我们都知道xmlrpc.php文件位于网站根目录下，其实我对这个文件一直没有放在心上，认为我的网站放在了腾讯云，又加了服务器安全防护，况且WordPress团队早就解决了漏洞，不过确实存在一种另类的WordPress暴力特别攻击，估计利用xmlrpc.php文件来绕过WordPress后台的登录错误限制进行爆破。
那么我们应该如何关闭这个功能或解决被他人利用xmlrpc.php文件攻击呢？根据网上搜索的结果，大致有六种办法来解决：
方法一
屏蔽XML-RPC(pingback)的功能，在functions.php文件中添加：
- add_filter('xmlrpc_enabled', '__return_false');
方法二
通过网站根目录下的.htaccess文件来屏蔽xmlrpc.php文件的访问。
- # protect xmlrpc
- Order Deny,Allow
- Deny from all
方法三
同样的是修改.htaccess文件加跳转，如果有用户访问xmlrpc.php文件，然后让其跳转到其他不存在或者存在的其他页面，降低自身网站的负担。
- # protect xmlrpc
- Redirect 301 /xmlrpc.php http://example.com/custom-page.php
方法四
阻止pingback端口，在functions.php文件中添加：
- add_filter( 'xmlrpc_methods', 'remove_xmlrpc_pingback_ping' );
- function remove_xmlrpc_pingback_ping( $methods ) {
- unset( $methods['pingback.ping'] );
- return $methods;
- }
方法五
Nginx服务器配置：
- location ~* /xmlrpc.php {
- deny all;
- }
方法六
安装Login Security Solution插件，这个插件博主还没有在自己网站上测试过，大家感兴趣的话可以试试。
总结
1、不要直接删除xmlrpc.php文件，否则它会让你的WordPress网站发生莫名的错误；
2、我的建议是采用方法二；
3、其实扫描也罢，http的DDOS攻击也罢，CC攻击也罢，总之大量消耗服务器资源我们的服务器是累死的；
5、如果你正在使用如JetPack之类的插件，删除掉这个文件可能会让你的网站功能异常；
6、建议把WordPress升级到最新版本，相信新版本漏洞会少一点吧；
7、一般这个功能是用不到的，我们直接屏蔽掉，默认当前的WordPress版本是开启的。这样，我们就可以解决WordPress被利用xmlrpc.php暴力破解攻击问题。有些时候并不是针对我们的网站攻击，而是对方利用某个关键字扫到我们的网站造成的。
- 我的微信
- 微信扫一扫
-
- 我的微博
- 微博扫一扫
-
评论