حمله Brute Force چیست + جلوگیری از حملات بروت فورس

حمله Brute Force یکی از قدیمی‌ترین و ساده‌ترین روش‌های نفوذ به سیستم‌ها و حساب‌های کاربری است که در آن هکرها با استفاده از قدرت پردازشی بالا و ابزارهای خودکار، به صورت مداوم و بی‌وقفه، تمامی ترکیب‌های ممکن از نام کاربری و رمز عبور را امتحان می‌کنند تا رمز عبور صحیح را پیدا کنند. این نوع حمله هیچ‌گونه تکنیک پیچیده‌ای برای دور زدن سیستم‌های امنیتی ندارد و تنها به معنای تلاش برای وارد کردن تمامی احتمالات است تا زمانی که به نتیجه مطلوب برسند. در این مقاله، به بررسی نحوه عملکرد این حملات و همچنین روش‌های جلوگیری از آن‌ها پرداخته خواهد شد.

حمله Brute Force چیست و چگونه عمل می‌کند؟

حمله Brute Force به یک نوع حمله سایبری گفته می‌شود که در آن هکرها با استفاده از نرم‌افزارهای خودکار، به طور مداوم تلاش می‌کنند تا رمز عبور یا سایر اطلاعات حساس یک حساب کاربری را شبیه‌سازی و کشف کنند. این نوع حمله شامل آزمایش تمامی ترکیب‌های ممکن از نام کاربری و رمز عبور است تا به اطلاعات مورد نظر دست پیدا کند.

به عبارت دیگر، هکرها تمامی حالت‌های ممکن را برای دستیابی به رمز عبور صحیح امتحان می‌کنند و این فرآیند را تا زمانی که موفق شوند ادامه می‌دهند. در این حملات، هیچ گونه ترفند پیچیده‌ای برای دور زدن امنیت یا استفاده از آسیب‌پذیری‌های خاص سیستم‌ها به کار نمی‌رود. بلکه به صورت ابتدایی و ساده، با تست کردن بی‌وقفه و سیستماتیک تمام ترکیب‌های ممکن، به دنبال ورود به سیستم یا حساب کاربری هدف هستند.

یکی از ویژگی‌های اصلی حملات Brute Force این است که به دلیل عدم نیاز به دانش فنی پیشرفته یا تخصص خاص، هر کسی می‌تواند با استفاده از ابزارهای ساده و در دسترس، چنین حملاتی را اجرا کند. این سادگی باعث شده تا Brute Force به یکی از محبوب‌ترین روش‌های نفوذ به حساب‌های کاربری، شبکه‌ها و سیستم‌ها تبدیل شود. در حقیقت، تنها چیزی که برای اجرای این حملات نیاز است، یک سیستم رایانه‌ای با قدرت پردازشی کافی برای انجام آزمایش‌های متوالی است. این نوع حملات به ویژه زمانی موثر واقع می‌شود که رمز عبور یا نام کاربری هدف به اندازه کافی پیچیده نباشد و به راحتی قابل حدس زدن باشد.

اگر رمز عبور مورد استفاده ضعیف، کوتاه یا از ترکیب‌های متداول استفاده شده باشد، احتمال موفقیت حمله Brute Force به طرز چشمگیری افزایش می‌یابد. برای مثال، استفاده از ترکیب‌هایی مانند تاریخ تولد، نام‌های ساده یا کلمات رایج، امکان شکسته شدن رمز عبور را به شدت تسهیل می‌کند. به همین دلیل، سیستم‌های دارای رمز عبور ضعیف بیش از سایر سیستم‌ها در معرض خطر حملات Brute Force قرار دارند و به راحتی می‌توانند هدف این حملات قرار گیرند. به طور کلی، هر چه رمز عبور پیچیده‌تر و غیرقابل پیش‌بینی‌تر باشد، میزان موفقیت حملات Brute Force کاهش می‌یابد و نفوذ به سیستم دشوارتر می‌شود.

