WordPress โดนยิง xmlrpc.php พร้อมวิธีป้องกัน

คำตอบสั้น ๆ: เนื่องจากการใช้งาน xmlrpc.php ของระบบ WordPress เป็นอีกช่องโหว่ที่ Hacker ชอบใช้เป็น DDoS Zombie หรือเรียกว่าเครื่องเหยื่อ โดยหลักการ DDoS Attack XMLRPC ผู้ที่ทำการ Attack จะทำการส่ง Req ไปหาเว็บไซต์ที่เปิดใช้งาน XMLRPC

คู่มือนี้อธิบาย WordPress ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

เนื่องจากการใช้งาน xmlrpc.php ของระบบ WordPress เป็นอีกช่องโหว่ที่ Hacker ชอบใช้เป็น DDoS Zombie หรือเรียกว่าเครื่องเหยื่อ โดยหลักการ DDoS Attack XMLRPC ผู้ที่ทำการ Attack จะทำการส่ง Req ไปหาเว็บไซต์ที่เปิดใช้งาน XMLRPC และสามารถที่จะส่ง Return ไปยังเว็บเป้าหมายได้

นอกจากนี้ XMLRPC ยังเป็นส่วนหนึ่งของการ Brute Force Attack (Brute Force Amplification) เพื่อสุ่มรหัสผ่านเข้าสู่ระบบของ WordPress ด้วย เหมือนระบบนี้จะไม่มีประโยชน์อะไรเลย แต่จริงๆแล้ว XMLRPC มันมีประโยชน์ สำหรับคนที่จะใช้งานทำ API ต่างๆ แต่กับผู้ที่ใช้งานเว็บไซต์ WordPress ทั่วไป ไม่มีความจำเป็นที่จะต้องไปใช้งานระบบนี้ ดังนั้นจึงแนะนำให้ปิดการใช้งานไว้จะดีกว่าค่ะ

วิธีการปิด XMLRPC สามารถทำได้ง่ายๆ 2 วิธีดังนี้

วิธีที่ 1) ใช้ .htaccess ป้องกันการเข้าถึงไฟล์ xmlrpc.php โดยโค๊ดดังนี

<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

วิธีที่ 2) ใช้งาน Plugin “All In One WP Security & Firewall” และเปิดใช้งาน “Enable Pingback Protection” หลังจากเปิดใช้แล้ว ปลั๊กอินก็จะไปสร้างโค๊ดใน .htaccess ให้อัตโนมัติโดยไม่ต้องเข้าไปแก้ไขโค๊ดเองค่ะ

ทำความเข้าใจ WordPress ก่อนเริ่ม

ไฟล์ xmlrpc.php เป็นช่องทางเก่าที่ WordPress เปิดให้โปรแกรมภายนอกสั่งงานเว็บไซต์ได้ ปัจจุบันงานเหล่านั้นถูกแทนที่ด้วย REST API เกือบทั้งหมด แต่ไฟล์เดิมยังเปิดอยู่โดยปริยาย จึงกลายเป็นเป้าสองแบบ แบบแรกคือการเดารหัสผ่านจำนวนมากในคำขอเดียว ทำให้ลองรหัสผ่านได้เร็วกว่าการเดาผ่านหน้าล็อกอินมาก แบบที่สองคือการใช้เว็บไซต์ของคุณเป็นตัวกลางยิงเว็บอื่น ซึ่งทำให้เซิร์ฟเวอร์ทำงานหนักจนเว็บของคุณเองช้าไปด้วย

สิ่งที่ต้องเตรียมก่อนใช้งาน WordPress

สิทธิ์เข้าถึงไฟล์ของเว็บไซต์ผ่าน FTP หรือตัวจัดการไฟล์ หรือสิทธิ์ติดตั้งปลั๊กอิน
สำเนาสำรองของไฟล์ที่จะแก้ไข โดยเฉพาะไฟล์ .htaccess
รายการแอปหรือบริการภายนอกที่เชื่อมกับเว็บไซต์อยู่ เพื่อตรวจว่ามีตัวใดยังต้องใช้ช่องทางนี้

ตรวจสอบว่า WordPress ทำงานถูกต้องแล้ว

เปิดที่อยู่เว็บไซต์ตามด้วย /xmlrpc.php แล้วถูกปฏิเสธการเข้าถึง
เว็บไซต์และหน้าผู้ดูแลยังทำงานปกติ
ตรวจบันทึกการเข้าถึงว่าคำขอไปยังไฟล์นี้ลดลงหรือถูกปฏิเสธทั้งหมด

ข้อควรรู้และข้อจำกัดของ WordPress

ถ้ายังต้องใช้แอปมือถือรุ่นเก่าที่พึ่งช่องทางนี้ ให้จำกัดการเข้าถึงเฉพาะไอพีที่จำเป็นแทนการปิดทั้งหมด
การปิดช่องทางนี้ไม่ทดแทนการตั้งรหัสผ่านที่แข็งแรงและการจำกัดจำนวนครั้งที่ล็อกอินผิด
ตรวจสอบหลังปิดว่าปลั๊กอินที่เชื่อมต่อบริการภายนอกยังทำงานได้ เพราะบางตัวยังใช้ช่องทางเดิมอยู่

คำถามที่พบบ่อยเกี่ยวกับ WordPress

ปิดแล้วกระทบการใช้งานปกติไหม

เว็บไซต์ทั่วไปไม่กระทบครับ เพราะงานส่วนใหญ่ย้ายไปใช้ช่องทางใหม่แล้ว แต่ควรตรวจแอปและปลั๊กอินที่เชื่อมต่อจากภายนอกก่อน

รู้ได้อย่างไรว่าเว็บกำลังถูกยิงผ่านช่องทางนี้

ดูจากบันทึกการเข้าถึงว่ามีคำขอแบบ POST ไปยังไฟล์นี้ซ้ำ ๆ จากไอพีเดียวกันจำนวนมาก ซึ่งมักมาพร้อมกับอาการเว็บช้าผิดปกติ

ปิดผ่านปลั๊กอินกับปิดที่ไฟล์ตั้งค่าเว็บเซิร์ฟเวอร์ ต่างกันอย่างไร

การปิดที่ระดับเว็บเซิร์ฟเวอร์ดีกว่า เพราะคำขอถูกปฏิเสธก่อนถึง PHP จึงไม่เปลืองทรัพยากร ส่วนการปิดด้วยปลั๊กอินยังต้องให้ PHP ทำงานก่อนหนึ่งรอบ