ป้องกันเว็บไซต์ Wordpress โดนโจมตีจาก XML-RPC

บอกก่อนว่าวิธีปิดการใช้งาน XMLRPC ใน Wordpress นั้นไม่ได้ยากเย็นอะไร แต่ก่อนจะทำการปิด เรามาดูก่อนครับว่ามันคืออะไร มีไว้ทำอะไร

XML - Extensible Markup Language
XML เป็นภาษาที่ใช้ทำการแลกเปลี่ยนข้อมูลผ่านอินเทอร์เน็ตโดยจะมีรูปแบบเป็นมาตรฐาน สามารถรองรับการเเลกเปลี่ยนได้หลายภาษา ยกตัวอย่างเช่น ใช้เว็บ PHP ส่งข้อมูลด้วย XML ไปให้เว็บ Python ทั้งสองเว็บสามารถสื่อสารกันได้รู้เรื่องด้วย XML

RPC - Remote Procedure Calls
RPC เป็นโปรโตคอลตัวหนึ่งมีหน้าที่เรียกขอใช้บริการและตอบรับคำขอใช้บริการ procedure หรือโปรแกรมที่อยู่บนเครื่องอื่นในเครือข่ายเดียวกันและยังเป็นโปรโตคอลหลักในโครงสร้างแบบ ลูกข่าย/แม่ข่าย (client/server) ด้วย

สรุปได้ว่า XML-RPC ก็เป็นโปรโตคอล RPC ที่ใช้ XML เข้ารหัสการเรียกใช้และส่งข้อมูลด้วย HTTP (HyperText Transfer Protocol) ด้วย การมีข้อดีของ XML และมีการทำงานเป็น RPC ทำให้ XML-RPC สามารถเชื่อมการติดต่อระหว่างเครื่องคอมพิวเตอร์ที่มีระบบปฏิบัติการต่างกัน และช่วยให้โปรแกรมที่เขียนขึ้นด้วยคนละภาษาสามารถทำงานร่วมกันได้ เช่น PHP ทำงานร่วมกับ Python , Perl ติดต่อกับ Java

ข้อมูลเรื่องนี้จาก ที่นี่

จากข้อมูลข้างต้น จะเห็นว่า xmlrpc มีประโยชน์มากๆ หากใช้ให้เกิดประโยชน์ ในขณะเดียวกันก็เป็นช่องทางให้ผู้ไม่หวังดีโจมตีเราได้เช่นเดียวกัน

มาถึงวิธีการปิดใช้งาน xmlrpc ใน wordpress 

ให้เราเข้าไปแก้ไขไฟล์ .htaccess โดยการเพิ่มโค้ดดังนี้

<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

แค่นี้ก็เรียบร้อยครับ หรือใครที่มีใช้งานปลั๊กอินเกี่ยวกับความปลอดภัยอยู่ ลองเข้าไปดูว่าปลั๊กอินเราสามารถปิดการใช้งาน xmlrpc ได้หรือไม่ครับ

สุดท้ายข้อควรระวัง การปิด xmlrpc จะทำให้เราไม่สามารถเข้าใช้งาน website wordpress ของเราได้จาก application wordpress ได้ครับ รวมถึงแอพฯอื่นๆ ด้วยที่ติดต่อสื่อสารกับ wordpress ผ่าน xmlrpc ครับ

ขอบคุณครับ

แหล่งที่มาของข้อมูล ที่นี่