چرا سایت‌های وردپرسی هدف اول Brute Force هستند؟

سایت‌های وردپرسی به دلیل محبوبیت بسیار بالا و استفاده گسترده از آن‌ها در دنیای آنلاین، به یکی از اهداف اصلی حملات Brute Force تبدیل شده‌اند. وردپرس یکی از پلتفرم‌های محبوب برای طراحی و مدیریت وب‌سایت‌هاست و بیش از ۳۰ درصد از تمامی وب‌سایت‌های اینترنتی از آن استفاده می‌کنند. این میزان گستردگی و شهرت وردپرس، آن را به هدفی جذاب برای هکرها تبدیل کرده است. حملات Brute Force به دلیل ساختار ساده و در دسترس این پلتفرم، به راحتی می‌توانند آسیب‌پذیری‌های امنیتی آن را هدف قرار دهند.

یکی از دلایل اصلی این آسیب‌پذیری، استفاده گسترده از نام‌های کاربری پیش‌فرض و رمزهای عبور ساده در سایت‌های وردپرسی است. بسیاری از مدیران سایت‌ها به اشتباه همچنان از نام‌های کاربری پیش‌فرض مانند “admin” استفاده می‌کنند و این امر در کنار انتخاب رمزهای عبور ضعیف، شرایط را برای نفوذ به سایت‌ها به راحتی فراهم می‌آورد.

علاوه بر این، یکی دیگر از مشکلات عمده‌ای که امنیت سایت‌های وردپرسی را تهدید می‌کند، دسترسی عمومی به صفحه ورود آن‌ها (wp-login.php) است. این صفحه ورود به طور پیش‌فرض در تمامی سایت‌های وردپرسی موجود است و هیچ‌گونه محدودیتی برای دسترسی به آن وجود ندارد. هر فردی که به اینترنت متصل باشد، می‌تواند به راحتی به این صفحه دسترسی پیدا کرده و شروع به تلاش برای نفوذ به سایت کند.

این دسترسی عمومی به صفحه ورود، به طور عمده در صورتی که اقدامات امنیتی مناسبی اعمال نشود، به یکی از راه‌های اصلی انجام حملات Brute Force تبدیل می‌شود. هکرها می‌توانند با استفاده از نرم‌افزارهای خودکار و تست ترکیب‌های مختلف نام کاربری و رمز عبور، در مدت زمان کوتاهی به حساب‌های کاربری دسترسی پیدا کنند.

این مشکل زمانی پیچیده‌تر می‌شود که بسیاری از سایت‌های وردپرسی به دلایلی مانند عدم آگاهی یا نداشتن تجربه در زمینه امنیت سایبری، از تدابیر امنیتی مناسب برای محدود کردن دسترسی به صفحه ورود استفاده نمی‌کنند. به عنوان مثال، عدم استفاده از رمزهای عبور پیچیده و همچنین عدم تغییر آدرس پیش‌فرض صفحه ورود، باعث می‌شود تا این سایت‌ها بیشتر در معرض حملات Brute Force قرار بگیرند. در نتیجه زمانی که این مشکلات با هم ترکیب می‌شوند، سایت‌های وردپرسی به راحتی آسیب‌پذیر می‌شوند و هکرها می‌توانند به راحتی به آن‌ها نفوذ کرده و اطلاعات حساس کاربران یا مدیران سایت را به سرقت ببرند.

نشانه‌های حمله Brute Force به وردپرس چیست؟

در صورتی که یک سایت وردپرسی تحت حمله Brute Force قرار گیرد، نشانه‌هایی وجود دارند که می‌توانند به عنوان هشدارهای اولیه عمل کنند و به مدیران سایت کمک کنند تا حمله را شناسایی کرده و اقدامات لازم برای مقابله با آن را انجام دهند.

یکی از اصلی‌ترین و واضح‌ترین نشانه‌ها، مشاهده افزایش ناگهانی و غیرعادی تلاش‌های ناموفق برای ورود به سایت است. این تلاش‌های ناموفق به طور معمول در لاگ‌های سرور سایت ثبت می‌شوند و می‌توانند شامل ترکیب‌های مختلفی از نام‌های کاربری و رمزهای عبور باشند که به صورت خودکار از طرف نرم‌افزارهای حمله Brute Force ارسال می‌شوند. این نوع فعالیت به صورت یک الگوی تکراری مشاهده می‌شود که در آن تلاش‌های مکرر برای ورود با کلمات عبور مختلف انجام می‌گیرد، اما هیچ‌کدام از آن‌ها موفق نمی‌شوند.

