韦云箫这个网站是我昨晚新搭建的网站，是用于替代重蔚自留地。今后会常更新这个网站。
可是就在昨晚更从0开始搭建，今晚早起来的时候看了下服务器日志，发现xmlrpc.php被大量的扫描。整的我有点蒙圈了。因为这个域名是新注册的。我还没有对外公开。为了网站的安全，所以只能彻底屏蔽xml-rpc了。
XML-RPC 安全隐患
XML-RPC 那么好用，也造成了一定的安全隐患，主要是给攻击者提供了便利，所以攻击者的一项工作就是扫描 xmlrpc.php 文件，以便可以实现：
1. XML-RPC pingbacks 攻击，攻击者可以利用 XML-RPC 的 pingbacks 方法对 WordPress 实行 DDoS （分布式拒绝服务）攻击，如果你使用了 CDN 服务商的 DNS 保护服务，攻击者还可以使用 pingbacks 方法获取站点的真实 IP，剩下不用我说了吧。
2. 即使 WordPress 设置了登录次数限制，但是使用 XML-RPC 暴力破解 WordPress 的账号密码却逃过了限制，并且 XML-RPC 一次请求就可以执行上百次密码的暴力破解。
彻底屏蔽 XML-RPC
既然存在这些问题，那么最好关闭 WordPress 的 XML-RPC 服务，群里面有些小伙伴建议直接删除 xmlrpc.php 文件就好了，但是删除了，下次 WordPress 升级之后又会出现，不太建议这么做。
最快的方法，只需在当前主题的 functions.php 文件添加下面这行代码就能关闭它：
add_filter('xmlrpc_enabled', '__return_false');
WPJAM Basic 插件的「优化设置」也有该选项（下图最后一个），直接勾选即可：
先通过以上的步骤，看看是否能解决这些问题。
原创文章，作者：韦 云潇，如若转载，请注明出处：https://www.weiyunxiao.com/25.html
