Apacheログに/wp-login.phpへのPOSTリクエストが多数あるとはどういう意味ですか？

メッセージは私のサーバー上のWordPressサイトに向けられます。これらはaccess_logからのものであり、これが私を心配させるべきかどうかはわかりません。

同じメッセージが毎回数秒にわたって100行をはるかに超えています。意味がわからない場合は、ログを以下に示します。

108.162.216.73 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:49 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:50 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:51 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:52 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:53 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
103.22.200.207 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"
108.162.216.73 - - [22/Oct/2014:21:54:54 -0400] "POST /wp-login.php HTTP/1.1" 200 3467 "-" "-"

これら2つのIPアドレスのすべてのインスタンスについてカウントを行ったところ、22日以降、少なくとも100,000回以上アクセスされました。

apache-http-server logging wordpress

— トラヴィス
ソース

回答:

誰かがログインページを総当たり攻撃しようとしています。HTTP POSTリクエストはHTMLフォームデータに使用されます。wp-login.phpページの場合、これはおそらくユーザー名/パスワードフォームになります。

特にWordPressについては、このwikiページを読む必要があります。このページには、インスタンスを取得して保護するための次のような便利な手順が記載されています。

adminユーザー名を使用していない
強力なパスワードを選ぶ
プラグインを使用して、WordPress、Apache、またはサーバーレベルでのログイン試行を制限する
htpasswd-ページの保護（ジェネレーターの助けを借りて）

いずれにせよ、セットアップfail2banは必ず検討する必要があります。特定のIPがマシンにログインしようとする回数を制限します（FTP、SSHなどを使用）。

— slhck
ソース

fail2banをセットアップしようとしましたが、サーバーにアクセスできなくなりました。安全な再起動を使用できましたが、削除することはできませんでした。私は自分の問題をグーグルで調べましたが、Centos 7の他のユーザーも同じ問題を抱えていることがわかりました。幸いなことに、サーバー上に何もなかったため、OSを再インストールしただけで数分かかりました。

— トラビス14年

ああ、それは残念です。CentOSサーバーで問題が発生したことはありません。通常、それほど干渉するべきではありません。

— slhck

検討する価値があるもう1つのことは、PeerGuardianです。

— パラドロイド14年

あなたは、認証用のSSHキーを使用して完全にログインベースのSSHパスワードを無効にすることを検討すべきである、それはおそらく、サーバー上のデフォルトのSSHポートを変更するのは良いアイデアだ..あなたは、パスワードベースのSSHログインを持っているときの、何かが予想されること@travis

— 冬

@glglglそれは抑止力です。それは誰かが「これは安全ではないのだろうか...」-指示された攻撃を止めませんが、カジュアルなハッカーを止めます。「他のどこかが簡単です。」

強引なハッキングがWordPressサイトの管理コンソールに侵入しようとするようです。これらはWordPressサイトで常に入手しています。パスワードが「pass」であるadminというユーザーがいた場合、それらのユーザーは今のところ確実にアクセスできます。

一定回数のログイン試行後にIPアドレスをブロックするセキュリティプラグインをインストールします。Wordfenceを使用します。

— パラドロイド
ソース

これらのIPアドレスは、サンフランシスコと日本のCloudFlare CDNサーバーから来ているようです。これは少し奇妙です。

— パラドロイド14年

これは、サイトがCloudFlareの背後にあることを意味すると思います。そこはおそらくだX-Forwarded-Forようなものは、ヘッダmod_rpaf使用することができますが、それはまで設定されていない

— ceejayoz

@ceejayozどういう意味かわかりません。wp-login.php静的なファイルではありません、それはとにかくCDN上ではありません。これらの着信接続がCloudFlare CDNサーバーから来ているように見える理由がわかりません。CloudFlareもサーバーホスティングを行うのでしょうか？

— パラドロイド14年

ドメイン全体をCloudFlareに向けることができます（通常はそうします）。つまり、受信リクエスト-GETおよびPOST（動的または静的）-最初にCloudFlareを通過し、IPを取得します。

— ceejayoz 14年