WordPress’te XMLRPC.php için Komple Rehber (ne anlama geliyor, güvenlik riski, nasıl devre dışı bırakılacağı)
XML-RPC WordPress spesifikasyonları, farklı sistemler arasındaki iletişimi standartlaştırmak için geliştirilmiştir, bu da WordPress dışındaki uygulamaların (diğer bloglama platformları ve masaüstü istemcileri gibi) WordPress ile etkileşime girebileceği anlamına gelir.
Bu spesifikasyonlar en başından beri WordPress’in bir parçası olmuştur ve çok yararlı bir çalışma yaptı. Onsuz, WordPress diğer internetten ayrılmış kendi ipekinde olacak. Ancak, XMLRPC.php’nin zayıflıkları vardır. WordPress sitenize güvenlik açığı getirebilir ve şimdi WordPress’i diğer uygulamalara açmak için çok daha iyi bir iş çıkaran REST API WordPress ile değiştirilmiştir.
Bu yazıda, xmlrpc.php’nin ne olduğunu, neden devre dışı bırakmanız gerektiğini ve WordPress sitenizde çalışıp çalışmadığını belirlemenize yardımcı olacağız. Hazır? Bölünelim!
Xmlrpc.php nedir? XML-RPC, WordPress ve diğer sistemler arasında iletişime izin veren bir özelliktir. Bu, HTTP’yi bir taşıma mekanizması olarak ve XML’yi bir kodlama mekanizması olarak kullanarak standartlaştırarak yapılır. XML-RPC WordPress’ten önce geldi: 2003 yılında WordPress oluşturmak için oluşturulmuş olan Blogging B2 yazılımında. Sistemin arkasındaki kod, kök site dizinindeki xmlrpc.php adlı bir dosyada saklanır. Ve çoğu XML-RPC’nin güncel olmasa da hala var.
WordPress’in ilk sürümünde, XML-RPC varsayılan olarak kapatılır. Ancak 3.5 sürümünden beri varsayılan olarak etkinleştirilmiştir. Bunun ana nedeni, WordPress hücresel uygulamalarının WordPress kurulumunuzla konuşmasına izin vermektir. Sürüm 3.5’ten önce WordPress hücresel uygulamasını kullanıyorsanız, uygulamanın içerik yayınlayabilmesi için sitenizdeki XML-RPC’yi etkinleştirmeyi hatırlayabilirsiniz. Bunun nedeni, uygulamanın WordPress’in kendisini çalıştırmamasıdır; Bunun yerine, xmlrpc.php kullanarak WordPress sitenizle iletişim kuran ayrı bir uygulamadır. Ancak bu sadece XML-RPC için kullanılan hücresel uygulamalar değildir: WordPress ve diğer bloglama platformları arasında iletişimi etkinleştirmek için de kullanılır, geri dönüş ve pingback etkinleştirir ve bu, kendi başınıza gönderilen WordPress’i bağlayan jetpack eklentisini destekleyen WordPress.com’a. Geri kalan yangın temel WordPress’e entegre edildiğinden, XMLRPC.php dosyası artık bu iletişim için kullanılmıyor. Tersine, API REST, WordPress hücresel uygulamalarla, masaüstü istemcileri, diğer blog platformlarıyla, WordPress.com (Jetpack eklentileri için) ve diğer sistem ve hizmetlerle iletişim kurmak için kullanılır. RESTAUS ile etkileşime girebilen sistem aralığı, XMLRPC.php tarafından izin verilenlerden çok daha fazladır. Ayrıca, daha fazla esneklik var. API REST XML-RPC’nin yerini aldığından, şimdi sitenizdeki xmlrpc.php’yi devre dışı bırakmanız gerekir. Bakalım neden.
WordPress sitenizdeki xmlrpc.php’yi devre dışı bırakmanızın ana nedeni neden xmlrpc.php’yi devre dışı bırakmanız gerekiyor. Artık XML-RPC’nin WordPress dışında iletişim kurmak için artık gerekli değil, etkinleştirmeye devam etmek için hiçbir neden yok. Bu nedenle sitenizi devre dışı bırakarak daha güvenli hale getirmek akıllıca. XMLRPC.php bir güvenlik yükümlülüğü ise ve artık çalışmıyorsa, neden WordPress’ten kaldırılmıyorsunuz? Bunun nedeni, WordPress’in ana özelliklerinden birinin her zaman önceki sürümle uyumlu olmasıdır. Siteyi iyi yönetirseniz, WordPress’in her zaman yakın zamanda ve herhangi bir eklenti veya temanın çok önemli olduğunu bileceksiniz. Ancak her zaman WordPress sürümlerini istemeyen veya güncelleyemeyen web sitesi sahipleri olacaktır. Yangın dinlenmesinden önce gelen versiyonu çalıştırırlarsa, yine de xmlrpc.php’ye erişmeleri gerekir. Belirli güvenlik açığına daha ayrıntılı olarak bakalım. Bilgi Kinsta Varsayılan olarak XML-RPC’yi Engelleme. SSS’mizde daha fazlasını öğrenebilirsiniz. Uygulama için etkinleştirmek istiyorsanız, lütfen Destek ile iletişime geçin. Pingback XML-RPC aracılığıyla DDOS saldırıları, XMLRPC.php’nin etkinleştirdiği işlevlerden biri pingback ve geri dönüş. Bu, bir blog veya başka bir site içeriğinize bağlandığında sitenizdeki yorumlarda görünen bir bildirimdir.
