XML-RPC Schnittstelle in Wordpress per .htaccess schützen

Eben kam von meinem Provider eine Mail, nach der automatisierte massive Aufrufe der Datei xmlrpc.php in meinem Blog dazu geführt haben, dass der komplette Server an seine Leistungsgrenze gekommen ist. Da das Blog auf einem Shared-Hosting von All-Inkl läuft, war hier natürlich schnelles Handeln gefragt. Die Jungs vom Support haben das Script aus dem Grund erstmal nicht mehr aufrufbar geschaltet, indem sie die Rechte der Datei von 744 auf 300 geändert haben. Damit laufen die Aufrufe von dem Spaßvogel, der sich da reinhacken möchte, erstmal ins Leere.

Mittlerweile habe ich diese Art Attacken auch auf anderen Wordpress Seiten und bei anderen Hostern. Ein Auszug aus den Logdaten zeigt die immer wiederkehrenden Versuche, Wordpress über einen POST Aufruf der xmlrpc.php zu knacken. Das Ganze sieht so aus:

[ 112] ‘0-3    ”-     ”0/0/2867     ”.”171.83”2228  ”121334    ”0.0   ”0.00  ”45.59  ”5.199.XXX.XXX   ”POST ”                www.kindskopp.com”/xmlrpc.php’
[ 461] ‘0-3    ”-     ”0/0/3058     ”.”171.77”2228  ”128420    ”0.0   ”0.00  ”97.27  ”5.199.XXX.XXX   ”POST ”                www.kindskopp.com”/xmlrpc.php’
[ 216] ‘0-3    ”-     ”0/0/2878     ”.”171.40”2228  ”2765      ”0.0   ”0.00  ”43.40  ”5.199.XXX.XXX   ”POST ”                www.kindskopp.com”/xmlrpc.php’
[ 361] ‘0-3    ”-     ”0/0/2844     ”.”171.66”2228  ”23121     ”0.0   ”0.00  ”38.72  ”5.199.XXX.XXX   ”POST ”                www.kindskopp.com”/xmlrpc.php’
[ 508] ‘0-3    ”-     ”0/0/3038     ”.”171.80”2228  ”78254     ”0.0   ”0.00  ”44.41  ”5.199.XXX.XXX   ”POST ”                www.kindskopp.com”/xmlrpc.php’
[  68] ‘0-3    ”-     ”0/0/3018     ”.”171.65”2228  ”118321    ”0.0   ”0.00  ”41.81  ”5.199.XXX.XXX   ”POST ”                www.kindskopp.com”/xmlrpc.php’

Auch bei diesem anderen Hoster wurde mir mitgeteilt, dass diese Attacken den ganzen Server in Bedrängnis bringen können, auch wenn mein Wordpress nur auf einem Shared-Hosting läuft.

Ich habe dann mal geschaut, was man noch machen kann, um diese Datei zu schützen und habe folgende Möglichkeiten gefunden:

1. Komplettes Verbot der Zugriffe auf die XML-RPC Schnittstelle

Dabei wird die xmlrpc.php Datei durch einen Eintrag in die .htaccess-Datei komplett geschützt. Das heißt, keiner kann mehr von aussen auf diese Datei zugreifen. Der Schutz ist 100% und sicher, aber er hat den Nachteil, dass man selbst nicht mehr mit Programmen wie Wordpress for iOS oder dem Windows Live Writer zugreifen kann. Auch Pingbacks oder Trackbacks können so nicht mehr von externen Blogs zum eigenen Blog “durchdringen”. Wer damit kein Problem hat, weil er sowieso immer im Admin von Wordpress arbeitet und auch keine Trackbacks von anderen Blogs wünscht, der ist mit dieser Lösung gut bedient.

Hier der entsprechende Code, den man in die .htaccess Datei im Root-Ordner der Wordpress Installation einrichten muss:

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

Einschub – weitere interessante Beiträge im Blog:

• So löscht man den Google Verlauf
• Apple-ID Passwort vergessen – was tun?
• Samsung Galaxy Ladekabel
• Die LAN Kabel Bestseller
• Die besten Staubsaugroboter nach Stiftung Warentest

2. Zugriffe auf die xmlrpc.php nur teilweise einschränken

Wer mit dem Windows Live Writer, Poster oder auch der iOS App Wordpress for iOS arbeitet, der wird sicher nicht komplett darauf verzichten wollen. Aus dem Grund bietet sich für diese Blogger folgende Variante der oben genannten Zusatzes für die .htaccess Datei an, die für gängige Drittsoftware die XMP-RPC-Schnittstelle frei hält. Weiterhin geblockt werden aber die Trackbacks von anderen Blogs.

So sieht der angepasste Code aus:

<IfModule mod_setenvif.c>
  <Files xmlrpc.php>
    BrowserMatch "Poster" allowed
    BrowserMatch "WordPress" allowed
    BrowserMatch "Windows Live Writer" allowed
    BrowserMatch "wp-iphone" allowed
    BrowserMatch "wp-android" allowed

    Order Deny,Allow
    Deny from All
    Allow from env=allowed
  </Files>
</IfModule>

Die Zeilen mit “BrowserMatch” lassen sich natürlich beliebig anpassen, falls man ein bestimmtes Programm verwendet, das im oben genannten Script nicht bedacht wurde. Wichtig ist, dass man das Apache-Modul “mod_setenvif” installiert haben muss, damit der Schutz funktioniert. Dieses Modul ist aber in vielen Webservern bereits installiert. Ebenfalls wichtig ist es, dass man weiß, dass der User-Agent sehr leicht zu fälschen ist. Es ist also kein wasserdichter Schutz, den man hier vornimmt!

Ich habe mich im aktuellen Fall für die rigorose Variante entschieden und sperre einfach alles aus, was auf die Datei zugreifen will. Ich bekomme kaum Trackbacks und nutze auch keine Drittsoftware sondern nur den Wordpress-Admin, um Blogposts zu verfassen. So sieht nun meine htaccess-Datei von Wordpress aus:

Update: Seit dem Wordpress Update auf Version 3.9.2 ist es nicht mehr möglich DDoS-Attacken auf die xmp-rpc.php zu fahren. Das Wordpress-Team hat reagiert und entsprechend den Code geändert. Damit könnt ihr euch ab dieser Version die Modifikation, wie oben beschrieben, sparen.

Jens Kleinholz( Gründer & Sir Apfelot )

Jens betreibt das Blog seit 2012. Er tritt für seine Leser als Sir Apfelot auf und hilft ihnen bei Problemen technischer Natur. Er fährt in seiner Freizeit elektrische Einräder, fotografiert (natürlich am liebsten mit dem iPhone), klettert in den hessischen Bergen rum oder wandert mit der Familie. Seine Artikel beschäftigen sich mit Apple Produkten, Neuigkeiten aus der Welt der Drohnen oder mit Lösungen für aktuelle Bugs.