علاوه بر این، یکی دیگر از نشانه‌های واضح حملات Brute Force، درخواست‌های مکرر از یک آدرس IP واحد به صفحه ورود سایت (wp-login.php) است. در حملات Brute Force، هکرها از یک آدرس IP مشخص برای ارسال درخواست‌های متعدد و پی در پی به صفحه ورود استفاده می‌کنند تا با آزمایش تمامی ترکیب‌های ممکن، رمز عبور صحیح را پیدا کنند. این درخواست‌ها می‌توانند به سرعت باعث افزایش بار سرور شوند و در نهایت موجب کندی عملکرد سایت یا حتی از کار افتادن آن شوند. اگر تعداد زیادی درخواست به صورت همزمان یا در فواصل زمانی کوتاه از یک آدرس IP خاص مشاهده شود، این می‌تواند نشانه‌ای از وقوع حمله Brute Force باشد.

مهم‌ترین راه‌های جلوگیری از حملات Brute Force در وردپرس 

برای جلوگیری از حملات Brute Force در وردپرس، اقدامات مختلف و متعددی می‌توان انجام داد که هریک از آن‌ها می‌تواند به‌طور چشمگیری سطح امنیت سایت را افزایش دهد. در ادامه به توضیح این اقدامات و افزونه‌هایی که می‌توان برای هر کدام استفاده کرد، پرداخته خواهد شد:

۱. استفاده از رمزهای عبور پیچیده و منحصر به فرد

یکی از مهم‌ترین و ابتدایی‌ترین اقداماتی که باید برای محافظت از سایت در برابر حملات Brute Force انجام داد، استفاده از رمزهای عبور پیچیده و منحصر به فرد است. رمزهای عبور ساده یا پیش‌بینی‌پذیر مانند “۱۲۳۴۵۶” یا “password” به راحتی توسط حملات Brute Force شکسته می‌شوند. برای جلوگیری از این امر، باید از ترکیب‌هایی شامل حروف بزرگ و کوچک، اعداد و نمادها استفاده کرد. افزونه‌هایی مانند iThemes Security یا Wordfence Security می‌توانند به شما کمک کنند تا قوانین پیچیدگی رمز عبور را برای کاربران سایت اعمال کنید و از استفاده از رمزهای ضعیف جلوگیری کنید.

۲. تنظیم محدودیت برای تعداد تلاش‌های ناموفق برای ورود

یکی از بهترین روش‌ها برای جلوگیری از حملات Brute Force، محدود کردن تعداد تلاش‌های ناموفق برای ورود به سیستم است. این اقدام می‌تواند از تلاش‌های مکرر برای حدس رمز عبور جلوگیری کرده و دسترسی به صفحه ورود را محدود کند. افزونه‌هایی مانند Limit Login Attempts Reloaded و Login LockDown می‌توانند به شما کمک کنند تا تعداد دفعات تلاش برای ورود به سیستم را محدود کنید. این افزونه‌ها به طور خودکار پس از تعداد مشخصی تلاش ناموفق، دسترسی به صفحه ورود را از همان آدرس IP مسدود می‌کنند.

۳. فعال‌سازی احراز هویت دو مرحله‌ای (2FA)

احراز هویت دو مرحله‌ای (2FA) یک لایه امنیتی اضافی است که ورود به سیستم را فقط با وارد کردن رمز عبور امکان‌پذیر نمی‌سازد. با فعال‌سازی 2FA، علاوه بر وارد کردن رمز عبور، کاربران باید یک کد ارسال شده به تلفن همراه یا ایمیل خود را وارد کنند. این اقدام باعث می‌شود حتی اگر هکر توانست رمز عبور را شبیه‌سازی کند، باز هم نتواند به حساب کاربری وارد شود. افزونه‌هایی مانند Google Authenticator یا Two Factor Authentication می‌توانند این ویژگی را به سایت وردپرسی شما اضافه کنند.

۴. استفاده از افزونه‌های امنیتی برای محافظت بیشتر

افزونه‌های امنیتی می‌توانند با ارائه امکانات متنوعی همچون بررسی آسیب‌پذیری‌ها، شناسایی فعالیت‌های مشکوک و مسدود کردن IPهای مخرب، به افزایش امنیت سایت کمک کنند. افزونه‌های امنیتی معتبر مانند Wordfence Security و iThemes Security می‌توانند به شما در مقابله با حملات Brute Force کمک کنند. این افزونه‌ها علاوه بر جلوگیری از حملات Brute Force، امکان نظارت بر لاگ‌های ورود به سیستم، مسدود کردن IPهای مشکوک و ارائه گزارش‌های امنیتی را نیز فراهم می‌کنند.

۵. تغییر آدرس صفحه ورود وردپرس

یکی دیگر از روش‌های مؤثر و کارآمد در جلوگیری از حملات Brute Force، تغییر آدرس پیش‌فرض wp-login.php است. با تغییر این آدرس به یک نام متفاوت و منحصر به فرد، می‌توان دسترسی به صفحه ورود به سایت را از چشم هکرها پنهان کرد. این اقدام ساده ولی مؤثر، حتی در صورتی که حملات Brute Force به‌طور مداوم در حال انجام باشد، می‌تواند به طرز چشمگیری جلوی بسیاری از تلاش‌های ناموفق و بی‌ثمر برای نفوذ به سایت را بگیرد.

تغییر آدرس صفحه لاگین وردپرس می‌تواند به عنوان یکی از اولین و اصلی‌ترین گام‌ها در راستای افزایش و تقویت امنیت سایت وردپرسی در نظر گرفته شود. این تغییر نه‌تنها موجب محافظت از سایت در برابر حملات مختلف می‌شود، بلکه باعث کاهش آسیب‌پذیری سایت در برابر حملات خودکار نیز خواهد شد.

جلوگیری از Brute Force با تنظیمات سرور و هاست

تنظیمات سرور و هاست یکی از مهم‌ترین و مؤثرترین روش‌ها برای جلوگیری از حملات Brute Force به سایت‌های وردپرسی هستند. با توجه به اینکه حملات Brute Force عمدتاً به هدف پیدا کردن رمز عبور کاربران با آزمایش ترکیب‌های مختلف انجام می‌شود، تنظیمات صحیح سرور می‌تواند نقش بسزایی در کاهش احتمال موفقیت این حملات ایفا کند. در این راستا، تعدادی از اقدامات کلیدی و تنظیمات خاص وجود دارد که می‌توانند از سرور یا هاست به عنوان یک لایه دفاعی اضافی استفاده شوند تا امنیت سایت وردپرسی در برابر این نوع حملات افزایش یابد.

یکی از اولین اقداماتی که می‌توان برای جلوگیری از حملات Brute Force انجام داد، محدود کردن تعداد درخواست‌ها به صفحه ورود سایت است. در این روش، با استفاده از تنظیمات سرور یا فایروال‌های نرم‌افزاری، می‌توان تعداد دفعات تلاش برای ورود به سایت را از یک آدرس IP خاص محدود کرد. این اقدام باعث می‌شود که حمله‌کنندگان نتوانند به راحتی تعداد زیادی تلاش ناموفق برای ورود به سایت انجام دهند.

به عنوان مثال، در صورتی که درخواست‌های مکرر از یک IP مشخص برای ورود به سیستم صورت گیرد، سرور می‌تواند دسترسی آن IP را به صفحه ورود برای مدت زمان مشخصی مسدود کند. این کار می‌تواند به صورت خودکار و با استفاده از ابزارهایی مانند Fail2Ban یا mod_evasive در سطح سرور انجام شود. این افزونه‌ها و ابزارها می‌توانند به‌طور مؤثر از حملات Brute Force جلوگیری کنند و بار سرور را نیز کاهش دهند.

در صورتی که این فایل‌ها به صورت صحیح پیکربندی و تنظیم شوند، می‌توان از آن‌ها به‌طور مؤثر محافظت کرد. برای جلوگیری از دسترسی به این فایل‌ها، می‌توان از تنظیمات سطح سرور استفاده کرد که دسترسی به این فایل‌ها را تنها از منابع معتبر و IPهای مشخص مجاز می‌کند. همچنین، مسدود کردن دسترسی به xmlrpc.php در صورتی که از آن استفاده نمی‌شود، می‌تواند به‌طور قابل توجهی حملات Brute Force را کاهش دهد.