XML-RPC spesifikasyonları bu iletişime izin veren şeydir, ancak yerini REST yangınları aldı (gördüğümüz gibi). Sitenizde XML-RPC etkinleştirildiyse, bilgisayar korsanları, sitenize kısa sürede çok sayıda pingback göndermek için XMLRPC.php kullanarak sitenize DDOS saldırıları yükleme potansiyeline sahiptir. Bu, sunucunuzu yükleyebilir ve sitenizin çalışmamasını sağlayabilir. XMLRPC.php her talepte bulunduğunda, XML-RPC aracılığıyla kaba kuvvet saldırıları, kimlik doğrulama için kullanıcı adları ve şifreler gönderir. Bu, önemli güvenlik yükümlülükleri sunar ve API REST tarafından yapılmayan bir şeydir. Aslında, API REST, kullanıcı adları veya şifreler için değil, kimlik doğrulama için jeton gönderen OAuth kullanır. XMLRPC.php, her bir istekle kimlik doğrulama bilgilerini gönderdiğinden, bilgisayar korsanları sitenize erişmek için kullanabilir. Bunun gibi kaba kuvvet saldırıları, içerik girmelerine, kodları silmelerine veya veritabanınıza zarar vermelerine izin verir. Saldırgan, her biri farklı bir kullanıcı adı ve şifre çifti olan sitenize oldukça fazla istek gönderirse, nihayet doğru siteye ulaşma ve sitenize erişme olasılığı vardır. Bu nedenle, harici bir sistemle iletişim kurmak için bir yangın dinlenme kullanan WordPress’in en son sürümünü çalıştırırsanız, xmlrpc.php’yi devre dışı bırakmanız gerekir. Gerekli değildir ve sitenizi savunmasız hale getirebilir.
Bilgi OAuth, Kinsta, Enterprise ve yukarıdaki plan tarafından otomatik olarak desteklenmese de bunu uygulamayı isteyebilir. XMLRPC.php WordPress sitenizde çalışıyor mu? Yapmanız gereken ilk şey, xmlrpc.php’nin WordPress sitenizde çalışıp çalışmadığını belirlemektir. Bu, dosyanın orada olup olmadığını kontrol etmek için basit bir durum değildir: Bu, her WordPress kurulumunun bir parçasıdır ve XML-RPC devre dışı bırakılsa bile hala orada olacaktır. Herhangi bir şeyi kaldırmadan önce her zaman sitenizin bir yedeğini yapın. Bu durumda, sadece XMLRPC.php dosyasını silmeyin çünkü sitenize zarar verecektir. XMLRPC.PHP’nin sitenizde etkinleştirilip etkinleştirilmediğini kontrol etmek için XML-RPC WordPress Doğrulama Hizmetini kullanın. Bu, sitenizi kontrol eder ve XMLRPC.php’nin etkinleştirilip etkinleştirilmediğini söyleyecektir.
XML-RPC WordPress doğrulama hizmeti, bu siteyi hizmette kontrol ettiğimde aldığım sonuçtur.
Bu XML-RPC Kinsta sınavı, XMLRPC.php’nin Kinsta.com’da devre dışı bırakıldığını göstermektedir. Bir sınav yürütüyorsanız ve XMLRPC.php’nin hala sitenizde etkinleştirildiğini fark ederseniz, nasıl kapatılır? Xmlrpc.php nasıl devre dışı bırakılır xmlrpc.php devre dışı bırakmanın üç yolu vardır:
Her birine tek tek bakalım.
