安全公司 Sucuri 在3月9日表示，黑客利用了超過 162000 家 WordPress 網(wǎng)站，向目標(biāo)網(wǎng)站進(jìn)行了 DDoS 攻擊，所有請(qǐng)求都是隨機(jī)值（比如?4137049=643182?），因而繞過了緩存，迫使每回頁面重新加載，于是目標(biāo)服務(wù)器很快就掛了，并且宕機(jī)了好幾 個(gè)小時(shí)。

XML-RPC 和其 pingbacks 端口

這次攻擊者是使用的 WordPress 的 XML-RPC 的 pingbacks 端口進(jìn)行攻擊的，XML-RPC 是 WordPress 用于第三方客戶端（如 WordPress iPhone 和安卓客戶客戶端，Windows Writer 等）的 API 接口，XML-RPC 還可以用于 pingbacks 和 trackbacks 端口，這個(gè)都款可以用于站點(diǎn)之間的通訊，但是被誤用，就可能被攻擊者用來進(jìn)行 DDoS 攻擊。

Sucuri 已經(jīng)開發(fā)了 DDoS 掃描工具讓你檢測(cè)是否你的站點(diǎn)也被攻擊者利用了，在輸入框中輸入你的域名，掃描工具會(huì)在他們的 log 文件中找是否你的站點(diǎn)是否在這次攻擊的 log 文件中，如果你的域名沒有出現(xiàn)，那么恭喜你，你的站點(diǎn)沒有去攻擊別人。

如何防止被攻擊者利用

目前 WordPress 官方已經(jīng)在想辦法是否可以使用 Akismet 插件解決這個(gè)問題，但是我們還是可以使用下面兩個(gè)方法解決問題：

直接關(guān)閉 XML-RPC

最簡(jiǎn)單的方法是直接關(guān)閉 XML-RPC 接口（WPJAM Basic 插件已經(jīng)提供了選項(xiàng)），但是這樣的話，你就無法使用第三方客戶端發(fā)布文章了，如果你經(jīng)常使用客戶端的話，使用會(huì)很不方便。

僅僅關(guān)閉 Pingbacks 端口

下面這段代碼可以讓你僅僅關(guān)閉 XML-RPC 的 pingback 端口：

add_filter( 'xmlrpc_methods', 'remove_xmlrpc_pingback_ping' );

function remove_xmlrpc_pingback_ping( $methods )

{

unset( $methods['pingback.ping'] );

return $methods;}

更多信息請(qǐng)查看IT技術(shù)專欄