در برخی مواقع، پیکربندی مناسب فایروال‌های نرم‌افزاری نیز می‌تواند به امنیت سایت در برابر حملات Brute Force کمک کند. فایروال‌های نرم‌افزاری مانند CSF (ConfigServer Security & Firewall) و Imunify360 قادر به شناسایی و مسدود کردن درخواست‌های غیرمجاز به صفحات ورود وردپرس هستند. این فایروال‌ها می‌توانند درخواست‌ها را قبل از اینکه به سرور ارسال شوند، بررسی کنند و در صورت تشخیص حمله، آن‌ها را مسدود کنند. همچنین، با استفاده از تنظیمات فایروال، می‌توان از حملات DDoS (Denial of Service) که گاهی در کنار حملات Brute Force انجام می‌شود، جلوگیری کرد و از بار اضافی روی سرور جلوگیری کرد.

چگونه با Cloudflare جلوی حملات Brute Force را بگیریم؟

Cloudflare یکی از ابزارهای بسیار مؤثر و محبوب در مقابله با حملات Brute Force است که به طور گسترده توسط مدیران سایت‌ها برای محافظت از سایت‌های خود در برابر تهدیدات مختلف استفاده می‌شود. این سرویس به طور خاص برای افزایش امنیت سایت‌ها و جلوگیری از حملات مخرب، از جمله حملات Brute Force، طراحی شده است.

مهم‌ترین ویژگی Cloudflare در مقابله با چنین تهدیداتی، فایروال هوشمند آن است که قادر است به طور خودکار درخواست‌های مشکوک را شناسایی کرده و آن‌ها را از بین ببرد. این فایروال به گونه‌ای عمل می‌کند که ترافیک ورودی سایت را آنالیز می‌کند و از ورود ترافیک غیرمجاز و مشکوک به سایت جلوگیری می‌کند. در حقیقت، این سرویس با استفاده از الگوریتم‌های پیچیده خود، قادر است الگوهای رفتارهای مخرب را شبیه‌سازی کرده و درخواست‌های بر اساس آن‌ها را شناسایی کند.

Cloudflare با کمک این سیستم فایروال، به راحتی درخواست‌هایی را که از ربات‌ها و ابزارهای خودکار ارسال می‌شوند، شناسایی کرده و مانع از دسترسی آن‌ها به سایت می‌شود. این ویژگی بسیار مفید است زیرا حملات Brute Force از ربات‌ها و برنامه‌های خودکار استفاده می‌کنند که سعی دارند با آزمایش مکرر پسوردها و نام‌های کاربری مختلف، به حساب‌های کاربری دسترسی پیدا کنند. به لطف Cloudflare، این‌گونه درخواست‌ها شناسایی و مسدود می‌شوند قبل از اینکه بتوانند آسیبی به سایت وارد کنند. با تنظیمات مناسب Cloudflare، مدیران سایت می‌توانند درخواست‌هایی که از منابع غیرمجاز یا مشکوک می‌آیند را محدود کنند و تنها به کاربران واقعی اجازه دسترسی به سایت را بدهند.

علاوه بر فایروال، یکی از قابلیت‌های ویژه Cloudflare، امکان استفاده از کپچا (CAPTCHA) است. این ویژگی به طور مؤثر به مقابله با حملات Brute Force کمک می‌کند زیرا زمانی که درخواست‌های مشکوک یا بیش از حد از یک آدرس IP به سایت ارسال می‌شود، سیستم به کاربر این امکان را می‌دهد که یک کد تصویری کپچا را وارد کند تا از دسترسی خودکار ربات‌ها به سایت جلوگیری شود. این نوع از اعتبارسنجی یکی از بهترین راه‌ها برای اطمینان از این است که تنها انسان‌ها می‌توانند وارد سایت شوند و ربات‌ها قادر به عبور از این سد نیستند. این ویژگی کمک می‌کند تا حملات Brute Force به‌طور مؤثر محدود شوند و از فشارهای غیرضروری بر روی سرور جلوگیری شود.

