Druckbare Version
Ich beobachte seit einiger Zeit ein massiv ansteigendes Aufkommen an gescheiterten Login-Versuchen. Die Angriffe sind nicht "brute-force" aber bei fast jeder "meiner" Domaine (ca. 50) wird fast jeden Tag das Login (ein- bis zweimal) gesperrt.
Soweit nicht dramatisch -die Passworte sind kryptisch- aber trotzdem würde mich interessieren, ob andere das ähnlich beobachten und was ggfls. dahinter steckt...?
Angriffe gibt es sicher täglich so einige und auch überall. Zum Glück sind nur ein minimaler Bruchteil davon erfolgreich - und bisher war nie Contao schuld daran. Vor Kurzem hatte ich einen Angriff auf das Kontaktformular: https://community.contao.org/de/show...trotz-HoneyPot
Ich glaube auch nicht, dass Contao "schuld" ist. Ich frage mich nur, warum das Contao-Login für gewisse "User" auf einmal so interessant ist. Natürlich gab es schon immer Attacken und wird es immer geben - nur diese massenhaften, gescheiterten Logins habe ich, seit ich Contao nutze (Vers. 2) noch nicht erlebt. Eigentlich habe ich in den 10+ Jahren nicht ein einziges, gescheitertes Login im Logfile gehabt (außer natürlich von echten Usern, die ihr PW vergessen hatten :-) )
Vielleicht hatte ich auch nur Glück?
Sind die Usernamen spezifisch oder Allgemein (wie zB "admin"). Falls letzteres zutrifft, ändere die Usernamen.
Dass als Username eigentlich immer "admin" auftaucht ist kein Wunder - das ist als Username für Hacker ja sehr attraktiv und fast jede Contao-Installation hat einen "admin". Jetzt bei so vielen Servern die Benutzernamen ändern wäre recht aufwendig und m.E. auch gar nicht nötig - schließlich werden die Passworte ja nicht erraten und Contao "hält dicht".
Ich mache mir auch keine großen Sorgen - außer irgendjemand wüsste konkret um eine aktuell aufgetauchte Sicherheitslücke im Contao-Login (was die vielen Versuche erklären würde...)
Bei uns nicht ;). Wenn du einen User namens "admin" hast, dann ist es auch nicht verwunderlich, dass damit Login Versuche durch Bots passieren.Zitat:
Zitat von DampfHans
Einen user "admin" habe ich auch noch nie angelegt, das empfiehlt sich wirklich nicht. Ich würde ihn umbenennen.
Ich hatte bisher bei keiner Contao-Seite Probleme, dass Benutzer regelmäßig gesperrt wurden. Benutzername wie "admin" oder direkt den Domainnamen verbiete ich als Login. Das klappt bisher ganz gut. In der Regel werden ja nur Accounts gesperrt, die existieren, oder?
Klare Empfehlung:
- Keine generischen Benutzernamen verwenden
- ggf. den Ordner contao/ per .htaccess mit einer IP-Blockade versehen
- ggf. den Adminbereich zusätzlich mit HTTP-Auth schützen
Wenn du Plesk nutzt, kannst du mit fail2ban auch entsprechende Nutzer für x Stunden vom ganzen Server aussperren. Das ist bei meinem Server künftig der Plan. Durch die Auswertung mehrerer der Logfiles zu den Seitenangriffe kann man einen recht guten Grundschutz erzeugen.
Dieses Problem taucht bei uns nun auch auf. Wir erhalten Rückmeldungen, dass unsere Kunden die E-Mail erhalten in der steht das der User gesperrt wurde obwohl sie sich gar nicht einloggen wollten.
Wir haben individuelle, sichere Benutzernamen und Passwörter, deshalb habe ich auch nicht Angst, dass da jemand durch kommt.
Unsere Kunden nerven sich aber ab den Mails, die sie ein bis zweimal täglich erhalten. Zudem wirkt das nicht gerade vertrauenswürdig, was eigentlich meine persönliche Hauptsorge ist, hehe. :D
Habt ihr eventuell einen ausgereiften Plan oder eine art Checkliste, wie wo ihr was abdeckt damit dies nicht (mehr) passiert?
Einige Empfehlungen stehen ja schon im Beitrag von @WorkerBeeEu. Du könntest das Contao Backend zusätzlich via HTTP Auth absichern.Zitat:
Zitat von Dee
Dann habe ich ein Login vor dem Login :eek:
Kann man auch einfach diese Mail deaktivieren? Ich habe keine Angst das da wer die Benutzernamen und Passwörter rauskriegt :D
Falls das ganze aus einem Land wie Russland oder China (sprich einem nicht relevanten Land für die Zielgruppe) kommt, könnte man auch per Geoblocking in der htaccess einen Riegel vorschieben.
https://support.crucial.com.au/en/kn...settings=false
Ja, genau. Man kann doch außer der Wohnungstür auch noch die Haustür absperren. :)Zitat:
Zitat von Dee
@Kahmoon
Das wäre ne gute Variante und für mich gesehen, die bessere Alternative.
@xchs
Hehe, so habe ich es noch nie betrachtet - werde ich mir auf jeden Fall merken.