WP-Login-Versuche die 3.

Tja, es hört nicht auf…
Warum müssen die Leute es ständig wieder versuchen?

Jetzt wird die Registrierung deaktiviert und der Login mit htaccess-Schutz versehen!

Sorry, wer einen Kommentar schreiben will, macht das per Twitter

WordPress-Login die 2.

Ich wollte mal auf die ständigen Versuche von WordPress-Logins reagieren:

Bei Heise gibt es z.B. die Meldung: Botnet attackiert WordPress-Installationen weltweit. Ich bin mir ziemlich sicher, dass meine WordPress-Installationen davon betroffen sind / waren.

Ab sofort habe ich etwas drastische Maßnahmen ergriffen und Sperre jede Menge Adressen, Verbindungsversuche, Skripte etc.
Das ist zwar teilweise ein Schritt gegen das freie Internet, aber ich will echt nicht jede Minute eine Mail bekommen, über fehlgeschlagene Loginversuche. OK, ich könnte die Benachrichtigung ja auch abschalten, aber eigentlich interessiert mich das schon, wer da von wo ständig versucht, sich mit dem Benutzer admin anzumelden.
Interessant ist, wenn man ganze Länder vom Zugriff auf den Server ausnimmt ( http://www.find-ip-address.org/ip-country/ ) gehen die Versuche extrem zurück. Da dieser Blog auf deutsch ist, denke ich, wird das nicht so schlimm sein 🙂

Immerhin kann man sich jetzt wieder registrieren und Kommentare schreiben (hatte ich vorher alles mit einer Passwort-Abfrage geblockt, sorry dafür!)

Für eigene Gedanken zum Thema WordPress und Sicherheit ist auch die 5G Blacklist zu empfehlen. Bitte aber unbedingt an die eigenen Erfordernisse anpassen und erweitern! Copy & Past ist da meist nicht hilfreich!.

Außerdem empfehle ich den Blog von Sergej Müller. Speziell seine 10 Schritte zum Schutz des Adminbereiches. Leider ist die Seite nicht mehr erreichbar. Hilfreiche Tipps zu allen möglichen Themen sind auf github zu finden. Aber genauso die Seiten von Frank Bültge: WordPress sicherer machen.

Remember: always check and change your password.

Twitter-Test

Jetzt hab ich ein Plugin, dass neue Beiträge etc. auf Twitter veröffentlichen soll und das tut nicht… oder doch?

steht dieser Text auf twitter, dann tut es doch und ich bin nur zu blöd dazu 🙁

Projekt: Ordnung im Papier-Chaos – Teil 3

Projekt: Ordnung im Papier-Chaos – Teil 3

Die Geschichte ging natürlich weiter, auch wenn ich nicht mehr darüber geschrieben habe…

Es gab einige Änderungen und vieles ist noch in Arbeit, so dass dieser Artikel noch öfter überarbeitet werden wird, aber trotzdem hier mal der Zwischenstand:

Technische Umsetzung

Ich brauche also zur technischen Umsetzung folgendes:

  • NAS-System
  • Dokumenten-Scanner / Flachbrett-Scanner
  • DMS-Software
  • Scanworkflow
  • Ablagesystem von gescannten Dokumenten, die noch als Papier benötigt werden
  • viel Zeit 🙂

Die Reihenfolge der Punkte ist eher zufällig, da ich in der Planung anders vorgegangen bin:

Mein erster Punkt war ja, dass das System auf meiner eigenen Hardware laufen muss. Da ich schon eine Synology Diskstation besitze, war es naheliegend diese auch zu benutzen.
Also musste im Idealfall DMS-Software und Scanner an der DS (Diskstation) funktionieren..

Und genau hier gab es jetzt das letzte halbe Jahr leider keinen Fortschritt: zwar gibt es einige Multifunktionsgeräte, die von der Diskstation unterstützt werden, aber ich war mit meinem Drucker sehr zufrieden.
Der Versuch einen Scanner über sane einzubinden, funktionierte leider nicht wie gewünscht: ich konnte zwar einmal über das Netzwerk scannen, danach musste ich aber erst die Diskstation neu starten bevor ich ein weitere Dokumente scannen konnte, irgend ein Bus-Fehler auf der DS… Also war das ganze nicht so effektiv.

