全球主机交流论坛

标题: 利用xmlrpc.php 绕过wordpress 暴力破解限制漏洞 [打印本页]

作者: chingwp 时间: 2014-8-8 22:25
标题: 利用xmlrpc.php 绕过wordpress 暴力破解限制漏洞
本帖最后由 chingwp 于 2014-8-8 22:29 编辑

近几天wordpress社区的小伙伴们反映遭到了利用xmlrpc.php进行暴力破解的攻击。利用xmlrpc.php提供的接口尝试猜解用户的密码，可以绕过wordpress对暴力破解的限制。已经发现了大规模的利用，启用了xmlrpc的同学需要尽快修复。安装或者升级Login Security Solutin插件

通常wordpress登录接口都是做了防暴力破解防护的，比如freebuf的登录只能有尝试5次。

这种利用xmlrpc.php的攻击可以绕过这些限制。攻击的方式直接POST以下数据到xmlrpc.php.

<?xml version="1.0" encoding="iso-8859-1"?>
<methodCall>
  <methodName>wp.getUsersBlogs</methodName>
  <params>
<param><value>username</value></param>
<param><value>password</value></param>
  </params>
</methodCall>

http://www.freebuf.com/articles/web/38861.html
http://blog.tigertech.net/posts/blocking-wordpress-xmlrpc-password-attempts/

作者: 晓白 时间: 2014-8-8 22:29
提示: 作者被禁止或删除内容自动屏蔽

作者: chingwp 时间: 2014-8-8 22:32

晓白发表于 2014-8-8 22:29
楼主你干爹喊你回家吃饭了

老干妈来一发？

作者: 可爱的怪兽 时间: 2014-8-8 22:39
这个持续半年了

作者: 贱人就是矫情 时间: 2014-8-8 22:40
我靠，那这个洞岂不是存在很久了~？！

作者: 这位太太 时间: 2014-8-8 23:06
看上去是通过xmlrpc暴力破解？
密码复杂的话，问题不大。

作者: mulao 时间: 2014-8-9 00:01
xmlrpc不用的话，就删掉
如果要用的话，在nginx里面设置只有自己可以用就行了

作者: yrdesign 时间: 2014-8-9 00:02
提示: 作者被禁止或删除内容自动屏蔽

作者: kougui 时间: 2014-8-9 08:22
表示已经禁用~

作者: winig72 时间: 2014-8-9 09:33

我靠，

作者: 32MB.CN 时间: 2014-8-9 09:45
不想用插件但是要用xmlrpc，怎么办

作者: googlebot2 时间: 2014-8-9 09:50
谢谢

欢迎光临全球主机交流论坛 (https://52.ht/)