Kako u wp-login.php ograničiti pristup po IP adresi

WordPress login strana je često meta napada hakera koji pokušavaju da na taj način neovlašćeno pristupe vašem sajtu. Zato je dobro znati da možete da zaštitite ovu stranicu tako što ćete u svom wp-login.php fajlu blokirati određene IP adrese i tako im onemogućiti pristup stranici za logovanje.

U ovom tekstu ćemo objasniti kako to da uradite.

Zašto da ograničite pristup wp-login.php fajlu po IP adresi?

Kako smo rekli, login stranica u WordPress-u je stranica na koju se korisnici loguju kada treba da se uloguju na vaš sajt.

Ukoliko ste vlasnik / administrator nekog WordPress sajta, onda znate da se preko wp-login stranice logujete u dashboard, odakle možete da upravljate sadržajem i funkcionalnostima vašeg sajta.

Sa druge strane, veliki broj brute force napada koji se svakodnevno dešava na Internetu, targetira upravo wp-login.php stranice raznih sajtova. Čak i ako napadači tom prilikom ne uspeju u nameri, takvi napadi mogu usporiti, pa čak i oboriti vaš sajt.

Jedan od načina za uspešno rešavanje ovih napada jeste da blokirate IP adrese napadača. Ipak ovo može biti i problem, jer napadači često koriste veliki broj IP adresa za napade, što onda može značajno otežati pokušaj blokiranja. Na sreću postoji rešenje za tu situaciju: Blokiranje svih IP adresa, osim adrese koju koristite vi i vaši saradnici.

Ograničite pristup WordPress login stranici po IP adresi

Za ovaj metod će biti potrebno da dodate nekoliko linija koda u vaš .htaccess fajl.

Kao što ste imali prilike da pročitate u jednom od naših ranijih tekstova, .htaccess fajl je serverski konfiguracioni fajl koji je smešten u root folderu vašeg web sajta. Možete mu pristupiti preko File Manager-a u cPanel-u ili preko FTP-a / SFTP-a.

Kada otvorite ovaj fajl, potrebno je samo da u njega dodate sledeći kod. Ovaj kod dodajete pre ostalog sadržaja koji već postoji u fajlu:

<Files wp-login.php>
order deny,allow
Deny from all

# stavite na belu listu svoju IP adresu
allow from xx.xxx.xx.xx

# stavite na belu listu IP adresu drugog korisnika
allow from xx.xxx.xx.xx

</Files>

Naravno, potrebno je da xx. delove zamenite sa vašim pravim IP adresama.

Ukoliko postoje i neki drugi korisnici ili vaši saradnici kojima je potrebno omogućiti pristup login strani, moraćete da ubacite i njihove IP adrese u .htaccess fajl. Kod u tom slučaju može da izgleda i ovako:

<Files wp-login.php>
order deny,allow
Deny from all

# stavite na belu listu prvog korisnika
allow from 109.106.xxx.xx

# stavite na belu listu drugog korisnika
allow from 109.233.xxx.xx

# stavite na belu listu trećeg korisnika
allow from 141.101.xxx.xx

</Files>

Nakon ove izmene će korisnici sa navedenim IP adresama biti u mogućnosti da vide wp-login.php fajl / stranicu i uloguju se na vaš sajt. Drugi korisnici će u svom browseru videti grešku Forbidden. You don’t have permission to access this resource.

Blokirajte određene IP adrese da ne pristupaju vašem sajtu

Ovaj metod je potpuno suprotan prethodno opisanom metodu. Umesto da limitirate IP adrese koje mogu da se loguju na wp-login stranu, ovde sada imate mogućnost da blokirate određene IP adrese, da ne mogu da pristupaju wp-login strani.

Ovaj metod je posebno koristan kod WordPress sajtova kod kojih je potrebno da se prijavite kao član, ili kod e-commerce prodavnica, gde se više korisnika prijavljuje da bi pristupili svojim nalozima.

Mana ovog metoda je što napadači mogu da promene svoje IP adrese i tako nastave da napadaju vaš web sajt.

Na sreću, mnogi uobičajeni napadi na WordPress koriste set fiksnih IP adresa, pa je u najvećem broju slučajeva ovaj metod dovoljno efikasan.

Kako da pronađete i blokirate IP adrese sa koje se vrše napadi na vaš sajt?

Prvo je potrebno da pronađete IP adrese koje se koriste za napade na vaš sajt. Najjednostavniji način da pronađete te adrese je da pogledate u logovima na vašem serveru. Ulogujte se na svoj cPanel nalog i u sekciji Metrics kliknite na ikonicu pod nazivom Raw Access.

Kada vam se otvori novi prozor, pronađite sekciju pod nazivom Domains i kliknite na odabrani domen.

Preuzeće se log fajl sa .gz ekstenzijom. Taj fajl sada treba da otvorite, a to ćete najlakše uraditi pomoću nekog softvera za kompresiju / otpakivanje arhiviranih fajlova (WinRAR ili WinZip).

Sada otvorite log koji ste preuzeli. Najlakše je da to uradite pomoću notepad-a.

Sada ćete u fajlu moći da vidite IP adrese koje uzastopno pokušavaju da se uloguju na wp-login stranicu. Ukoliko se jedna ista adresa ponavlja nekoliko puta uzastopno, a znate da to nije adresa koja pripada vama ili vašim saradnicima, onda je logično posumnjati da se radi o pokušaju napada. Kopirajte te adrese / adresu, jer ćete sada da ih blokirate.

Blokiranje sumnjivih IP adresa

Sada u cPanel-u pronađite sekciju pod nazivom Security i kliknite na ikonicu pod nazivom IP Blocker.

Sada treba da blokirate sve sumnjive adrese, koje ste malopre kopirali iz loga koji ste preuzeli. Unesite svaku sumnjivu adresu / kopirajte je u polje IP Address or Domain i kliknite na dugme Add, da bi ste je dodali na crnu listu.

Svaka od tih IP adresa će se nakon toga pojaviti u sekciji pod nazivom Currently-Blocked IP Addresses (slika ispod):

Ukoliko naknadno budete želeli da odblokirate neku od ranije blokiranih adresa, jednostavno možete kliknuti na Delete sa desne strane, da biste je skinuli sa crne liste.

Nenad Mihajlović