如果有人不断尝试登录我的WordPress管理面板，我该怎么办？

我有一个使用WordPress开发的网站

从过去3个月以来，有人不断尝试登录到我的WordPress管理面板。他们每次都使用不同的IP地址。我认为他们正在使用：暴力攻击

为了安全起见，我正在使用“Sucuri安全”插件，该插件安装在我的网站上，我还安装了“限制登录尝试”

登录失败后，他们会从“Sucuri安全”插件向我发送一条消息：

消息如下所示：

来自IP:109.173.88.245的1次登录尝试失败（1次锁定）

上次尝试的用户：管理员

来自IP:37.194.196.180的1次登录尝试失败（1次锁定）

来自IP:83.174.209.143的1次登录尝试失败（1次锁定）

现在，在过去的45分钟里，他们尝试登录了31次

我现在该怎么办

使用强密码。：）

这类事情一直都在发生，不仅仅是针对网站，人们试图对任何事情使用暴力，smtp、pop3和imap服务器、ssh服务器、常用的应用程序，如Wordpress等

最重要的是要确保如果使用密码身份验证，这些密码（全部！）能够抵抗暴力尝试。这意味着有足够的熵，即足够长且来自多个字符类，不使用字典单词等。10个字符的随机长度 带有字母、大写字母和数字的密码对于暴力来说几乎是不可行的

---

除此之外，您还可以实施某种形式的主动监控，在多次密码尝试失败后，暂时禁止用户和/或请求IP地址，等等。这些应对措施提高了攻击者的门槛，但对于Wordpress站点来说，足够强的非字典密码可能已经足够好了。（所以这是一个基于风险的东西。如果你可能损失的价值是10000美元，你不想花50000美元来保护它。）

第一个也是最明显的答案：使用长而强的密码（随机字母、数字，最好还有其他字符）

如果你这样做，他们以这种特殊方式访问你的网站的机会几乎为零

考虑每小时或每年的登录尝试次数：

31次登录/45分钟=大约每分钟0.7次登录

乘以一年中的分钟数：

60分钟*24小时*365天=大约367'920次登录尝试 在一年的时间里

对于一个好的密码，这个数字是如此之小，以至于“暴力攻击”实际上是微不足道的

如果你还想提高安全性，我不会责怪你。如果是这样的话，您应该考虑以下选项（即，在登录之前需要一些额外信息来确认您的身份的系统）

---

PS:我没有亲自尝试过这些，但如果我处在你的位置，我可能会试一试

我的一个网站经常被失败的登录尝试轰炸。IP地址一直在变化——我确实有一个黑名单，但我不确定如果IP地址一直在变化，那么维护黑名单有多大价值

我可以将管理员列入白名单，只允许从特定的IP范围进行访问；我觉得这是非常限制的性质的网站-一个免费的服务。这是我在这个网站上收到的数千封关于失败登录尝试的电子邮件的截图——持续了一年甚至更长时间

---

我收到了相同的登录攻击电子邮件通知（一天将近50次攻击），并通过禁用

xml rpc.php解决了该问题

将此添加到主题或子主题
function.php
：

//disable XML-RPC

add_filter('xmlrpc_enabled', '__return_false');

有没有办法知道攻击者来自哪个国家？理论上，IP地址可以告诉您尝试连接的来源，但这很容易通过使用代理来规避-因此可能是的，但不太可能是可靠的方式。=）