最近遇到了大规模的针对wordpress后台暴力破解，验证码好像也没有什么用。经过了解发现是WordPress的XMLRPC的接口问题。
XML-RPC 是 WordPress 用于第三方客户端（如 WordPress iPhone 和安卓客户端，Windows Live Writer 等）的 API 接口，还可以用于 pingbacks 和 trackbacks 端口，作为站点之间的通讯桥梁。
攻击方式
这种利用xmlrpc.php的攻击可以绕过限制。攻击的方式直接POST以下数据到xmlrpc.php
<?xml version="1.0" encoding="iso-8859-1"?>
<methodCall>
<methodName>wp.getUsersBlogs</methodName>...
5年前 (2019-08-31) 1646℃ 0评论
5喜欢