封鎖常見的WordPress攻擊
WordPress暴力破解通常使用兩種檔案：xmlrpc.php及wp-login.php。本文會詳細說明您如何封鎖這些攻擊。
警告：並非所有IP都是惡意的！封鎖錯誤的IP可能會導致宕機（如封鎖CDN IP）。
我該如何制止xmlrpc攻擊？
- 使用外掛程式停用xmlrpc 。
- 透過停用xmlrpc.php
.htacess檔案。
在您的.htaccess檔案中，新增這段程式碼：
檔案xmlrpc.php >允許訂購，拒絕全部拒絕/ Files >
運作正常了嗎？
如果您適當封鎖了對xmlrpc.php的存取，存取記錄中將會有類似以下項目：
[Tue Aug 02 02：37：11.052622 2022] [authz_core：error] [pid 1449：tid 140380133652224] [client 220.85.221.65:51590] AH01630：客戶端被伺服器設定拒絕：/var/www/vhosts/acoolexample.com/ httpdocs / xmlrpc.php [Tue Aug 02 02：37：11.962665 2022] [authz_core：error] [pid 1449：tid 140380007773952] [client 134.122.112.76:51696] AH01630：客戶端被伺服器設定拒絕：/ var / www / vhosts /acoolexample.com/httpdocs/xmlrpc.php [Tue Aug 02 02：37：14.016124 2022] [authz_core：error] [pid 1329：tid 140380243957504] [client 14.232.245.48:51854] AH01630：客戶端被伺服器設定拒絕：/ var / www / vhosts / acoolexample.com / httpdocs / xmlrpc.php
如何防止wp-login.php（wp-admin）攻擊？
- 使用外掛程式限制登入次數。
- 透過限制IP位址對WordPress登入頁面的存取權
.htacess檔案。
在您的.htaccess檔案中，新增這段程式碼：
wp-login.php >拒絕檔案，允許xx.xxx.xx.xxx檔案全部拒絕/ Files >
注意：每個授權IP（您，您的開發人員等）都需要新增允許規則。
後續步驟
以下是一些您可以用來封鎖惡意流量的建議：- 封鎖伺服器防火牆內的IP
- 將預設使用者從「admin」變更為其他名稱
- 在Apache設定中封鎖對xmlrpc.php及/或wp-login.php的存取
