Menjalankan aplikasi PHP yang menggunakan XML-RPC? Pelajari cara menghentikan serangan XML-RPC &meningkatkan respons situs web Anda, kinerja/penggunaan sumber daya.
Jika Anda menjalankan aplikasi PHP yang menggunakan XML-RPC, pertimbangkan untuk memblokir permintaan ini atau setidaknya membatasi permintaan ke daftar IP yang telah disetujui sebelumnya.
Ini tidak hanya memperkuat keamanan situs web Anda, tetapi juga akan meningkatkan daya tanggap situs web Anda, kinerja/penggunaan sumber daya.
Tapi apa itu XML-RPC dan apa hubungannya dengan situs web atau blog Anda?
Protokol XML-RPC dibuat oleh Dave Winer , Mohsen Agsen, Bob Atkinson, dan Chris Aldrich pada tahun 1998.
Tiga yang pertama bekerja di Microsoft dan Chris Aldrich di UserLand.
XML-RPC memberi sistem eksternal cara untuk berkomunikasi dengan situs dengan HTTP yang bertindak sebagai mekanisme transport dan XML sebagai mekanisme encoding.
Ini menjadi populer karena sangat sederhana, dan lebih awal.
Ada implementasi di setiap bahasa dan lingkungan utama.
Misalnya, itu dibangun ke dalam Python dan Macintosh OS. API blogging utama dilakukan dalam XML-RPC.
Di PHP, XMLRPC adalah ekstensi yang membawa fitur server dan klien XML RPC ke PHP.
Ekstensi tersebut tidak dibundel dalam PHP 8.0 karena perpustakaan dan dependensinya belum diperbarui dalam beberapa tahun.
Banyak sistem manajemen konten menggunakan XML-RPC termasuk WordPress.
Di WordPress, dukungan XML-RPC memungkinkan Anda memposting ke blog WordPress Anda menggunakan banyak klien weblog populer.
Anda dapat melihat URL lengkap dengan mengunjungi https://webcomm.dev/xmlrpc.php (dengan “webcomm.dev” adalah nama domain WordPress Anda).
Ini juga memungkinkan situs web lain untuk berinteraksi dengan situs WordPress Anda.
Namun sering kali, Anda tidak memerlukan ini atau bahkan mungkin tidak menyadari bahwa ini ada sebagai opsi.
Selain fakta bahwa ekstensi telah dihapus mulai dari PHP 8.0, permintaan XML-RPC juga dapat dijadikan senjata untuk menyebabkan situs web Anda merespons dengan lambat atau bahkan menyebabkannya tidak merespons sama sekali.
Hal ini sering dilakukan dengan cara memaksa file untuk menyebabkan situs web melambat saat mencoba merespons semua pingback dan lacak balik.
Salah satu cara mudah untuk mencegah hal ini merugikan Anda adalah dengan memastikan bahwa server web yang menghosting aplikasi menggunakan Mod Security.
ModSecurity adalah firewall aplikasi web (WAF) yang membantu serangan berbasis web umum seperti injeksi SQL, DOS, dan jenis serangan HTTP umum lainnya.
Pelanggan yang menghosting situs web/aplikasi mereka di Web Hosting Magic dapat menggunakan ModSecurity untuk mengurangi serangan tersebut.
Namun saat Anda dilindungi, keamanan selalu menjadi upaya kolektif.
Ini adalah satu-satunya cara untuk bekerja seperti yang dibayangkan.
Cara termudah untuk melindungi situs web/aplikasi Anda dengan lebih baik adalah dengan menonaktifkan permintaan melalui .htaccess Anda.
Anda dapat melakukan ini dengan mengedit file baik melalui File Manager cPanel atau terminal SSH.
- Pertama, login ke akun cPanel Anda.
- Temukan File bagian dan klik Pengelola File .
- Ini akan membawa Anda ke public_html akun Anda (atau root dokumen konten situs web Anda).
- Edit .htaccess atau buat file baru bernama .htaccess dan tempel kode berikut ke dalam file:
# Block xmlrpc.php requests using the files directive <Files xmlrpc.php> Require all denied # Require ip $xxx.xxx.xxx.xxx </Files> ======== OR ======== # Block xmlrpc.php requests using the filesmatch directive (preferred) <FilesMatch "^xmlrpc\.php$"> Require all denied # Require ip $xxx.xxx.xxx.xxx </FilesMatch>
Anda dapat mengunjungi https://cdn.webhostingmagic.com/knowledgebase/disallow_xmlrpc.txt untuk mengunduh ini sebagai teks biasa.
Jika Anda ingin mengizinkan permintaan XML-RPC dari IP tertentu, ganti $xxx.xxx.xxx.xxx dengan alamat IP.
Simpan dan tutup file.
Jika Anda tidak tahu cara mengedit atau membuat file .htaccess, Anda dapat membuka tiket dukungan dengan tim kami untuk membantu Anda menyelesaikannya.
Jika Anda menjalankan WordPress, Anda dapat menggunakan plugin untuk mencapai hasil yang sama.
Namun, kami selalu mendorong pelanggan untuk menggunakan lebih sedikit plugin daripada lebih banyak.
Untuk melakukannya:
- Masuk ke wp-admin Anda
- Kunjungi Plugin>> Tambah Baru bagian.
- Telusuri Nonaktifkan XML-RPC .
- Instal plugin.
Server khusus, mesin virtual pribadi, atau pelanggan VPS kami dapat mengunjungi portal dukungan dan meminta agar 'xmlrpc.php' dinonaktifkan di seluruh server.
Kami berharap tutorial singkat ini akan membantu Anda melindungi situs web Anda dengan lebih baik dari serangan dan eksploitasi XML-RPC.
Untuk informasi lebih lanjut tentang PHP XML-RPC kunjungi http://www.xmlrpc.com/