安全公司 Sucuri 在3月9日表示,黑客利用了超過 162000 家 WordPress 網(wǎng)站,向目標網(wǎng)站進行了 DDoS 攻擊,所有請求都是隨機值(比如?4137049=643182?),因而繞過了緩存,迫使每回頁面重新加載,于是目標服務(wù)器很快就掛了,并且宕機了好幾 個小時。
XML-RPC 和其 pingbacks 端口
這次攻擊者是使用的 WordPress 的 XML-RPC 的 pingbacks 端口進行攻擊的,XML-RPC 是 WordPress 用于第三方客戶端(如 WordPress iPhone 和安卓客戶客戶端,Windows Writer 等)的 API 接口,XML-RPC 還可以用于 pingbacks 和 trackbacks 端口,這個都款可以用于站點之間的通訊,但是被誤用,就可能被攻擊者用來進行 DDoS 攻擊。
Sucuri 已經(jīng)開發(fā)了 DDoS 掃描工具讓你檢測是否你的站點也被攻擊者利用了,在輸入框中輸入你的域名,掃描工具會在他們的 log 文件中找是否你的站點是否在這次攻擊的 log 文件中,如果你的域名沒有出現(xiàn),那么恭喜你,你的站點沒有去攻擊別人。
如何防止被攻擊者利用
目前 WordPress 官方已經(jīng)在想辦法是否可以使用 Akismet 插件解決這個問題,但是我們還是可以使用下面兩個方法解決問題:
直接關(guān)閉 XML-RPC
最簡單的方法是直接關(guān)閉 XML-RPC 接口(WPJAM Basic 插件已經(jīng)提供了選項),但是這樣的話,你就無法使用第三方客戶端發(fā)布文章了,如果你經(jīng)常使用客戶端的話,使用會很不方便。
僅僅關(guān)閉 Pingbacks 端口
下面這段代碼可以讓你僅僅關(guān)閉 XML-RPC 的 pingback 端口:
add_filter( 'xmlrpc_methods', 'remove_xmlrpc_pingback_ping' );
function remove_xmlrpc_pingback_ping( $methods )
{
unset( $methods['pingback.ping'] );
return $methods;}
更多信息請查看IT技術(shù)專欄