禁止访问xmlrpc.php保护wordpress免受攻击

检查WEB服务器的log记录,你会发现如下大量的记录:
"POST /xmlrpc.php HTTP/1.1″ 200 434 "-" "-"

这说明有机器频繁的利用xmlrpc.php文件在尝试攻击你的wordpress
攻击者2~3秒就会发送一个请求,你的系统资源就会慢慢的给消耗掉,最后mysql就会崩溃掉。

xmlrpc是wordpress的API, 给开发者开发手机apps、桌面应用程式或其他服务时, 可以跟wordpress沟通, 从远端能达到很多需要登入wordpress后台才能做的工作。

因为我不需要用到xmlrpc这功能,所以可以直接设置禁止访问xmlrpc.php文件,

Apache服务器只需在.htaccess文件加入如下代码:
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>
然后重启apache服务即可。

Nginx服务器只需在你的配置文件加入如下代码:
location = /xmlrpc.php {
deny all;
access_log off;
log_not_found off;
}

然后重启nginx服务即可。
注,因为禁止访问xmlrpc.php文件后,若直接在浏览器打开此文件会返回nginx的版本号,为了安全,最好把nginx的版本号也隐藏了,只需修改/etc/nginx/nginx.conf文件,将server_tokens off;的注释去掉然后重启nginx服务即可。

上一篇: