Brute Force
Definition
Ein Brute-Force-Angriff probiert viele Passwörter oder Tokens, bis eines funktioniert, meist gegen das Anmeldeformular.
Auch genannt: brute-force, brute-force attack, bruteforce, Brute-Force-Angriff, Passwort-Raten
Zuletzt aktualisiert
Warum es für WordPress wichtig ist
WordPress legt auf den meisten Websites eine öffentliche Anmelde-URL offen. Bots können wp-login.php und xmlrpc.php den ganzen Tag mit geratenen Passwörtern treffen. Ein schwaches Administrator-Passwort reicht für eine vollständige Übernahme.
So zeigt es sich in der Praxis
- Plötzliche Spitzen fehlgeschlagener Anmeldungen von vielen IPs
- Sperren oder Meldungen wie „zu viele Versuche“ für echte Benutzer
- Eine erfolgreiche Anmeldung aus einem unbekannten Land direkt nach einer Welle von Fehlversuchen
- XML-RPC-Multicall-Anfragen, die viele Passwörter in einem Treffer prüfen
Was Sie tun sollten
- Nutzen Sie eindeutige, lange Passwörter (ein Passwortmanager hilft).
- Schalten Sie Zwei-Faktor-Authentifizierung für Admins und Redakteure ein.
- Begrenzen Sie Anmeldeversuche und sperren Sie laute IPs.
- Deaktivieren oder beschränken Sie XML-RPC, wenn Sie es nicht brauchen.
- Prüfen Sie das Ereignisprotokoll auf neue Admin-Benutzer und Plugin-Installationen nach einem Verdacht.
In WP Security Ninja
Der Pro-Anmeldeschutz begrenzt fehlgeschlagene Versuche und unterstützt Sperren, damit Raten teuer wird. Kombinieren Sie ihn mit 2FA für privilegierte Rollen und prüfen Sie das Ereignisprotokoll, wenn auf Fehlerspitzen ein überraschender Erfolg folgt.
Weiterlesen
Brauchen Sie den ganzen Ablauf?
Diese Seite bleibt absichtlich kurz. Die Anleitung (EN) beschreibt Schritte, Beispiele und was Sie auf einer laufenden WordPress-Website prüfen.
Anleitung öffnen (EN)Verwandte Begriffe
Ideas cercanas en el diccionario
- Credential Stuffing Credential Stuffing spielt Benutzernamen und Passwörter aus anderen Leaks gegen Ihre Anmeldung ab.
- Zwei-Faktor-Authentifizierung (2FA) Zwei-Faktor-Authentifizierung (2FA) verlangt nach dem Passwort einen zweiten Identitätsnachweis, etwa einen App-Code.
- Rate Limiting Rate Limiting begrenzt, wie oft eine Aktion von einer IP oder einem Konto passieren darf, und bremst so automatisierten Missbrauch.
- Anmeldeschutz Anmeldeschutz ist die Menge an Kontrollen, die die WordPress-Anmeldung gegen Bots und Angriffe auf Zugangsdaten härten.
- Account-Übernahme Account-Übernahme heißt: ein Angreifer kontrolliert ein echtes Benutzerkonto und kann als dieser Benutzer handeln.
