Stop User Enumeration

Beschrijving

Stop User Enumeration is een beveiligingsplugin die is ontworpen om hackers te detecteren en te voorkomen dat ze je site scannen op inlognamen van gebruikers.

Gebruikerstelling is een type aanval waarbij kwaadwillende partijen je website kunnen doorzoeken om ujew inlognaam te achterhalen. Dit is vaak een pre-cursor voor brute-force wachtwoordaanvallen. Stop User Enumeration helpt deze eerste aanval te blokkeren en stelt je in staat IP’s te loggen die deze aanvallen lanceren om verdere aanvallen in de toekomst te blokkeren.

Tools zoals WPSCAN zijn ontworpen voor gebruik door ethische hackers en spannen zich in om de inlognamen van gebruikers te vinden. Ethische hackers vragen eerst toestemming, deze plugin is ontworpen om de tools te verminderen wanneer ze zonder toestemming worden gebruikt en wanneer gebruikt in combinatie met fail2ban die pogingen bij de firewall kan blokkeren.

Als je jezelf op een VPS of een dedicated server bevindt en het aanvals-IP is vastgelegd, kan je (optionele aanvullende configuratie) fail2ban gebruiken om de aanval direct bij de firewall van je server te blokkeren, een zeer krachtige oplossing voor VPS-eigenaren om ook brute force-aanvallen te stoppen als DDoS-aanvallen.

Als je geen toegang hebt om fail2ban te installeren (bijvoorbeeld op een gedeelde host), kan je deze plugin toch gebruiken.

De plugin kan voorkomen dat de gebruikers-ID wordt gelekt door de oEmbed API-aanroep.

Aangezien gebruikersgegevens van WordPress 4.5 ook kunnen worden verkregen door API-aanroepen zonder in te loggen, is dit een WordPress-functie, maar als je deze niet nodig hebt om gebruikersgegevens te krijgen, is dit
plugin zal dat ook beperken en loggen.

Omdat WordPress 5.5-sitemaps worden gegenereerd door core WP ( wp-sitemap.xml ) die een sitemap voor gebruikers/auteurs bevat die de gebruikers-ID blootlegt. Je kunt dit in-/uitschakelen in de plugin instellingen.

PHP 8.2 compatibel

Getest op PHP 8.2

Functies omvatten

  • Blokkeert gebruikersopsommingsverzoeken door GET of POST
  • Syslogt een blok zodat Fail2Ban kan worden gebruikt om een IP te blokkeren
  • Blokkeert optioneel REST API-gebruikersverzoeken voor niet-geautoriseerde gebruikers
  • Optioneel verwijdert auteur sitemap
  • Verwijdert optioneel auteur van OEMBED
  • Verwijdert optioneel nummers van auteurs van reacties

Installatie

In deze sectie wordt beschreven hoe je de plugin kunt installeren en aan de slag kan gaan.

Ofwel met behulp van de dashboard-functie ‘Plugin toevoegen’ om de plugin te zoeken, installeren en activeren, of
1. Download en de plugin via de downloadlink
2. Upload de volledige stop-user-enumeration-directory naar /wp-contents/plugins/stop-user-enumeration van je website met behulp van een bestandsbeheerder of FTP
3. Activeer de plugin via het menu Plugins

FAQ

Het schijnt niet te werken!

Ben je ingelogd? Deze plugin doet niets voor ingelogde gebruikers, het werkt alleen als je bent uitgelogd. Dit is de manier waarop het is ontworpen. Een veelgemaakte fout is om de plugin te installeren en te testen, terwijl je nog steeds bent ingelogd als beheerder.

Mijn gebruikersnaam lijkt nog steeds te zijn gelekt!

Thema’s en xml-feeds bevatten de ‘Weergavenaam’ van je gebruiker. Als je geen naamdetails of bijnaam opgeeft, wordt de ‘Weergavenaam’ standaard de gebruikersnaam van je gebruiker. Zorg ervoor dat je weergavenaam altijd NIET is ingesteld op je gebruikersnaam, anders wordt deze op meerdere plaatsen gelekt.

Zijn er instellingen?

Ja, maar de standaardinstellingen zijn in de meeste gevallen prima

Dit werkt niet met PHP 5.2!

Deze plugin ondersteunt geen PHP 5.2. PHP 5.2 is erg oud en je moet echt je hosting regelen, het draaien van een softwareversie die ver voorbij het ondersteunde einde van de levensduur is, is een veiligheidsrisico.

Zal het werken op multisite?

Ja

Waarom blokkeer ik niet gewoon met .htaccess

Een .htaccess-oplossing is om verschillende redenen onvoldoende, maar de meeste gepubliceerde berichten over dit onderwerp hebben geen betrekking op POST-blokkering, REST API-blokkering en het onbedoeld blokkeren van de toegang van beheerders. En log het IP-adres niet in een firewall, het grote voordeel!

Breekt het iets?

Als een opmerking wordt achtergelaten door iemand die alleen maar een nummer geeft, is die opmerking verboden, omdat wordt aangenomen dat het een hackpoging is, maar de plugin heeft een stukje code dat nummers verwijdert uit de namena1 van de auteur van de opmerking
Ook gebruikersnamen die cijfers bevatten, werken mogelijk niet in de frontend.

Heb ik fail2ban nodig om dit te laten werken?

Nee, maar met fail2ban kan je IP adressen blokkeren bij je VPS / Dedicated server-firewall die gebruikerstelling proberen.

Wat is de fail2ban configuratie?

Een fail2ban configuratiebestand, wordpress userenum.conf is te vinden in de plugin folder stop-user-enumeration/fail2ban/filter.d

Wat moet er in de fail2ban jail.local?

Een voorbeeld jail.local is te vinden in de plugin folder stop-user-enumeration/fail2ban

Hoe kan ik beveiligingsfouten rapporteren?

Je kunt beveiligingsfouten melden via het Patchstack Vulnerability Disclosure Programma. Het Patchstack team helpt bij het valideren, sorteren en afhandelen van beveiliging kwetsbaarheden. Meld een beveiliging kwetsbaarheid.

Beoordelingen

18 januari 2024 1 reactie
I was dealing with a massive username enumeration attack after a recent update to my Wordpress website. This plugin effectively stopped it in its tracks! Thank you!
27 maart 2024
I used to see Prevent from user enumeration warnings in my log file after installing Stop User Enumeration warning was gone monitoring from last 2 months and it's working perfectly Great Job Alan.
Lees alle 117 beoordelingen

Bijdragers & ontwikkelaars

“Stop User Enumeration” is open source software. De volgende personen hebben bijgedragen aan deze plugin.

Bijdragers

“Stop User Enumeration” is vertaald in 1 taal. Dank voor de vertalers voor hun bijdragen.

Vertaal “Stop User Enumeration” naar jouw taal.

Interesse in ontwikkeling?

Bekijk de code, haal de SVN repository op, of abonneer je op het ontwikkellog via RSS.

Changelog

1.4.9

  • Geüpdatet bibliotheek

1.4.8

  • Geüpdatet bibliotheek

1.4.7

  • bibliotheek updaten om veroudering berichten te verwijderen

1.4.6

  • standaardoptie vroeg genoeg instellen voor netwerkbrede activering op meerdere locaties

Volledige wijzigingsgeschiedenis