, bzw. Security by Obscurity. Denn natürlich lässt sich der Autorenname immer noch herausfinden. Der Link zur Autorenseite steht ja etwa in der sitemap.xml oder auch als Link am Ende eines jeden Blogartikels.

Die Umleitung zu nutzen ist aber die beliebteste Variante der Angreifer. Das liegt daran, dass sie nicht – im Gegensatz zu den oben genannten Lösungen – einen HTML- oder XML-Quellcode parsen müssen. Man deckt also nicht alle Fälle ab, aber immerhin einen Großteil, weil die Angreifer sich natürlich nur so wenig Arbeit wie möglich machen möchten. Das alleine ist aber schon viel wert!

Login Security Solution
Entwickler: Daniel Convissor
Preis: Kostenlos

Es ist daher sicherlich sinnvoll, weiterhin das Plugin Login Security Solution zu nutzen.

Absicherung der xmlrpc.php

Ein völlig anderes Kapitel ist die Datei xmlrpc.php. Dort befinden sich alle Funktionen, mit denen andere Programme auf den Blog online zugreifen können. Das sind neben Trackbacks, Pingbacks und Kommentaren auch Funktionen wie der Login und Posting – eben alles, was man für die Android-App etc. braucht. Auch hier gibt es eine Lösung, die ebenfalls nur Augenwischerei ist.

xmlrpc.php per .htaccess absichern

Auch hier gibt es eine „Absicherung Light“. Mit dem folgenden Code müssen Angreifer sich immerhin mit der richtigen Browserkennung identifizieren. Tun sie das nicht, gibt es keinen Zugriff auf Pingbacks, Trackbacks, usw. — leider verhindert das auch den Pingback von nicht-Wordpress-Blogs.

Hier werden die gültigen Clientnamen „Poster“, „WordPress“, „Windows Live Writer“, „wp-android“, „wp-iphone“ und „wp-windowsphone“ in die Umgebungsvariable allowed geschrieben dann als einzig erlaubte Browser-Kennungen zugelassen. Natürlich kann ein Angreifer seine Absenderkennung beliebig setzen – aber üblicherweise tun sie es nicht. Damit ist diese Lösung also kinderleicht und deckt ebenfalls vorerst 90% der Fälle ab.

Weitere Maßnahmen

WordPress-Plugins, die gegen Brute Force helfen

Einmal-Passwörter zusätzlich zum Standard-Passwort schaffen zwei Sicherheitsebenen: Eine Sache, die man weiß (das Passwort) und eine Sache, die man besitzt (Token-Generator). Daher empfehle ich das Plugin Google Authenticator. Leider wird es nicht mehr aktiv weiterentwickelt.

Google Authenticator
Entwickler: Henrik Schack
Preis: Kostenlos

Alternativ: Da das Plugin wie gesagt nicht weiterentwickelt wird, werde ich mir nochmal miniOrange 2factor Authentication anschauen.

Nicht zu vergessen lässt sich auch Brute-Force mit anderen Plugins abwehren. Wer etwa Captchas Sexy findet, kann auch Limit Login Attempts ausprobieren. Ich nutze es selbst aber nirgends, da das oben genannte Login Security Solution eine ähnliche Funktion mitbringt, und die Kombination mit dem Google Authenticator ziemlich narren- und einbruchsicher ist.

WP Limit Login Attempts
Entwickler: Arshid
Preis: Kostenlos

Welche Absicherungen braucht es noch?

Was habt ihr noch in eurer .htaccess -Datei stehen? Was ist ein muss? Was ist ein No-Go? Habe ich euer Lieblings-Plugin vergessen? Schreibt es mir in die Kommentare!

Veröffentlicht inHow Tos

Ein Kommentar

  1. Schöner Artikel. Benutze bisher WP Lim.Lo.Ac. Werde den Code für die htaccs. ausprobieren. Übrigens deine Blog-links sind auf https eingestellt und noch nicht angepasst. Bspl. https://blog.bmarwell.de/tag/gpg/

    Grüße Karla

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.