WordPress 最大安全隐患,xmlrpc.php

什么是 XML-RPC
首先要明白什么是 XML-RPC,它的全称是 XML Remote Procedure Call,即 XML 远程过程调用,它是一套允许运行在不同操作系统、不同环境的程序实现基于网络过程调用的规范和一系列的实现。

简单说 RPC 就是通过像本地服务一样远程调用另外一台服务器上的服务来完成需求,XML-RPC 就是使用 XML 作为编码格式的 RPC。

XML-RPC 使用 http 作为传输协议,XML 作为传送信息的编码格式,一个 XML-RPC 消息就是一个请求体为 XML 的 http-post 请求,被调用的方法在服务器端执行并将执行结果以 XML 格式编码后返回。

一个 XML-RPC 协议包括两部分:

  • RPC client,用来向 RPC 服务端调用方法,并接收方法的返回数据。
  • RPC server,用于响应 RPC 客户端的请求,执行方法,并回送方法执行结果。

WordPress 源代码( xmlrpc.php 文件)中已经包含了完整的 RPC 服务端代码,它支持对文章,媒体,评论,分类,选项等等各方面数据的管理。

换句话说,只要懂 XML-RPC 协议,就可以使用 XML-RPC 对 WordPress 博客的各个方面进行操作,也就是说可以使用 XML-RPC 做 WordPress 的客户端。

XML-RPC 安全隐患

XML-RPC 那么好用,也造成了一定的安全隐患,主要是给攻击者提供了便利,所以攻击者的一项工作就是扫描 xmlrpc.php 文件,以便可以实现:

1. XML-RPC pingbacks 攻击,攻击者可以利用 XML-RPC 的 pingbacks 方法对 WordPress 实行 DDoS (分布式拒绝服务)攻击,如果你使用了 CDN 服务商的 DNS 保护服务,攻击者还可以使用 pingbacks 方法获取站点的真实 IP,剩下不用我说了吧。😂

2. 即使 WordPress 设置了登录次数限制,但是使用 XML-RPC 暴力破解 WordPress 的账号密码却逃过了限制,并且 XML-RPC 一次请求就可以执行上百次密码的暴力破解。😓

彻底屏蔽 XML-RPC

既然存在这些问题,那么最好关闭 WordPress 的 XML-RPC 服务,群里面有些小伙伴建议直接删除 xmlrpc.php 文件就好了,但是删除了,下次 WordPress 升级之后又会出现,不太建议这么做。

最快的方法,只需在当前主题的 functions.php 文件添加下面这行代码就能关闭它:

add_filter('xmlrpc_enabled', '__return_false');

使用 PHP 代码或者插件方式关闭,xmlrpc.php 文件被扫描的时候,整个 WordPress 代码还是会被加载,所以如果浪费服务器资源在这上面,可以使用下面方式屏蔽服务器上 xmlrpc.php 文件的请求:

1. Apache 可以通过在 .htaccess 文件前面添加以下代码:

<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

2. nginx 服务器可以添加下面的规则:

location ~* ^/xmlrpc.php$ {
return 403;
}

3. 如果以上两个方式都不好用,还可以在 WordPress 的 wp-config.php 文件最开始的地方添加:

if(strpos($_SERVER['REQUEST_URI'], 'xmlrpc.php') !== false){
    $protocol   = $_SERVER['SERVER_PROTOCOL'] ?? '';

    if(!in_array($protocol, ['HTTP/1.1', 'HTTP/2', 'HTTP/2.0', 'HTTP/3'], true)){
        $protocol   = 'HTTP/1.0';
    }

    header("$protocol 403 Forbidden", true, 403);
    die;
}

本文摘自网络,不代表短经典网立场 https://www.duanjingdian.com/338.html

上一篇 2024 年 4 月 28 日 下午11:30
下一篇 2024 年 5 月 4 日 下午4:16

相关推荐

  • WordPress搜索框调用代码

    <?php get_search_form(); ?> 自定义搜索框样式 如果你想要自定义搜索框的样式,可以使用CSS来实现,在你的主题文件夹中,找到并打开名为styl…

    WordPress 2024 年 4 月 28 日
    231
  • WordPress添加PHP代码的简单方法

    1、打开WordPress后台,进入要编辑的文章或页面。 2、在文章或页面编辑器中,找到适当的位置插入PHP代码。 以下是使用小标题和单元表格的详细步骤: 添加PHP代码到文章或页…

    WordPress 2024 年 4 月 27 日
    235
  • WordPress如何实现网站防盗链?

    除了在服务器端实现网站防盗链之外,WordPress如何实现网站防盗链? 1、什么是防盗链? 防盗链是一种防止其他网站直接引用自己网站上的资源的技术手段。 常见的资源包括图片、视频…

    2024 年 4 月 16 日
    297
  • WordPress忘记了管理员密码怎么办?

    忘记WordPress管理员密码的解决方法: 一、密码重置功能 WordPress有一个内置的密码重置功能,可以通过在登录页面点击“忘记密码”链接来访问,按照以下步骤操作: 1、访…

    2024 年 4 月 16 日
    279
  • WordPress,怎样实现用户登录显示不同的菜单?

    下面由WordPress教程栏目给大家介绍登录用户显示不同的WordPress菜单,希望对需要的朋友有所帮助! 如果让登录用户与未登录浏览者,显示不同的菜单,可以通过下面的代码实现…

    WordPress 2024 年 4 月 26 日
    237
  • WordPress升级报错:Briefly unavailable for scheduled maintenance

    WordPress升级报错:Briefly unavailable for scheduled maintenance 在WordPress进行自动更新或手动升级过程中,系统会创建…

    WordPress 2024 年 4 月 17 日
    229
  • WordPress 所有者收购 Beeper

    WordPress 所有者 Automattic 已经收购了 Beeper,它为 Android 提供了 iMessage 解决方法。该公司将把Beeper与其文本团队合并。 Wo…

    2024 年 4 月 11 日
    317
  • WordPress限制标题长度的方法

    在WordPress中,你可以使用多种方法来限制文章标题的长度。这些方法包括使用代码片段或插件: 使用函数限制标题长度:你可以在主题的functions.php文件中添加以下代码来…

    WordPress 2024 年 4 月 22 日
    233
  • WordPress如何获取文章中的图片数量?

    在主题文件functions.php文件中,添加以下函数代码。 //获取文章中的图片个数 if( !function_exists('get_post_images_number'…

    WordPress 2024 年 4 月 21 日
    232
  • 如何禁止WordPress头部加载s.w.org?

    s.w.org 是 WordPress 的一个开源 JavaScript 库,称为 "jQuery Varia",它包含了一些 jQuery 的扩展函数,这个库通常被包含在 Wor…

    WordPress 2024 年 4 月 19 日
    231