WordPress XML-RPC BruteForce

WordPress XML-RPC BruteForce [2015]

INFO ATTACK:
https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html

+ WordPress User Enumeration





https://mega.nz/#!PklkVATJ!oMV5zJcgO3eQ7eX8mWOpQMl9X1B3V4DIytLT6fXHN9o

 

Вот почему всегда надо делать это:

ngx:

Code:

location ~ \/(wp-blog-header|wp-activate|wp-config|wp-config-sample|wp-links-opml|wp-load|wp-mail|wp-settings|wp-signup|wp-trackback|xmlrpc)\.php {
deny all;
}

a patchy:

Code:

<Files xmlrpc.php>
deny from all
</Files>

Этот xmlrpc никому с роду не нужен а проблем от него хренова гора.

А ещё можно делать так:

Spoiler: Многа букаф

Code:

location ~ \/(wp-includes|wp-admin|phpinfo\.php) {
location ~\.(css|js|swf|png|gif|jpe?g|svg) {
}
location ~ .* {
auth_basic "Zone 51";
auth_basic_user_file /path/to/htpasswd;
location ~ \.php$ {
...php config...
}
}
}

и тогда твой сайт вообще непохек.

 

....