压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

　　近幾天wordpress社區(qū)的小伙伴們反映遭到了利用xmlrpc.php進行暴力破解的攻擊。利用xmlrpc.php提供的接口嘗試猜解用戶的密碼，可以繞過wordpress對暴力破解的限制。已經(jīng)發(fā)現(xiàn)了大規(guī)模的利用，啟用了xmlrpc的同學(xué)需要盡快修復(fù)。安裝或者升級Login Security Solutin插件

　　通常wordpress登錄接口都是做了防暴力破解防護的，比如freebuf的登錄只能有嘗試5次。

　　這種利用xmlrpc.php的攻擊可以繞過這些限制。攻擊的方式直接POST以下數(shù)據(jù)到xmlrpc.php.

　　<？xml version="1.0" encoding="iso-8859-1"？>

　　wp.getUsersBlogs

　　其中username字段是預(yù)先收集的用戶名。password是嘗試的密碼。關(guān)于getUsersBlogs接口的更多信息可以參考官方的指南。如果密碼正確，返回為：

　　密碼錯誤返回為403：

　　使用intruder進行測試，發(fā)現(xiàn)服務(wù)端沒有進行限制。