当前有botnet active, attacking WordPress and Joomla sites. 可能更多。您应该看到更多被阻止的登录。如果你不这样做，可能是出了什么问题。

但请注意，阻止IP地址无助于对抗IP地址超过90000的机器人网络
如果每个插件都这样做，请避免Limit Login Attempts. 它将IP存储在序列化选项中，该选项必须在每次请求时取消序列化。这是非常昂贵和缓慢的
查找使用单独数据库表的插件，或在中阻止IP地址。htaccess如下：

order allow,deny
# top 30 IP addresses listed in 
# http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html
deny from 31.184.238.38
deny from 178.151.216.53
deny from 91.224.160.143
deny from 195.128.126.6
deny from 85.114.133.118
deny from 177.125.184.8
deny from 89.233.216.203
deny from 89.233.216.209
deny from 109.230.246.37
deny from 188.175.122.21
deny from 46.119.127.1
deny from 176.57.216.198
deny from 173.38.155.22
deny from 67.229.59.202
deny from 94.242.237.101
deny from 209.73.151.64
deny from 212.175.14.114
deny from 78.154.105.23
deny from 50.116.27.19
deny from 195.128.126.114
deny from 78.153.216.56
deny from 31.202.217.135
deny from 204.93.60.182
deny from 173.38.155.8
deny from 204.93.60.75
deny from 50.117.59.3
deny from 209.73.151.229
deny from 216.172.147.251
deny from 204.93.60.57
deny from 94.199.51.7
deny from 204.93.60.185

allow from all

• Codex: Brute Force Attacks
• Login Protection With .htaccess 伊普斯特努（Mika Epstein）
• Custom WordPress ModSecurity Rules 通过Liquid WebProtecting Against WordPress Brute-Force Attacks 通过Sucuri博客，也可以：Mass WordPress Brute Force Attacks? – Myth or Reality 具有有趣的统计细节How to Password Protect the wp-login.php File 由HostGator提供我们的标签security 也值得一看，尤其是：
  • Verifying that I have fully removed a WordPress hack?
  • Securing Admin Accounts - Username Discovery
  • How brute-forcer knows that the password is cracked for target username?
  如果您已移动wp-admin 或者你的wp-login.php 这些URL仍然可以通过附加/login 或/admin 到主URL。WordPress会将这些请求重定向到正确的位置
  要停止这种行为，您可以使用一个非常简单的插件：

  <?php  # -*- coding: utf-8 -*-
  /* Plugin Name: No admin short URLs */
  
  remove_action( \'template_redirect\', \'wp_redirect_admin_locations\', 1000 );
  

  我认为这是默默无闻的安全，没什么大不了的。

除了resources toscho listed 在他的回答中，你也可以使用PHP\'s Basic HTTP Authentication 密码保护wp admin和/或wp login。php阻止访问wp登录。php。

我只是released a plugin 这可以帮你阻止任何推荐人的请求。（No Refrer块当前不适用于安装在子目录中的站点）。

您可以通过以下方法保护WordPress管理员。

在管理员密码中添加数字、特殊字符和字母，然后strong passwordimage captcha 在wp管理页面中。有一些插件可供使用。喜欢https://wordpress.org/plugins/wp-limit-login-attempts/