ساخت محدودیت ورود (Login Rate Limiting) بدون افزونه در وردپرس

برای جلوگیری از حملات Brute Force در سایت‌های وردپرسی، یکی از روش‌های مؤثر و ساده، محدود کردن تعداد درخواست‌های ورود به سایت است. این روش به‌ویژه برای سایت‌هایی که از افزونه‌های امنیتی استفاده نمی‌کنند، بسیار مناسب است و می‌تواند به‌طور چشمگیری از حملات Brute Force جلوگیری کند. حملات Brute Force شامل تلاش‌های مکرر برای وارد کردن نام کاربری و رمز عبور اشتباه است و هدف آن‌ها حدس زدن ترکیب صحیح نام کاربری و رمز عبور برای دسترسی به حساب کاربری است. بنابراین، با محدود کردن تعداد درخواست‌ها به صفحه ورود سایت در یک بازه زمانی خاص، می‌توان از بروز چنین حملاتی جلوگیری کرد.

نحوه پیاده‌سازی محدودیت‌های ورود در وردپرس

این محدودیت‌ها می‌توانند از طریق فایل .htaccess یا تنظیمات سرور پیاده‌سازی شوند. در اینجا، هر دو روش را توضیح می‌دهیم:

۱. استفاده از فایل .htaccess

فایل .htaccess یک فایل پیکربندی است که برای مدیریت تنظیمات وب‌سرور (Apache) استفاده می‌شود. با افزودن چند خط کد به این فایل، می‌توان محدودیت‌هایی برای درخواست‌های ورود به صفحه‌ی ورود وردپرس (wp-login.php) ایجاد کرد. این روش نسبتاً ساده و بسیار مؤثر است.

برای پیاده‌سازی این محدودیت‌ها، مراحل زیر را دنبال کنید:

• دسترسی به فایل .htaccess: ابتدا باید به ریشه دایرکتوری سایت خود بروید و فایل .htaccess را پیدا کنید. این فایل در ریشه نصب وردپرس قرار دارد. اگر این فایل وجود ندارد، می‌توانید آن را به‌طور دستی ایجاد کنید.

• افزودن کد به فایل .htaccess: سپس باید کد زیر را به فایل .htaccess اضافه کنید تا تعداد درخواست‌های ناموفق به صفحه ورود را محدود کنید:

# محدود کردن تعداد درخواست‌ها به صفحه ورود
<Files wp-login.php>
SetEnvIf Remote_Addr “IP_Address” ALLOW_LOGIN
Order Deny,Allow
Deny from all
Allow from env=ALLOW_LOGIN
</Files>

در این کد، به‌جای “IP_Address”، آدرس IP خود را وارد کنید. این کد اجازه می‌دهد که فقط IP خاصی به صفحه ورود دسترسی داشته باشد و سایر آدرس‌های IP محدود شوند. این یک راه‌حل ابتدایی برای جلوگیری از حملات از منابع مختلف است. برای محدود کردن تعداد درخواست‌ها به صفحه ورود در یک زمان معین، نیاز به استفاده از mod_evasive یا mod_security روی سرور Apache دارید که از طریق تنظیمات سرور قابل اعمال است.

۲. استفاده از تنظیمات سرور

در صورتی که سرور شما از Nginx یا Apache استفاده می‌کند، می‌توان تنظیماتی را اعمال کرد که دسترسی به صفحه ورود را محدود کنند. این تنظیمات می‌توانند از طریق تنظیمات فایروال و سرور انجام شوند.

برای Apache: با استفاده از ماژول mod_evasive، می‌توان درخواست‌های مکرر به صفحه ورود را مسدود کرد. این ماژول به‌طور خودکار درخواست‌های سریع و مکرر را شناسایی کرده و آن‌ها را محدود می‌کند. برای استفاده از این ماژول، باید آن را روی سرور خود نصب کنید و سپس فایل پیکربندی را ویرایش کنید تا محدودیت‌هایی برای تعداد درخواست‌ها به صفحه ورود اعمال کنید. در کد زیر، تعداد درخواست‌های مجاز به صفحات خاص و مدت زمانی که در آن درخواست‌ها محدود می‌شوند، تنظیم می‌شود:

LoadModule evasive20_module modules/mod_evasive20.so
<IfModule mod_evasive.c>
DOSHashTableSize 3097
DOSPageCount 2
DOSSiteCount 50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10
</IfModule>

سفارش خدمات سئو و طراحی سایت

مشاوره رایگان