Ataque massivo de spam

Mário L. Secco

unread,

Dec 4, 2012, 6:38:57 AM12/4/12

to WordPress Brasil Lista

Bom dia

Há alguns dias o pessoal do meu host vem entrando em contato comigo reclamando que alguma coisa no meu site estava consumindo recursos em excesso.

Depois de muito procurar pelo problema, descobri que meu blog está sofrendo com ataques massivos de spammers.

Os comentários são protegidos pelo Akismet e por Captcha.

Descobri esses ataques ao desativar o Akismet para fazer alguns testes, com isso minhe caixa de entrada do email foi inundada com pedidos de moderação.

Ou seja, aparentemente o Akismet está bloqueando os spams, mas estes estão usando força bruta para burlar o captcha e provocando o excesso de consumo de recursos do servidor.

Como eu resolvo isso? Por enquanto o blog está em "Maintenence Mode"...

Obrigado

--

-----------------------------------------------
Mário L. Secco

www.tetraspace.com.br

mlsecco

mls...@hotmail.com

Eduardo Kraus

unread,

Dec 5, 2012, 4:18:39 PM12/5/12

to wordpres...@googlegroups.com

Eu tive tanto problema com estes FDP que enviam spam que cheguei a ter mais de 99% dos acessos no blog.mxml.com.br só de spam... Estes FD** usam além do tráfego, processamento que poderia ser usado para muitas outras coisas. Ainda mais que tenho dedicado meu.

Então bani estes FD** com o seguinte código adicionado dentro do arquivo wp-config.php antes da linha require_once(ABSPATH . 'wp-settings.php');

$conn = mysql_connect(DB_HOST, DB_USER, DB_PASSWORD) or die( mysql_error() );

mysql_select_db(DB_NAME, $conn) or die( mysql_error() );

$query = "SELECT *

FROM `" . $table_prefix . "comments`

WHERE `comment_author_IP` LIKE '" . $_SERVER['REMOTE_ADDR'] . "'

AND `comment_approved` LIKE 'spam'";

if( mysql_num_rows(mysql_query($query)))

die( "Spammer banido");

Quer testar? Coloque este código, escreva um comentário e no painel marque ele como SPAM e tente navegar pelo site em qualquer parte. Para corrigir é só ir na base de dados e apagar o comentário que você marcou como SPAM.

Porque isso? O Akismet marca como SPAM e este SQL procura qualquer comentário que seja SPAM e que venha do mesmo IP. Se já existir um SPAM bloqueia aquele IP. Isso reduziu a muito pouco, mais por exemplo, o site eletronicaetk.com.br tem em média 200 IP bloqueados por mês. E antes tinham mais de 800 spam dia.

Anexo imagem.

Eduardo Kraus
Professor
kr...@eduardokraus.com
www.eduardokraus.com
Blog PHP php.eduardokraus.com
Blog Adobe Flex flex.eduardokraus.com

--
----------------------------------------------------------------------------------------------------------------------
Você recebeu esta mensagem por estar inscrito na lista de debates "WordPress Brasil" através do sistema Google Groups.

Para enviar uma mensagem: wordpres...@googlegroups.com
Para cancelar sua inscrição: wordpress-bras...@googlegroups.com
Para visitar o grupo: http://groups.google.com.br/group/wordpress-brasil?hl=pt-BR

Temas: http://wordpress.org/extend/themes/
Plugins: http://wordpress.org/extend/plugins/
Projeto WordPress: http://br.wordpress.org/
----------------------------------------------------------------------------------------------------------------------
Grupo no Facebook: http://www.facebook.com/groups/wordpress.brasil/

Captura de tela 2012-12-05 às 19.15.54.png

Mário L. Secco

unread,

Dec 5, 2012, 5:59:04 PM12/5/12

to WordPress Brasil Lista

Valeu Eduardo!

Mas... duas dúvidas:

1- Com esse código não se corre o risco de banir IPs válidos? Ou esses spammers FDPs usam IPs específicos?

2- Usei um plugin para colocar o blog em Maintenece Mode e mesmo assim algum script ainda consumia recursos do servidor, só parou quando radicalizei e deletei o blog (era um blog antigo que eu não estava mais atualizando, mas essas dicas podem ser muito importantes para o site atual da minha empresa que está em Wordpress). Vi que poderia ser um ataque se SQL injection ou invasão e instalação de scripts na estrutura do blog, isso procede?

Obrigado.

2012/12/5 Eduardo Kraus <eduard...@gmail.com>

Eduardo Kraus

unread,

Dec 5, 2012, 6:13:22 PM12/5/12

to wordpres...@googlegroups.com

Vamos as respostas.

1- Com esse código não se corre o risco de banir IPs válidos? Ou esses spammers FDPs usam IPs específicos?

R: Sim. O ideal é limpar a lista de SPAM a cada 30 dias.

Se um usuário comum for la e postar algo que o sistema interprete-o como SPAM ele não poderá mais acessar nada no BLOG. Isso até que ele mude de IP ou você apague o IP dele da base de dados.

2- Usei um plugin para colocar o blog em Maintenece Mode e mesmo assim algum script ainda consumia recursos do servidor, só parou quando radicalizei e deletei o blog (era um blog antigo que eu não estava mais atualizando, mas essas dicas podem ser muito importantes para o site atual da minha empresa que está em Wordpress).

Vi que poderia ser um ataque se SQL injection ou invasão e instalação de scripts na estrutura do blog, isso procede?

R: SQL infection não é possível por uma razão simples. a variável $_SERVER['REMOTE_ADDR'] é o servidor que produz o valor pelo IP do cara que esta acessando.

Pode ser também um ataque de códigos. Só os LOGS e acessos podem lhe dar esta resposta.

Eduardo Kraus
Professor
kr...@eduardokraus.com
www.eduardokraus.com
Blog PHP php.eduardokraus.com
Blog Adobe Flex flex.eduardokraus.com

Pedro Taglialatela

unread,

Dec 5, 2012, 6:21:27 PM12/5/12

to wordpres...@googlegroups.com

Aconteceu exatamente isso comigo tavam rodando eggdrop, ircd e outras coisas dentro de um site de um cliente e até descobrir isso foi terrível... Quando descobri, removi tudo e toda vida voltava. Meu host enviava todo dia informação de tentativa de acesso, excesso de consumo, etc.. Tive que refazer o site, criando um tema do zero e utilizando o minimo possível de plugin.

Isso pode ser problema de plugin que você usa, procure a melhor forma de dar permissão nas pastas do wordpress, faça o que o Eduardo falou e procure nunca utilizar temas que você "achou gratuitamente"(já fiz isso =/) na internet.

Mário L. Secco

unread,

Dec 5, 2012, 6:26:02 PM12/5/12

to WordPress Brasil Lista

Olá Pedro.

O tema que eu utilizava foi instalado a partir do site do Wordpress.

Acho que o problema maior foi que o blog estava parado e eu não atualizava o WP, nem plugins, nem o tema.

Como eu disse, fica de lição para o meu site atual.

[[]]

2012/12/5 Pedro Taglialatela <pe...@pordotom.com.br>

ircd

Eduardo Kraus

unread,

Dec 5, 2012, 6:26:24 PM12/5/12

to wordpres...@googlegroups.com

Não só themas gratuitos.

Cliente meu (delinea.com.br) comprou e pagou por um thema e todo mês o site saia do ar. Foi descobrir existia um BUG no código do thema pago que dava muitos acessos ao site dele.

Eduardo Kraus
Professor
kr...@eduardokraus.com
www.eduardokraus.com
Blog PHP php.eduardokraus.com
Blog Adobe Flex flex.eduardokraus.com

Antonio Cezar, olocutor.com

unread,

Dec 5, 2012, 6:30:34 PM12/5/12

to wordpres...@googlegroups.com

Eu tinha instalado o Akismet e ativado ele gra�as a sua ajuda, Eduardo,
mas consegui desinstalar ele e sobreviver sem problemas. Como? uma conta
matem�tica para aprovar o coment�rio. S� que no WP, os robots conseguiam
passar por isso sem problemas. Ent�o uma linha no .taccess para que os
coment�rios somente pudessem ser chamados a partir de uma requisi��o
post; Por fim, coloquei um campo chamado E-mail oculto e se esse campo
for preenchido, o coment�rio � rejeitado. Para o campo de E-mail mesmo,
dei outro nome e disse adeus aos spanners, pelo menos por enquanto.

"Locutor Antonio Cezar" [torpedos: 0 (16) 9701-2232]. <tel:16-9701-2232>

Veja "Datas Comemorativas"/dia da semana de hoje, amanh� e todos os dias
do ano por RSS E-Mail ou Twitter, aqui:

http://diade.biz/

Conhe�a o trabalho de Antonio Cezar, olocutor.com no site:

http://olocutor.com/

Escolha Tele-Mensagens para qualquer ocasi�o em:

http://telecarinho.net/

Eduardo Kraus escreveu:

> Eu tive tanto problema com estes FDP que enviam spam que cheguei a ter

> mais de 99% dos acessos no blog.mxml.com.br <http://blog.mxml.com.br>
> s� de spam... Estes FD** usam al�m do tr�fego, processamento que

> poderia ser usado para muitas outras coisas. Ainda mais que tenho
> dedicado meu.
>

> Ent�o bani estes FD** com o seguinte c�digo adicionado dentro do

> arquivo wp-config.php antes da linha require_once(ABSPATH .
> 'wp-settings.php');
>
> $conn = mysql_connect(DB_HOST, DB_USER, DB_PASSWORD) or die(
> mysql_error() );
> mysql_select_db(DB_NAME, $conn) or die( mysql_error() );
> $query = "SELECT *
> FROM `" . $table_prefix . "comments`
> WHERE `comment_author_IP` LIKE '" . $_SERVER['REMOTE_ADDR'] . "'
> AND `comment_approved` LIKE 'spam'";
> if( mysql_num_rows(mysql_query($query)))
> die( "Spammer banido");
>

> Quer testar? Coloque este c�digo, escreva um coment�rio e no painel

> marque ele como SPAM e tente navegar pelo site em qualquer parte. Para

> corrigir � s� ir na base de dados e apagar o coment�rio que voc�

> marcou como SPAM.
>
> Porque isso? O Akismet marca como SPAM e este SQL procura qualquer

> coment�rio que seja SPAM e que venha do mesmo IP. Se j� existir um

> SPAM bloqueia aquele IP. Isso reduziu a muito pouco, mais por exemplo,

> o site eletronicaetk.com.br <http://eletronicaetk.com.br> tem em m�dia
> 200 IP bloqueados por m�s. E antes tinham mais de 800 spam dia.
>
> Anexo imagem.
>
> *Eduardo Kraus*
> Professor
> kr...@eduardokraus.com <mailto:kr...@eduardokraus.com>
> www.eduardokraus.com <http://www.eduardokraus.com/>
> *Blog PHP* php.eduardokraus.com <http://php.eduardokraus.com/>
> *Blog Adobe Flex* flex.eduardokraus.com <http://flex.eduardokraus.com/>*
> *
>
>
>
>
> Em 4 de dezembro de 2012 09:38, M�rio L. Secco <mse...@gmail.com
> <mailto:mse...@gmail.com>> escreveu:
>
> Bom dia
>
> H� alguns dias o pessoal do meu host vem entrando em contato
> comigo reclamando que alguma coisa nomeu site estava consumindo
> recursos em excesso.
>
> Depois de muito procurar pelo problema, descobri que meu blog est�

> sofrendo com ataques massivos de spammers.
>

> Os coment�rios s�o protegidos pelo Akismet e por Captcha.

>
> Descobri esses ataques ao desativar o Akismet para fazer alguns
> testes, com isso minhe caixa de entrada do email foi inundada com

> pedidos de modera��o.
>
> Ouseja, aparentemente o Akismet est� bloqueando os spams, mas
> estes est�o usando for�a bruta para burlar o captcha e provocando

> o excesso de consumo de recursos do servidor.
>

> Como eu resolvo isso? Por enquanto o blog est� em "Maintenence

> Mode"...
>
> Obrigado
>
>
>
> --
>
> -----------------------------------------------

> M�rio L. Secco
>
> *www.tetraspace.com.br* <http://www.tetraspace.com.br>
>
> Skype/ mlsecco MSN/ mls...@hotmail.com <mailto:mls...@hotmail.com>
>
> --
> ----------------------------------------------------------------------------------------------------------------------
> Voc� recebeu esta mensagem por estar inscrito na lista de debates
> "WordPress Brasil" atrav�s do sistema Google Groups.

>
> Para enviar uma mensagem: wordpres...@googlegroups.com

> <mailto:wordpres...@googlegroups.com>
> Para cancelar sua inscri��o:
> wordpress-bras...@googlegroups.com
> <mailto:wordpress-brasil%2Bunsu...@googlegroups.com>

> Para visitar o grupo:
> http://groups.google.com.br/group/wordpress-brasil?hl=pt-BR
>
> Temas: http://wordpress.org/extend/themes/
> Plugins: http://wordpress.org/extend/plugins/
> Projeto WordPress: http://br.wordpress.org/
> ----------------------------------------------------------------------------------------------------------------------
> Grupo no Facebook: http://www.facebook.com/groups/wordpress.brasil/
>
>

> --
> ----------------------------------------------------------------------------------------------------------------------
> Voc� recebeu esta mensagem por estar inscrito na lista de debates
> "WordPress Brasil" atrav�s do sistema Google Groups.

>
> Para enviar uma mensagem: wordpres...@googlegroups.com

> Para cancelar sua inscri��o: wordpress-bras...@googlegroups.com

Antonio Cezar, olocutor.com

unread,

Dec 5, 2012, 6:33:29 PM12/5/12

to wordpres...@googlegroups.com

Mas tamb�m j� pensei numa possibilidade de me valer desse teu c�digo e
aprimorar um pouco mais meu sistema de defesa aqui. Vamos ver se penso
em alguma coisa com esse fim. Obrigado.

"Locutor Antonio Cezar" [torpedos: 0 (16) 9701-2232]. <tel:16-9701-2232>

Veja "Datas Comemorativas"/dia da semana de hoje, amanh� e todos os dias
do ano por RSS E-Mail ou Twitter, aqui:

http://diade.biz/

Conhe�a o trabalho de Antonio Cezar, olocutor.com no site:

http://olocutor.com/

Escolha Tele-Mensagens para qualquer ocasi�o em:

http://telecarinho.net/

Eduardo Kraus escreveu:

> Eu tive tanto problema com estes FDP que enviam spam que cheguei a ter

> mais de 99% dos acessos no blog.mxml.com.br <http://blog.mxml.com.br>

> s� de spam... Estes FD** usam al�m do tr�fego, processamento que