Schlussendlich beschloss ich den Scanner am PC zu lassen und dort eben mit Linux oder Windows zu scannen.

Als Software auf der DS wollte ich ja LetoDMS einrichten, was auch soweit gut geklappt hat (Super Anleitung) aber mittlerweile heißt das System SeedDMS und das Update klappe leider nicht wie gewünscht.

LetoDMS 3.4 habe ich mit den Kategorien, wie im letzten Beitrag geschrieben, eingerichtet und auch angefangen, die ersten Dokumente einzustellen. Solange man mehrere Ähnliche Dokumente hat, die z.B. in die selbe Kategorie gehören, klappt das recht flott. Der anschließende Fulltextindex auf der DS braucht aber je nach Textumfang der PDFs ein bisschen.

Was nun noch fehlt ist ein Upload-Skript, das auf der Diskstation ein definiertes Verzeichnis alle 10 Minuten nach neuen Dateien durchsucht und diese dann in einen LetoDMS (SeedDMS)-Import-Ordner importiert(alle Dokumente sind in LetoDMS in Ordner einsortiert, können dann zusätzlich Kategorien, Stichworte und Bemerkungen bekommen). Das hätte den Vorteil, dass ich Dokumente nicht über den Browser hoch laden müsste, sondern nur manchmal den Import-Ordner in LetoDMS überprüfen und die Dokumente neu sortieren. Beim Scannen würde ich dann natürlich als Speicherpfad einen entsprechenden Netzwerkpfad angeben.

Zur Erstellung eines solchen Skripts muss ich mich noch mit Shellprogrammierung auf der DS beschäftigen (Verzeichnisinhalte durchsuchen und gefundene Dateien an ein PHP-Skript übergeben), was leider momentan noch nicht weit vorangeschritten ist. Zwar habe ich erste Fortschritte gemacht beim Einlesen von Dateipfaden in Variablen, aber die Weitergabe an das PHP-Skript mit den benötigten Optionen scheitert noch (mehr dazu vielleicht später)

Das ganze nochmal als grafische Überlegung (work in progress):

technische Umsetzung

Ungültige Anmeldeversuche

Ich will hier jetzt nicht all zu sehr ins Detail gehen, aber wer selber ein WordPress betreibt, der wird eventuell obige Meldung kennen. Da gibt es auch ein Plugin, das verhindert, dass jemand Passwörter beliebig oft nacheinander Ausprobieren kann.
Meine Frage ist aber eigentlich, wozu überhaupt jemand von so einer Seite das Passwort braucht?
ich meine wenn hier jemand was schreiben will, soll er sich doch einfach anmelden und einen Kommentar schreiben!

Wozu muss er (oder sie?) versuchen sich ständig über den admin-Benutzer anzumelden?
Noch dazu ohne Google Authenticator?

Leute! das wird NIE funktionieren, also lasst es doch einfach.

Danke

Hier noch eine Liste der IPs, die ich protokolliert habe.
91.224.160.24 14.11.2012 19:18
94.100.17.134 14.11.2012 19:18
193.85.145.197 14.11.2012 09:59
91.224.160.222 11.11.2012 02:01
82.177.224.4 05.10.2012 18:47
217.174.203.2 24.06.2012 15:54

Das waren noch mehr, aber die habe ich mir mal gemerkt und sie alle in der Firewall gesperrt und entsprechende Meldung an die Behörden bzw. Betreiber gemacht.

Berufsunfähigkeit

Von vielen Seiten wird einem empfohlen, eine Berufsunfähigkeitsversicherung abzuschließen. Meine persönlichen Erfahrungen damit schreibe ich in einem weiteren Beitrag.

Hier gibt es einen kostenlosen Vergleich und ein unverbindliches Angebot: