Proteger la interfaz XML-RPC en WordPress a través de .htaccess

Acabo de recibir un correo electrónico de mi proveedor, según el cual las llamadas automatizadas masivas al archivo xmlrpc.php en mi blog han causado que todo el servidor alcance su límite de rendimiento. Dado que el blog se ejecuta en el alojamiento compartido de All-Inkl, por supuesto, se requería una acción rápida. Los muchachos de soporte hicieron que el script no se pudiera llamar por primera vez al cambiar los derechos del archivo de 744 a 300. Esto significa que las llamadas del bromista que quiere piratearlo no llegan a nada.

Ahora tengo este tipo de ataque en otros sitios de WordPress y otros hosters. Un extracto de los datos de registro muestra los intentos recurrentes de descifrar WordPress a través de una llamada POST a xmlrpc.php. Todo se ve así:

[ 112] '0-3 "-"0/0/2867 "."171.83"2228 "121334 "0.0 "0.00 "45.59 "5.199.XXX.XXX "POST "www.kindskopp.com"/xmlrpc.php'
[ 461] '0-3 "-"0/0/3058 "."171.77"2228 "128420 "0.0 "0.00 "97.27 "5.199.XXX.XXX "POST "www.kindskopp.com"/xmlrpc.php'
[ 216] '0-3 "- "0/0/2878 "."171.40"2228 "2765 "0.0 "0.00 "43.40 "5.199.XXX.XXX "POST "www.kindskopp.com"/xmlrpc.php'
[361] '0-3 "-"0/0/2844 "."171.66"2228 "23121 "0.0 "0.00 "38.72 "5.199.XXX.XXX "POST "www.kindskopp.com"/xmlrpc.php'
[508] '0-3 "-"0/0/3038 "."171.80"2228 "78254 "0.0 "0.00 "44.41 "5.199.XXX.XXX "POST "www.kindskopp.com"/xmlrpc.php'
[ 68] '0-3 "-"0/0/3018 "."171.65"2228 "118321 "0.0 "0.00 "41.81 "5.199.XXX.XXX "POST "www.kindskopp.com"/xmlrpc.php'

Este otro proveedor de alojamiento también me dijo que estos ataques pueden poner a todo el servidor bajo presión, incluso si mi WordPress solo se ejecuta en uno [alojamiento-compartido->alojamiento-compartido].

Luego miré para ver qué más se podía hacer para proteger este archivo y encontré las siguientes opciones:

1. Prohibición total de acceso a la interfaz XML-RPC

El archivo xmlrpc.php está completamente protegido por una entrada en el archivo .htaccess. Esto significa que nadie puede acceder a este archivo desde el exterior. La protección es 100% segura, pero tiene el inconveniente de que ya no puedes acceder a ella tú mismo con programas como WordPress para iOS o Windows Live Writer. Incluso los pingbacks o trackbacks ya no pueden "irrumpir" desde blogs externos a su propio blog. Si no tienes ningún problema con eso porque siempre trabajas en el administrador de WordPress y no quieres trackbacks de otros blogs, esta solución es una buena opción.

Aquí está el código relevante para poner en el archivo .htaccess en la carpeta raíz de la instalación de WordPress:

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

Insertar: otras publicaciones de blog interesantes:

• Cómo borrar el historial de Google
• Olvidé la contraseña de ID de Apple: ¿qué hacer?
• cable de carga samsung galaxy
• El éxito de ventas del cable LAN
• Los mejores robots aspiradores según Stiftung Warentest

2. Solo restringe parcialmente el acceso a xmlrpc.php

Cualquiera con Windows Live Writer, Poster o incluso iOS App WordPress para iOS funciona, seguramente no querrá prescindir de él por completo. Por esta razón, la siguiente variante de la adición mencionada anteriormente para el archivo .htaccess, que mantiene la interfaz XMP-RPC libre para software común de terceros, es ideal para estos blogueros. Sin embargo, los trackbacks de otros blogs aún están bloqueados.

El código personalizado se ve así:

<IfModule mod_setenvif.c>
  <Files xmlrpc.php>
    BrowserMatch "Poster" allowed
    BrowserMatch "WordPress" allowed
    BrowserMatch "Windows Live Writer" allowed
    BrowserMatch "wp-iphone" allowed
    BrowserMatch "wp-android" allowed

    Order Deny,Allow
    Deny from All
    Allow from env=allowed
  </Files>
</IfModule>

Por supuesto, las líneas con "BrowserMatch" se pueden ajustar como se desee si usa un programa específico que no se consideró en el script mencionado anteriormente. Es importante que el módulo de Apache "mod_setenvif" esté instalado para que la protección funcione. Sin embargo, este módulo ya está instalado en muchos servidores web. También es importante saber que el agente de usuario es muy fácil de falsificar. ¡Así que no es una protección impermeable lo que estás haciendo aquí!

En el caso actual, opté por la variante rigurosa y simplemente bloqueé todo lo que quiera acceder al archivo. Apenas obtengo trackbacks y no uso ningún software de terceros, solo el administrador de WordPress para escribir publicaciones de blog. Así es como se ve mi archivo htaccess de WordPress ahora:

Actualizar: Desde la actualización de WordPress a la versión 3.9.2, ya no es posible ejecutar ataques DDoS en xmp-rpc.php. El equipo de WordPress respondió y cambió el código en consecuencia. Con esto puedes ahorrarte la modificación, como se describe arriba, a partir de esta versión.

Jen Kleinholz( Fundador y Sir Apfelot )

Jens dirige el blog desde 2012. Actúa como Sir Apfelot para sus lectores y los ayuda con problemas de carácter técnico. En su tiempo libre monta monociclos eléctricos, toma fotos (preferiblemente con el iPhone, por supuesto), escala las montañas de Hesse o camina con la familia. Sus artículos tratan sobre productos de Apple, noticias del mundo de los drones o soluciones a bugs actuales.