是不是被发现网站是 Wordpress 就会被无脑 POST /xmlrpc.php？

[Kaiyuan]

尽管我在 Nginx 设置了依然被无脑尝试暴力破解。

location =/xmlrpc.php{
    deny all;
}

同时还禁止了通过 IP 访问并且拒绝所有 POST 请求，限制了请求频率。

limit_req_zone $binary_remote_addr zone=allips:10m rate=20r/s;

limit_req zone=allips burst=5 nodelay;

if ($request_method = POST ) {
	deny all;
}

依然不断被尝试暴力破解。现在是发现一个 IP 直接加进 iptables。

顺带通过 IP 查到个欧洲那边价格不错的 VPS 。

有的还伪装成 Google 爬虫。

[a570295535]

不管你用啥程序，都有人这样吃饱了没事干。。。

最无聊的是发现你后台，一天一天试密码，我也是服了，

后来试了几天没进去，还联系你告诉你，真是无语了。。。

[designer]

为什么他要破解你的 wordpress ？内嵌他的广告吗？如果非技术人员如何知道自己的 Wordpress 网站是否被破解了

[cevincheung]

表示密码就是 admin 。不用破。有装两步验证插件。 xmlrpc 内容：
<?php
exit('Fuck');

[ZE3kr]

是，很经常的，有时候能到每小时几千次破解，这些都是在安装了 Wordfence 才看出来的，这个插件能错误次数超过 3 自动 Block IP 。 Nginx 上的配置只能防 CC ，防密码破解效果不好。不过这些人才不管你是否屏蔽了他，还是会继续试， LZ 不用去管就好了。（ SSH 也同样成为被破解的重灾区，不过操作系统已经会自动通过 iptables 屏蔽，让我很省心）

不过 XMLRPC 关了后很多客户端就用不了了

不过我最烦的还是去 Spam 评论内容的。不过也能通过 Akismet 解决

@designer 破解之后能上传插件（除非你特殊配置），然后能干各种事，包括让你成为 DDOS 肉鸡。

[xenme]

@ZE3kr spam 加个正则去掉全英文以及把 post 地址改成非标准，目前没有一条垃圾评论。

有时候升级的话，手动修改之前几分钟就有垃圾广告

[yytsjq]

用不到的话直接删除 xmlrpc.php 、 wp-trackback.php 之类文件呢？

[lslqtz]

@cevincheung exit 和 die 哪个吼一些

[lslqtz]

我是喜欢直接发个破解成功，让他们的工具判断错误的哈哈哈

[Coxxs]

这个是利用来 DDoS 攻击的，直接 ban 掉 ip 比较好。