Bültenlere Kaydolun
Xmlrpc.php ile xmlrpc.php nasıl devre dışı bırakılır xmlrpc.php devre dışı bırakmak için eklentiler yükleme eklentileri bunu yapmanın en kolay yoludur. XML-RPC deaktivasyon eklentisi onu tamamen devre dışı bırakacaktır. Bunu kullanma şekliniz budur. Başlangıç noktam, xmlrpc.php’nin etkinleştirildiği kendi web sitem. Bunu yaptığım kontrolle görebilirsiniz: Rachel McCollin Web Sitesi-Kontrol XML-RPC Kurulumu Eklentisi ekranınızdan WordPress Yöneticisi’nden ve etkinleştirin. Başka bir şey yapmanıza gerek yok: Eklentiyi etkinleştirmek, XML-RPC’yi devre dışı bırakmasına neden olur. Şimdi sitemde bir muayene yaparsam, farklı sonuçlar elde ediyorum:
Rachel McCollin Web Sitesi-İkinci XML-RPC sınavı bu kadar basit! Eklentilerle Pingback XML-RPC’yi devre dışı bırakın, ancak XMLRPC.PHP’nin bazı yönlerini devre dışı bırakmak istiyorsanız? Eklenti, XML-RPC Pingback, pingback işlevselliğini devre dışı bırakmanıza olanak tanır, yani ihtiyacınız varsa diğer XML-RPC özelliklerine hala erişiminiz vardır. Bu eklenti, XML-RPC deaktivasyon eklentisi ile aynı şekilde çalışır: sadece yükleyin, etkinleştirin, işlev görür. XML-RPC’yi yapılandırın ve API REST’nin eklentisinin aktivasyonunu, XMLRPC.php ve API Rest’in sitenizde nasıl yapılandırıldığı konusunda daha pürüzsüz bir kontrol istiyorsanız, XML-RPC veri denetleyicisi dinlenme eklentisini yükleyebilirsiniz. Bu eklentiyi yükledikten ve etkinleştirdikten sonra, ayarları açın> XML-RPC veri denetleyicisini dinleyin ve XML-RPC sekmesini tıklayın.
Bu XML-RPC REST Veri Denetçisi, XMLRPC.PHP’nin hangi yönlerini sitenizde tam olarak yapılandırmanıza olanak tanır.
Çok hızlı, güvenli ve dost canlısı bir geliştirici olan barındırmaya mı ihtiyacınız var? Kinsta, WordPress geliştiricileri dikkate alınarak ve birçok güçlü araç ve gösterge tabloları sağlayarak inşa edildi. Planımızı görün ya da sadece kapatıyorsunuz. Ayrıca yangın dinlenmesini kontrol etmek istiyorsanız, eklenti size başka bir sekme verir. Eklentiler olmadan xmlrpc.php nasıl devre dışı bırakılır Sitenize başka eklentiler yüklememeyi tercih ederseniz, filtreye veya .htaccess dosyanıza bazı kod ekleyerek xmlrpc.php’yi devre dışı bırakabilirsiniz. İki yönteme bakalım. XMLRPC.PHP’yi devre dışı bırakmak için XMLRPC.php’yi devre dışı bırak buradaki Filtre üzerinden XMLRPC_Enabled filtresini kullanıyor. Bu işlevi eklentiye ekleyin ve sitenizde etkinleştirin: add_filter (‘xmlrpc_enabled’, ‘__rereturn_false’); Bunu temanızın dosya işlevine ekleyebilirsiniz, ancak daha iyi bir uygulama eklentiler yazmaktır. Diğer seçenekler, FTP veya CPanel üzerinden Site Sunucunuza bağlanarak Apache kullanan barındırma sağlayıcılarında bulunan .htaccess dosyanızı düzenlemekle ilgilidir. Info Kinsta, Nginx web sunucusunu kullanarak, yani bir .htaccess dosyasına sahip olmayacaktır. Bunun yerine, gösterge tablosunda birçok işlevi çoğaltabilen araçları kullanabilirsiniz. Mykinsta kontrol panelinden daha sezgisel bir şekilde önemli olan htaccess. .Htaccess dosyanızdaki .htacess dosyası aracılığıyla xmlrpc.php devre dışı bırakın şu kodu ekleyin: sipariş ver, tümden inkar reddet >
Sorunlarınız varsa, bunu yapmadan önce eski dosyanın bir kopyasını yaptığınızdan emin olun. Barındırma sağlayıcınızdan XMLRPC.PHP’yi devre dışı bırakmasını isteyin veya bazı barındırma sağlayıcıları, saldırı tespit edilirse XMLRPC.php’yi devre dışı bırakacaktır. Kinsta’da, XML-RPC üzerinden saldırı algılandığında, kod kesimi otomatik olarak nginx.config dosyasına eklenir: konum ~* ^/xmlrpc.php $ {return 403; } Bu, 403 hatasına neden olacak ve yoluna saldırıyı durduracaktır. Kendiniz yaparsanız, yukarıdaki yöntemlerden birini kullanmalısınız. Ancak bunu yapmadan önce, her zaman önce barındırma sağlayıcınıza danışın. Xmlrpc.php’yi ne zaman etkinleştirmeniz gerekiyor? Belki WordPress sitenizde XMLRPC.php’yi etkinleştirmeniz gereken veya tamamen devre dışı bırakmanız gerekmediğinde birkaç fırsat vardır. Bu: bir yangın dinlenme çalıştırmazsınız (önerilmez, ancak bazı durumlarda gereklidir), ancak WordPress siteniz ve diğer sistemler arasında iletişim kurmanız gerekir.
