Der grosse Login- und Security-Hack – der 600. Beitrag von Dr. Code

// Zugriffskontrolle der Website
// Zugang nur für eingeloggte Benutzer gewähren, ausser für IPs in der Whitelist
function restrict_access_to_logged_in_users() {
// IP-Whitelist prüfen
$whitelist = get_option('admin_ip_whitelist', []);
$current_ip = $_SERVER['REMOTE_ADDR'];// Geo-Blocking durchführen, unabhängig von Login-Status oder Whitelist
if (!is_allowed_country()) {
wp_die('Access restricted to users in allowed countries only.');
}// Wenn die IP nicht in der Whitelist ist und der Benutzer nicht eingeloggt ist
if (!isset($whitelist[$current_ip]) && !is_user_logged_in() && !is_page('userlogin') && !is_page('register')) {
// Umleitung zur Login-Seite
wp_redirect(wp_login_url());
exit;
}// Wenn die IP in der Whitelist ist, keine Umleitung und kein Login erforderlich
if (isset($whitelist[$current_ip])) {
// Aktualisiere den Zeitstempel für den letzten Zugriff
$whitelist[$current_ip] = time();
update_option('admin_ip_whitelist', $whitelist);
return; // Zugriff ohne Einschränkungen gewähren
}
}
add_action('template_redirect', 'restrict_access_to_logged_in_users');// Nach Login auf die Startseite umleiten
function redirect_after_login($redirect_to, $request, $user) {
if (isset($user->roles) && is_array($user->roles)) {
return home_url(); // Umleitung auf die Startseite
}
return $redirect_to;
}
add_filter('login_redirect', 'redirect_after_login', 10, 3);// Sicherstellen, dass Sitzungen nicht gespeichert werden und beim Schliessen des Browsers beendet werden
function set_session_lifetime() {
ini_set('session.cookie_lifetime', 0); // Sitzung endet mit dem Schliessen des Browsers
ini_set('session.gc_maxlifetime', 0);
}
add_action('init', 'set_session_lifetime', 1);// Entferne die Option "Angemeldet bleiben" auf der Login-Seite
function remove_remember_me_option() {
echo '<style>.login #rememberme, .login label[for="rememberme"] { display: none; }</style>';
}
add_action('login_head', 'remove_remember_me_option');// Geo-Blocking: Zugriff nur aus der Schweiz erlauben
function is_allowed_country() {
$allowed_country = 'CH'; // Schweiz
$user_ip = $_SERVER['REMOTE_ADDR'];
$geo_data = json_decode(file_get_contents("http://www.geoplugin.net/json.gp?ip={$user_ip}"));return isset($geo_data->geoplugin_countryCode) && $geo_data->geoplugin_countryCode === $allowed_country;
}// Admin IP-Whitelist-Seite
add_action('admin_menu', function () {
add_options_page('Admin IP Whitelist', 'Admin IP Whitelist', 'manage_options', 'admin-ip-whitelist', 'render_ip_whitelist_page');
});// Administrations-Seite erstellen
function render_ip_whitelist_page() {
if (!current_user_can('manage_options')) {
return;
}$whitelist = get_option('admin_ip_whitelist', []);
$current_ip = $_SERVER['REMOTE_ADDR'];clean_old_ips();if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['add_ip'])) {
$new_ip = sanitize_text_field($_POST['new_ip']);
if (filter_var($new_ip, FILTER_VALIDATE_IP) && !isset($whitelist[$new_ip])) {
$whitelist[$new_ip] = time();
update_option('admin_ip_whitelist', $whitelist);
}
}if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['remove_ip'])) {
$remove_ip = sanitize_text_field($_POST['remove_ip']);
unset($whitelist[$remove_ip]);
update_option('admin_ip_whitelist', $whitelist);
}// Whitelist nach Alter sortieren (neueste zuerst)
uasort($whitelist, function($a, $b) {
return $b - $a; // Neueste zuerst
});echo '<div class="wrap">';
echo '<h1>Admin IP-Whitelist</h1>';
echo '<form method="post">';
echo '<h2>IP-Whitelist</h2>';
echo '<table class="widefat striped"><thead><tr><td>IP</td><td>Letzter Zugriff</td><td></td></tr></thead>';
foreach ($whitelist as $ip => $timestamp) {
// Datum und Zeit in Ortszeit basierend auf Word­Press-Einstellungen formatieren
$last_access = date_i18n('d.m.Y H:i', $timestamp);
echo "<tr><td style=\"width: 33%; vertical-align: middle;\"><b>$ip</b></td><td style=\"width: 33%; vertical-align: middle;\">$last_access </td><td style=\"width: 33%; vertical-align: middle;\"><button class=\"button button-primary\" type='submit' name='remove_ip' value='$ip'>IP entfernen</button></td></tr>";
}
echo '</table>';
echo '<hr>';
echo '<h2>Aktuelle IP</h2>';
echo "<table class=\"widefat striped\"><tr><td style=\"width: 33%; vertical-align: middle;\">Ihre aktuelle IP:<br />$current_ip</td><td style=\"width: 66%; vertical-align: middle;\">";
echo '<input type="hidden" name="new_ip" value="' . esc_attr($current_ip) . '">';
echo '<button class="button button-primary" type="submit" name="add_ip">IP whitelisten</button></td></tr></table>';
echo '</form>';
echo '</div>';
}// Alte IPs nach drei Monaten entfernen
function clean_old_ips() {
$whitelist = get_option('admin_ip_whitelist', []);
$three_months_ago = time() - (3 * 30 * DAY_IN_SECONDS); // Drei Monateforeach ($whitelist as $ip => $timestamp) {
if ($timestamp < $three_months_ago) {
unset($whitelist[$ip]);
}
}update_option('admin_ip_whitelist', $whitelist);
}// Tägliche Bereinigung planen
if (!wp_next_scheduled('daily_ip_cleanup')) {
wp_schedule_event(time(), 'daily', 'daily_ip_cleanup');
}
add_action('daily_ip_cleanup', 'clean_old_ips');