谷子猫博客

在某次检查站点访问的过程中，好家伙，一个几十IP访问的站点显示遭遇了数千次攻击，基本是扫描xmlrpc.php文件，真的是无语了。

WordPress 中的 XML-RPC 功能默认启用，允许多种功能，例如发布帖子、管理评论和远程更新类别。
然而，这个文件解决方案成为了一个漏洞，而不是一个完美的解决方案。一些 WordPress 用户选择完全禁用 XML-RPC 协议。

什么是 Xmlrpc.php？
XML-RPC 是一种允许软件应用程序通过互联网相互通信的协议。
在 WordPress 中，XML-RPC 功能是通过名为 xmlrpc.php 的文件实现的。该文件是一个端点，允许外部应用程序与 WordPress 交互并执行各种任务，例如创建和编辑帖子。XML-RPC 是一项强大的功能，使开发人员能够构建与 WordPress 交互的外部应用程序。
例如，移动应用程序可以使用 XML-RPC 与 WordPress 网站进行通信，从而允许用户通过手机管理其内容。

为什么需要禁用 Xmlrpc.php？
由于 XML-RPC 是一种远程访问协议，因此它也可能存在安全风险。恶意用户可以使用它来执行暴力攻击、利用漏洞以及未经授权访问 WordPress 网站。这就是为什么一些 WordPress 用户更喜欢禁用 XML-RPC 或限制对特定 IP 地址的访问。
在 WordPress 网站上禁用 XML-RPC 文件的主要原因是该文件引入了不同的漏洞攻击。现在，您可以使用强密码和不同的安全插件来保护您的 WordPress 网站。但最好的网站保护模式就是在您的 WordPress 网站上禁用此功能。

黑客会通过Xmlrpc.php来暴力破解网站后台和数据库，也可以利用xmlrpc来实施攻击。这个功能其实用的不多，建议直接关闭。

1：使用 WordPress 插件禁用 xmlrpc.php
WordPress 插件是禁用 WordPress 网站中的 xmlrcp.php 的最简单方法之一。
如：WPJAM插件，勾选禁用XMLRPC功能；

2：从主题中禁用 xmlrcp.php

请在主题的functions.php 文件中使用此过滤器。
注意：建议使用子主题而不是父主题来编辑functions.php文件。当您更新主题时，有可能会丢失修改后的代码。它可能会对您的网站造成一些不利影响。

向下滚动到functions.php 文件的底部并添加过滤器。
这是过滤器：

add_filter('xmlrpc_enabled','__return_false');

3:宝塔防火墙或者CDN，将文件名添加到黑名单。
将/xmlrpc.php加入URL黑名单拒绝访问。PS:还有/wp-json也可以加进去。