日志里天天一堆 wp-login 爆破，你们都是怎么处理的

大鹏运维

最近看 nginx 日志，wp-login.php 的扫描量一天几千条，换着 IP 来，烦得很。

目前做了这些：

- fail2ban 拦一下高频的；
- 后台路径改了、外面套了 basic auth；
- 能上 WAF 的上了 WAF。

但感觉治标不治本，扫的人成本太低了，拦一茬又来一茬。想问下大家还有什么更省事的做法？比如直接在 nginx 层 return 444 把这类请求掐掉，有没有什么副作用，会不会误伤到正常的 POST。想抄个作业。

阿峰

我是直接把 wp-login 改名，再在 nginx 里把默认路径 return 444，感觉比装一堆插件省心。

不过有个坑提醒下：升级 WordPress 的时候要注意，别把改过名的那个文件覆盖回去了，不然又露出来。