安全公司 Sucuri 在3月9日表示，黑客利用了超過 162000 家 WordPress 網(wǎng)站，向目標(biāo)網(wǎng)站進行了 DDoS 攻擊，所有請求都是隨機值（比如?4137049=643182?），因而繞過了緩存，迫使每回頁面重新加載，于是目標(biāo)服務(wù)器很快就掛了，并且宕機了好幾 個小時。

XML-RPC 和其 pingbacks 端口

這次攻擊者是使用的 WordPress 的 XML-RPC 的 pingbacks 端口進行攻擊的，XML-RPC 是 WordPress 用于第三方客戶端（如 WordPress iPhone 和安卓客戶客戶端，Windows Writer 等）的 API 接口，XML-RPC 還可以用于 pingbacks 和 trackbacks 端口，這個都款可以用于站點之間的通訊，但是被誤用，就可能被攻擊者用來進行 DDoS 攻擊。

Sucuri 已經(jīng)開發(fā)了 DDoS 掃描工具讓你檢測是否你的站點也被攻擊者利用了，在輸入框中輸入你的域名，掃描工具會在他們的 log 文件中找是否你的站點是否在這次攻擊的 log 文件中，如果你的域名沒有出現(xiàn)，那么恭喜你，你的站點沒有去攻擊別人。

如何防止被攻擊者利用

目前 WordPress 官方已經(jīng)在想辦法是否可以使用 Akismet 插件解決這個問題，但是我們還是可以使用下面兩個方法解決問題：

直接關(guān)閉 XML-RPC

最簡單的方法是直接關(guān)閉 XML-RPC 接口（WPJAM Basic 插件已經(jīng)提供了選項），但是這樣的話，你就無法使用第三方客戶端發(fā)布文章了，如果你經(jīng)常使用客戶端的話，使用會很不方便。

僅僅關(guān)閉 Pingbacks 端口

下面這段代碼可以讓你僅僅關(guān)閉 XML-RPC 的 pingback 端口：

add_filter( 'xmlrpc_methods', 'remove_xmlrpc_pingback_ping' );

function remove_xmlrpc_pingback_ping( $methods )

{

unset( $methods['pingback.ping'] );

return $methods;}

更多信息請查看IT技術(shù)專欄