WordPress网站被利用xmlrpc.php文件攻击怎么办? – WordPress教程

王小优
王小优
王小优
231
文章
0
评论
2015年9月20日
评论
5,819 1207字阅读4分1秒

我们都知道xmlrpc.php文件位于网站根目录下,其实我对这个文件一直没有放在心上,认为我的网站放在了腾讯云,又加了服务器安全防护,况且WordPress团队早就解决了漏洞,不过确实存在一种另类的WordPress暴力特别攻击,估计利用xmlrpc.php文件来绕过WordPress后台的登录错误限制进行爆破。

WordPress网站被利用xmlrpc.php文件攻击怎么办? – WordPress教程

那么我们应该如何关闭这个功能或解决被他人利用xmlrpc.php文件攻击呢?根据网上搜索的结果,大致有六种办法来解决:

方法一

屏蔽XML-RPC(pingback)的功能,在functions.php文件中添加:

  1. add_filter('xmlrpc_enabled', '__return_false');  

方法二

通过网站根目录下的.htaccess文件来屏蔽xmlrpc.php文件的访问。

  1. # protect xmlrpc  
  2.   
  3. Order Deny,Allow  
  4. Deny from all  

方法三

同样的是修改.htaccess文件加跳转,如果有用户访问xmlrpc.php文件,然后让其跳转到其他不存在或者存在的其他页面,降低自身网站的负担。

  1. # protect xmlrpc  
  2.   
  3. Redirect 301 /xmlrpc.php http://example.com/custom-page.php  

方法四

阻止pingback端口,在functions.php文件中添加:

  1. add_filter( 'xmlrpc_methods', 'remove_xmlrpc_pingback_ping' );  
  2. function remove_xmlrpc_pingback_ping( $methods ) {  
  3. unset( $methods['pingback.ping'] );  
  4. return $methods;  
  5. }  

方法五

Nginx服务器配置:

  1. location ~* /xmlrpc.php {  
  2.     deny all;  
  3. }  

方法六

安装Login Security Solution插件,这个插件博主还没有在自己网站上测试过,大家感兴趣的话可以试试。

总结

1、不要直接删除xmlrpc.php文件,否则它会让你的WordPress网站发生莫名的错误;

2、我的建议是采用方法二;

3、其实扫描也罢,http的DDOS攻击也罢,CC攻击也罢,总之大量消耗服务器资源我们的服务器是累死的;

5、如果你正在使用如JetPack之类的插件,删除掉这个文件可能会让你的网站功能异常;

6、建议把WordPress升级到最新版本,相信新版本漏洞会少一点吧;

7、一般这个功能是用不到的,我们直接屏蔽掉,默认当前的WordPress版本是开启的。这样,我们就可以解决WordPress被利用xmlrpc.php暴力破解攻击问题。有些时候并不是针对我们的网站攻击,而是对方利用某个关键字扫到我们的网站造成的。

若文章图片、下载链接等信息出错,请在评论区留言反馈,博主将第一时间更新!如果喜欢,请打赏支持本站,谢谢大家!
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微博
  • 微博扫一扫
  • weinxin
王小优
匿名

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: