waf4wordpress适用于WordPress的WAF防火墙

阻止对您的 WordPress 网站的真实攻击，并 触发 Fail2Ban[本文防采集]

💡 在使用此 WAF 之前，您必须清理您的网站，消除即使是微小的错误。[本文防采集]

每天查看您的访问和错误日志，并在没有 Fail2ban 的情况下运行此 WAF 一周。

此 WAF 不会对异常请求提供适当的 HTTP 响应。 它立即阻止攻击的 IP 地址，其目的如下。

防止网站在进一步的请求中遭到入侵
防止 DoS 攻击
共享主机没有服务器范围的禁止（因为信任问题） 但您仍然可以在没有 Fail2Ban 的情况下安装此软件，以使用 Miniban 方法之一来阻止攻击。[本文防采集]

理论[本文防采集]

您的 WordPress - 真正通用的 HTTP - 安全性包括以下内容。

使用 HTTPS
每日备份
阻止已知的恶意网络
已安装 Fail2Ban（控制防火墙）
维护您的网站并使用严格的 Fail2Ban 过滤器，立即禁止第一个可疑请求
拒绝直接访问核心 WordPress 文件、主题和插件
安装 WAF for WordPress（本项目）
使用 Leanmail 过滤 Fail2Ban 通知电子邮件
有关该主题的概述，请参阅我的另一个存储库中的阻止 WordPress 攻击媒介说明。[本文防采集]

Composer 安装​

从技术上讲，这不是 WordPress 插件也不是 MU 插件。 适用于 WordPress 的 WAF 作为 Composer 包进行分发和自动加载。

Issue 命令composer require szepeviktor/waf4wordpress
从您的vendor/autoload.phpwp-config
尽早实例化类​

require dirname(__DIR__) . '/vendor/autoload.php';
new SzepeViktor\WordPress\Waf\HttpAnalyzer();

在 中创建 MU 插件wp-content/mu-plugins/waf4wordpress.php

<?php
/*
* Plugin Name: WAF for WordPress (MU)
*/
if (! function_exists('add_filter')) {
exit;
}
new SzepeViktor\WordPress\Waf\CoreEvents();

手动安装
💡 请参阅 Composer 管理的 WordPress 以使用 Composer 管理 WordPress。

从技术上讲，这不是 WordPress 插件也不是 MU 插件。​

首先下载 WordPress 版 WAF，然后将文件提取到一个目录，例如waf/
尽早实例化类SzepeViktor\WordPress\Waf\HttpAnalyzerwp-config[本文防采集]

require_once __DIR__ . '/waf/src/HttpAnalyzer.php';
require_once __DIR__ . '/waf/src/CoreEvents.php';
new SzepeViktor\WordPress\Waf\HttpAnalyzer();

在 中创建 MU 插件wp-content/mu-plugins/waf4wordpress.php​

<?php
/*
* Plugin Name: WAF for WordPress (MU)
*/
if (! function_exists('add_filter')) {
exit;
}
new SzepeViktor\WordPress\Waf\CoreEvents();

配置
WAF for WordPress 在源代码中配置 在类实例化之前。在。wp-config​

为 Fail2Ban 捕获这些 PHP 消息创建自定义过滤器。

可能的恶意请求：每 10 分钟 6 次尝试后可能会被禁止Malicious traffic detected:
肯定是闯入尝试：可能会立即被禁止Break-in attempt detected:
如何在编写不佳的插件中支持 PayPal IPN、Braintree 和自定义入口点
将此文件复制到 中的 .wp-config.php

// Enable PayPal IPN in WooCommerce
if ( isset( $_SERVER['REQUEST_URI'] ) ) {
if ( '/wc-api/WC_Gateway_Paypal/' === parse_url( $_SERVER['REQUEST_URI'], PHP_URL_PATH ) ) {
// PayPal IPN does not send Accept: and User-Agent: headers
$_SERVER['HTTP_ACCEPT'] = '*/*';
$_SERVER['HTTP_USER_AGENT'] = 'Mozilla/5.0 PayPal/IPN';
}
}

// Enable Braintree Webhooks
new \Waf4WordPress\Braintree_Fix( '/braintree/webhook' );

// Enable email opens in Newsletter plugin
if ( isset( $_SERVER['REQUEST_URI'] ) ) {
$newsletter_path = parse_url( $_SERVER['REQUEST_URI'], PHP_URL_PATH );
if ( '/wp-content/plugins/newsletter/statistics/open.php' === $newsletter_path
|| '/wp-content/plugins/newsletter/statistics/link.php' === $newsletter_path
) {
// UA hack for old email clients
$_SERVER['HTTP_USER_AGENT'] = 'Mozilla/5.0 ' . $_SERVER['HTTP_USER_AGENT'];
}
unset( $newsletter_path );
}

// Enable email open tracking in ALO EasyMail Newsletter plugin
if ( isset( $_SERVER['REQUEST_URI'] ) ) {
$alo_path = parse_url( $_SERVER['REQUEST_URI'], PHP_URL_PATH );
if ( '/wp-content/plugins/alo-easymail/tr.php' === $alo_path ) {
// UA hack for old email clients
$_SERVER['HTTP_USER_AGENT'] = 'Mozilla/5.0 ' . $_SERVER['HTTP_USER_AGENT'];
}
unset( $alo_path );
}

脚本小子在哪里寻找 WordPress[本文防采集]

/backup/
/blog/
/cms/
/demo/
/dev/
/home/
/main/
/new/
/old/
/portal/
/site/
/test/
/tmp/
/web/
/wordpress/
/wp/

最好不要创建这些目录，以避免冗长的日志摘录。[本文防采集]

开源地址

GitHub - szepeviktor/waf4wordpress：适用于 WordPress 🔥 的 WAF，具有 60+ 安全检查和每周更新

下载地址

https://pan.quark.cn/s/aeb61e82f281[本文防采集]