316 6406473

¿Por qué bloquear las peticiones XML-RPC en mi hosting?

En WordPress XML-RPC permite que 2 sistemas puedan establecer comunicación mediante HTTP como medio de transporte.

Es de suma importancia que evalúe el bloquear o no esto en su hosting, ya que pueden existir plugins o servicios que requieran el funcionamiento de este protocolo.

¿Por qué es una vulnerabilidad?

Un atacante puede utilizar el archivo “xmlrpc.php” de su hosting como backdoor para ejecutar scripts y generar ataques de fuerza bruta que consisten en testear gran cantidad de usuarios y contraseñas (credenciales) hasta obtener el acceso.


En algunos casos tendemos a dejar el usuario del administrador de wordpress como “Admin”, “Administrador” y “Administrator”, esto es considerado una mala práctica de seguridad que le permite al atacante tener parte de los datos de acceso y facilita la ejecución de ataques de este tipo.


Otra utilidad maliciosa para XML-RPC en nuestro hosting es que el atacante puede generar ataques de denegación de servicio (DOS) mediante pingback’s aprovechando la disponibilidad de este protocolo en su hosting.


A continuación brindamos 2 alternativas para bloquear o manejar dicho servicio en su hosting:


  • Método 1: En el archivo .htaccess de su hosting, en las últimas líneas ingrese el siguiente código:

<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>


  • Método 2: Con este método no bloqueamos totalmente el XML-RPC del sitio, solo bloquearemos los pingback y los trackback.

Para aplicar dicho bloqueo ingrese las siguientes lineas de código en el archivo functions.php de su hosting:

function disable_xmlrpc_danger_methods($methods) {
unset($methods[
‘system.multicall’,
‘system.listMethods’,
‘system.getCapabilities’,
‘pingback.extensions.getPingbacks’,
‘pingback.ping’,
]);
return $methods;
}
add_filter(‘xmlrpc_methods’, ‘disable_xmlrpc_danger_methods’);

Related Post
Seguridad Informática

«Es muy importante tener hábitos seguros en el manejo de todo tipo de información personal.»   Existen muchos tipos de robo de información y de infección con programas maliciosos así que es necesario estar actualizado. Todos los días aparecen nuevos modos de irrumpir en su sistema.   TIPS   Si ingresa a sitios web y […]

Read more