Stop User Enumeration

Beschrijving

Stop User Enumeration is een beveiligingsplugin die is ontworpen om hackers te detecteren en te voorkomen dat ze je site scannen op inlognamen van gebruikers.

Gebruikerstelling is een type aanval waarbij kwaadwillende partijen je website kunnen doorzoeken om ujew inlognaam te achterhalen. Dit is vaak een pre-cursor voor brute-force wachtwoordaanvallen. Stop User Enumeration helpt deze eerste aanval te blokkeren en stelt je in staat IP’s te loggen die deze aanvallen lanceren om verdere aanvallen in de toekomst te blokkeren.

Tools zoals WPSCAN zijn ontworpen voor gebruik door ethische hackers en spannen zich in om de inlognamen van gebruikers te vinden. Ethische hackers vragen eerst toestemming, deze plugin is ontworpen om de tools te verminderen wanneer ze zonder toestemming worden gebruikt en wanneer gebruikt in combinatie met fail2ban die pogingen bij de firewall kan blokkeren.

Als je jezelf op een VPS of een dedicated server bevindt en het aanvals-IP is vastgelegd, kan je (optionele aanvullende configuratie) fail2ban gebruiken om de aanval direct bij de firewall van je server te blokkeren, een zeer krachtige oplossing voor VPS-eigenaren om ook brute force-aanvallen te stoppen als DDoS-aanvallen.

Als je geen toegang hebt om fail2ban te installeren (bijvoorbeeld op een gedeelde host), kan je deze plugin toch gebruiken.

De plugin kan voorkomen dat de gebruikers-ID wordt gelekt door de oEmbed API-aanroep.

Aangezien gebruikersgegevens van WordPress 4.5 ook kunnen worden verkregen door API-aanroepen zonder in te loggen, is dit een WordPress-functie, maar als je deze niet nodig hebt om gebruikersgegevens te krijgen, is dit
plugin zal dat ook beperken en loggen.

Omdat WordPress 5.5-sitemaps worden gegenereerd door core WP ( wp-sitemap.xml ) die een sitemap voor gebruikers/auteurs bevat die de gebruikers-ID blootlegt. Je kunt dit in-/uitschakelen in de plugin instellingen.

PHP 8.0 compatibel

Getest op PHP 8

Functies omvatten

  • Blokkeert gebruikersopsommingsverzoeken door GET of POST
  • Syslogt een blok zodat Fail2Ban kan worden gebruikt om een IP te blokkeren
  • Blokkeert optioneel REST API-gebruikersverzoeken voor niet-geautoriseerde gebruikers
  • Optioneel verwijdert auteur sitemap
  • Verwijdert optioneel auteur van OEMBED
  • Verwijdert optioneel nummers van auteurs van reacties

Installatie

In deze sectie wordt beschreven hoe je de plugin kunt installeren en aan de slag kan gaan.

Ofwel met behulp van de dashboard-functie ‘Plugin toevoegen’ om de plugin te zoeken, installeren en activeren, of
1. Download en de plugin via de downloadlink
2. Upload de volledige stop-user-enumeration-directory naar /wp-contents/plugins/stop-user-enumeration van je website met behulp van een bestandsbeheerder of FTP
3. Activeer de plugin via het menu Plugins

FAQ

Het schijnt niet te werken!

Ben je ingelogd? Deze plugin doet niets voor ingelogde gebruikers, het werkt alleen als je bent uitgelogd. Dit is de manier waarop het is ontworpen. Een veelgemaakte fout is om de plugin te installeren en te testen, terwijl je nog steeds bent ingelogd als beheerder.

Mijn gebruikersnaam lijkt nog steeds te zijn gelekt!

Thema’s en xml-feeds bevatten de ‘Weergavenaam’ van je gebruiker. Als je geen naamdetails of bijnaam opgeeft, wordt de ‘Weergavenaam’ standaard de gebruikersnaam van je gebruiker. Zorg ervoor dat je weergavenaam altijd NIET is ingesteld op je gebruikersnaam, anders wordt deze op meerdere plaatsen gelekt.

Zijn er instellingen?

Ja, maar de standaardinstellingen zijn in de meeste gevallen prima

Dit werkt niet met PHP 5.2!

Deze plugin ondersteunt geen PHP 5.2. PHP 5.2 is erg oud en je moet echt je hosting regelen, het draaien van een softwareversie die ver voorbij het ondersteunde einde van de levensduur is, is een veiligheidsrisico.

Zal het werken op multisite?

Ja

Waarom blokkeer ik niet gewoon met .htaccess

Een .htaccess-oplossing is om verschillende redenen onvoldoende, maar de meeste gepubliceerde berichten over dit onderwerp hebben geen betrekking op POST-blokkering, REST API-blokkering en het onbedoeld blokkeren van de toegang van beheerders. En log het IP-adres niet in een firewall, het grote voordeel!

Breekt het iets?

Als een opmerking wordt achtergelaten door iemand die alleen een nummer geeft, is die opmerking verboden, omdat er wordt uitgegaan van een hackpoging, maar de plugin heeft een stukje code dat nummers verwijdert uit de namen van de auteurs van de opmerkingen

Heb ik fail2ban nodig om dit te laten werken?

Nee, maar met fail2ban kan je IP adressen blokkeren bij je VPS / Dedicated server-firewall die gebruikerstelling proberen.

Wat is de fail2ban configuratie?

Een fail2ban configuratiebestand, wordpress userenum.conf is te vinden in de plugin folder stop-user-enumeration/fail2ban/filter.d

Wat moet er in de fail2ban jail.local?

Een voorbeeld jail.local is te vinden in de plugin folder stop-user-enumeration/fail2ban

Beoordelingen

Lees alle 67 beoordelingen

Bijdragers & ontwikkelaars

“Stop User Enumeration” is open source software. De volgende personen hebben bijgedragen aan deze plugin.

Bijdragers

“Stop User Enumeration” is vertaald in 1 taal. Dank voor de vertalers voor hun bijdragen.

Vertaal “Stop User Enumeration” naar jouw taal.

Interesse in ontwikkeling?

Bekijk de code, haal de SVN repository op, of abonneer je op het ontwikkellog via RSS.

Changelog

1.4.3

  • koop me een koffie donatie toegevoegd

1.4.3

  • Verplaats query arg naar init hook om onnodige waarschuwingen te voorkomen
  • Update donatie lib

1.4.2

  • Randgeval repareren waarbij beoordeling / doneren niet-ontvankelijk wordt

1.4.1

  • Opgeruimde donatiebibliotheek voor build om dev afhankelijkheden te verwijderen

1.4.0

  • Verwijder freemius-bibliotheek en optionele registratie
  • Voeg donatie- en bijdragemeldingen toe

1.3.32

  • niet hoofdlettergevoelig zijn bij het controleren van REST API

1.3.31

  • Upgrade naar versie 1.3.30 om sitemaps van auteurs uit te schakelen – je moet inschakelen in instellingen (sluit probleem # 6)

1.3.30

  • optie om sitemaps van auteurs te verwijderen

1.3.29

  • Kleine javascript-oplossing
  • betere IP-detectie voor proxy’s

1.3.28

  • Bibliotheek update

1.3.27

  • Consoleprobleem verwijderd als er geen opmerkingen waren ingeschakeld

1.3.26

  • Geüpdatet bibliotheek

1.3.25

  • Link verwijderd

1.3.24

  • Pagina met gewijzigde instellingen

1.3.23

  • Donatielink verwijderd

1.3.22

  • Ondersteuningslink naar instellingenpagina verplaatst om de rommel in het menu te verminderen
  • Freemius-bibliotheek geüpdatet naar 2.3.0

1.3.21

  • Menunaam en ondersteuningslink gewijzigd

1.3.20

  • kleine verbetering

1.3.19

  • kleine verbetering

1.3.18

  • kleine aanpassing om beter te werken met 5.0

1.3.17

  • pagina met instellingen gewijzigd om willekeurige metaboxen te stoppen

1.3.16

  • Herwerkte instellingenpagina

1.3.15

  • repareren om ervoor te zorgen dat scripts niet in de wachtrij worden geplaatst, tenzij vereist

1.3.14

  • dubbele plugin header opgelost

1.3.13

  • mogelijkheid om te linken naar een gedeelde host-firewall (fullworks-firewall)

1.3.12

  • Los enkele ontbrekende bestanden op

1.3.11

  • Taal localisatie toegevoegd voor vertalingen
  • Spaanse vertaling toegevoegd

1.3.10

Vaste ongebruikte javascript & css op de instellingenpagina

1.3.9

Taalinstellingen toegevoegd om vertaling toe te staan.

Opgeschoonde tekst wordt geschreven naar syslog

Gesloten potentiële REST API-bypass

1.3.8

Beveiligingsoplossing om XSS-exploitatie te stoppen

Ook gecodeerd, dus zou moeten werken met PHP 5.3 – hoewel PHP 5.3. is al meer dan twee jaar aan het einde van de levensduur, het lijkt erop dat sommige hosts dit nog steeds gebruiken. Dit is een veiligheidsrisico op zich en
sites die PHP 5.3 gebruiken, moeten proberen te upgraden naar een ondersteunde versie van PHP, maar deze wijziging is voor achterwaartse compatibiliteit.

1.3.7

Oplossing om verouderde PHP-versie 5.4 te laten werken, aangezien 5.4 ondanks het einde van de levensduur nog steeds algemeen wordt gebruikt

Merk op dat deze code niet werkt op PHP 5.3

1.3.6

PHP fout opgelost

1.3.5

  • volledige herschrijving
  • Detectieregels gewijzigd om een gerapporteerde bypass te stoppen
  • Detectie en onderdrukking van REST API-aanroepen toegevoegd aan gebruikersgegevens
  • Instellingenpagina toegevoegd om REST API-aanroepen toe te staan of systeemregistratie te stoppen indien nodig
  • Code toegevoegd om nummers van auteurs van reacties te verwijderen en instelling om dat uit te schakelen