Tắt XML-RPC không dùng plugin

Hãy tắt XML-RPC khi không cần sử dụng.

Khi sử dụng WordPress, chắc hẳn nếu ai đã từng mở mã nguồn xem đều thấy tập tin xmlrpc.php nằm ở thư mục gốc mã nguồn. XML-RPC là một script được sử dụng trong WordPress kể từ các phiên bản trước nhưng từ phiên bản 3.5 nó đã được bật lên mặc định.

XML-RPC là một giao thức kết nối với website WordPress từ xa sử dụng XML để trao đổi dữ liệu qua lại. Hiện tại có thể hỗ trợ các API của các CMS như WordPress API, Blogger API, Movable API, Pingback API, MetaWeblog API,…

Thông thường trên WordPress, chúng ta sẽ sử dụng đến XML-RPC khi thiết lập đăng bài tự động lên các trang mạng xã hội (như: Facebook, Twitter, Pinterest, Instagram,…) từ một ứng dụng khác bên ngoài như Windows Live Writer, hoặc các dịch vụ kết nối với website để đăng bài như IFTTT chẳng hạn.

Nhưng từ khi XML-RPC được sử dụng phổ biến trên WordPress, nó lại làm dấy lên về nguy cơ bị tấn công brute force attack để dò mật khẩu hoặc nặng hơn là gửi một lượng lớn request đến máy chủ để làm tê liệt máy chủ, hình thức tấn công này được gọi là HTTP Flood Attack, là một kiểu tấn công DDoS.

Việc tấn công website WordPress dựa vào XML-RPC không phải là mới, nhưng trong 1 tuần trở lại đây mình thấy khá nhiều người bị tấn công theo hình thức này, theo ghi nhận của mình trên các khách hàng mua theme tại WPFast.

Do đó, hiện tại nếu bạn không có nhu cầu kết nối WordPress đến các dịch vụ hoặc ứng dụng bên ngoài thì hãy vô hiệu hóa XML-RPC để tránh được nguy cơ tấn công theo hình thức này.

Cách hạn chế tấn công thông qua XMLRPC

Để hạn chế tấn công theo hình thức này thì có một cách đơn giản nhất là chặn tập tin này không cho thực thi. Lưu ý các bạn không nên xóa đi vì nó là một phần của mã nguồn WordPress, có thể gây lỗi hoặc khi cập nhật phiên bản nó sẽ có lại nên chặn là cách tối ưu nhất.

Chặn xmlrpc.php trên .htaccess

Nếu bạn dùng Shared Hosting hoặc các server cài đặt Apache thì chèn đoạn sau vào tập tin .htaccess ở thư mục gốc của website.

<files xmlrpc.php>
order allow,deny
deny from all
</files>

Chặn xmlrpc.php trên NGINX

Nếu bạn đang sử dụng NGINX làm backend (sử dụng cùng với PHP-FPM) thì bỏ đoạn sau vào tập tin cấu hình domain trên NGINX.

location = /xmlrpc.php {
deny all;
access_log off;
log_not_found off;
}

Sau đó khởi động lại NGINX bằng câu lệnh dưới.

service nginx restart

Chặn xmlrpc.php không dùng plugin sử dụng file functions.php của theme

Bạn chỉ cần chèn đoạn code sau vào trên cùng hoặc dưới cùng của file functions.php của theme hiện tại đang kích hoạt sử dụng ( Admin -> Giao diện -> Sửa giao diện -> functions.php )

add_filter( 'xmlrpc_enabled', '__return_false' );

Lời kết

Mặc dù mã nguồn WordPress là một trong những mã nguồn phổ biến và có độ an toàn tốt nhưng một vài tính năng trong mã nguồn có thể sử dụng sai mục đích nên hãy thường xuyên theo dõi log lỗi (error log) hoặc log truy cập (access log) để sớm phát hiện những hành vi bất thường. Nếu bạn không chắc chắn website mình có an toàn hay không thì mình khuyến cáo sử dụng dịch vụ Sucuri Firewall để bảo mật website tốt hơn.

Từ khóa liên quan: Tắt XML-RPC, Hướng dẫn vô hiệu hóa XML-RPC, Vô hiệu hóa XML-RPC, Hướng dẫn tắt XML-RPC, Hướng dẫn cách tắt XML-RPC, Tắt tính năng XML-RPC, Disable XML-RPC

5/5 - (1 bình chọn)

Trả lời

Email của bạn sẽ không được hiển thị công khai. Các trường bắt buộc được đánh dấu *