Proteger archivo con contraseña en IIS

[juanjo_16v]

Hola gente:

Viendo los logs del IIS he visto (no me había dado cuenta) que están atacando a saco el fichero wp-login.php de worpress de un servidor.

Con el apache he visto que modificando el .htaccess se le puede poner una contraseña a un fichero, se puede hacer algo similar con el IIS? y/o restringir el acceso al documento desde un rango de IP?

Saludos

[jmtella]

Hola gente:

Viendo los logs del IIS he visto (no me había dado cuenta) que están atacando a saco el fichero wp-login.php de worpress de un servidor.

Con el apache he visto que modificando el .htaccess se le puede poner una contraseña a un fichero, se puede hacer algo similar con el IIS? y/o restringir el acceso al documento desde un rango de IP?

Saludos

¿te puede valer esto?

https://www.natapuntes.es/permitir-denegar-ips-iis/

[juanjo_16v]

Gracias pero no, eso bloquea o permite el sitio completo, yo necesito solo un fichero que es el que están atacando

He visto esto, pero la expresión regular para la IP no funciona bien:

<rule name="FlagAdminIPs" patternSyntax="ECMAScript">
<match url=".*" />
<conditions logicalGrouping="MatchAny" trackAllCaptures="false">
<add input="{REMOTE_ADDR}" pattern="^192\.168\.1\.(1(2[8-9]|[3-9][0-9])|2([0-4][0-9]|5[0-4]))$" />
</conditions>
<serverVariables>
<set name="HTTP_X_AdminIPAllowed" value="yes" />
</serverVariables>
<action type="None" />
</rule>
<rule name="Restrict wp-login.php access" enabled="true" stopProcessing="true">
<match url=".*" />
<conditions logicalGrouping="MatchAll" trackAllCaptures="false">
<add input="{REQUEST_FILENAME}" pattern="wp-login.php" />
<add input="{HTTP_X_AdminIPAllowed}" pattern="yes" negate="true" />
</conditions>
<action type="CustomResponse" statusCode="403" statusReason="Forbidden" statusDescription="Forbidden" />
</rule>

Eso en teoria solo permite el acceso desde IP's 192.168.1.X pero que va, he probado con otras, y tampoco, he probado el patrón desde el mismo IIS y no valida nada, siempre da error.

He probado poniendo al final del patron $ y +, pero nada

[jmtella]

Gracias pero no, eso bloquea o permite el sitio completo, yo necesito solo un fichero que es el que están atacando

He visto esto, pero la expresión regular para la IP no funciona bien:

<rule name="FlagAdminIPs" patternSyntax="ECMAScript">
<match url=".*" />
<conditions logicalGrouping="MatchAny" trackAllCaptures="false">
<add input="{REMOTE_ADDR}" pattern="^192\.168\.1\.(1(2[8-9]|[3-9][0-9])|2([0-4][0-9]|5[0-4]))$" />
</conditions>
<serverVariables>
<set name="HTTP_X_AdminIPAllowed" value="yes" />
</serverVariables>
<action type="None" />
</rule>
<rule name="Restrict wp-login.php access" enabled="true" stopProcessing="true">
<match url=".*" />
<conditions logicalGrouping="MatchAll" trackAllCaptures="false">
<add input="{REQUEST_FILENAME}" pattern="wp-login.php" />
<add input="{HTTP_X_AdminIPAllowed}" pattern="yes" negate="true" />
</conditions>
<action type="CustomResponse" statusCode="403" statusReason="Forbidden" statusDescription="Forbidden" />
</rule>

Eso en teoria solo permite el acceso desde IP's 192.168.1.X pero que va, he probado con otras, y tampoco, he probado el patrón desde el mismo IIS y no valida nada, siempre da error.

¿Has dado de alta la variable?:
HTTP_X_AdminIPAllowed

[juanjo_16v]

Creo que el problema de la expresion regular lo he solucionado, funciona desde todos los sitios menos desde mi IP, pero desde mi IP da un error 500.

Creo que la variable si esta dada de alta correctamente

[jmtella]

A ver,que no me aclaro, esa regla que estas poniendo en donde la pones? ¿tienes el ARR Rewrite module instalado?

[juanjo_16v]

Inicialmente la puse en un fichero web.config en el directorio raiz del directorio del sitio en el IIS, vamos en C:\inetpub\vhosts\wp.prueba.com

Pero ese fichero se carga si entro en la administracion de IIS en el mismo sitio wp.prueba.com en reescritura de direccion URL.

La regla funciona bien desde fuera de mi IP, la web se carga y si entro en la pagina wp-login.php salta a la pagina 403 que no tiene permiso.

Pero desde mi IP me da un error 500

Me he fijado en esto:
https://webmasters.stackexchange.com...ent-ip-address

Y el problema es este, cuando accedo desde la IP permitida

Error HTTP 500.50 - URL Rewrite Module Error.
The server variable "HTTP_X_AdminIPAllowed" is not allowed to be set. Add the server variable name to the allowed server variable list.

[juanjo_16v]

JM ya esta, faltaba como decías añadir la variable, ya funciona.

Y poder acceder a la pagina con una contraseña del IIS? sin la limitacion de la IP?

Gracias

[jmtella]

JM ya esta, faltaba como decías añadir la variable, ya funciona.

Y poder acceder a la pagina con una contraseña del IIS? sin la limitacion de la IP?

Gracias

Con contraseña no creo... y con permisos no me gusta. La proteccion por IP está bien...

[juanjo_16v]

Ya, pero con la IP solo puedo acceder yo a la parte de gestión, que ahora yo solo soy el que publica y gestiona en las webs, pero si los clientes quieren publicar ellos...

Y otro problema es que solo puedo poner un rango de IP's pero no varios rangos de IP distintos.

[jmtella]

Ya, pero con la IP solo puedo acceder yo a la parte de gestión, que ahora yo solo soy el que publica y gestiona en las webs, pero si los clientes quieren publicar ellos...

Y otro problema es que solo puedo poner un rango de IP's pero no varios rangos de IP distintos.

Puedes poner varias reglas y cada regla con su condicion, por lo que puedes abrrir el rengo de IP's mediante condiciones diferentes... por ejemplo, un web.config mio (una parte de él) (es para otra cosa,. pero te sirve para ver lo de las reglas) es:

<rule name="ReverseProxyInboundRuleXen" stopProcessing="true">
     <match url="(noticias.*|forum.*)" />
     <conditions>
          <add input="{CACHE_URL}" pattern="^(https?)://" />
     </conditions>
     <serverVariables>
           <set name="HTTP_X_ORIGINAL_ACCEPT_ENCODING" value="{HTTP_ACCEPT_ENCODING}" />
           <set name="HTTP_ACCEPT_ENCODING" value="" />
     </serverVariables>
     <action type="Rewrite" url="http://172.16.7.40/{R:1}" />
</rule>
<rule name="ReverseProxyInboundRuleXen2" stopProcessing="true">
     <match url="(cafe.*)" />
     <conditions>
           <add input="{CACHE_URL}" pattern="^(https?)://" />
     </conditions>
     <serverVariables>
            <set name="HTTP_X_ORIGINAL_ACCEPT_ENCODING" value="{HTTP_ACCEPT_ENCODING}" />
            <set name="HTTP_ACCEPT_ENCODING" value="" />
     </serverVariables>
     <action type="Rewrite" url="http://172.16.7.39/{R:1}" />
</rule>

[juanjo_16v]

Muchas gracias!!!! Haré pruebas