تحقق مما إذا كان xmlrpc.php مفتوحًا وما إذا كانت أسماء المستخدمين الخاصة بك تتسرب.
أداة تجريبية – النتائج بيانات نموذجية وليست استعلامًا مباشرًا.
اثنين من الأسطح هجوم وورد الكلاسيكية هي xmlrpc.php وتعداد المستخدم. يمكن إساءة استخدام xmlrpc.php لتضخيم القوة الغاشمة وهجمات pingback ، في حين أن نقطة نهاية واجهة برمجة تطبيقات REST API /wp-json/wp/v2/users واستعلام المؤلف 1 يمكن أن يسلم المهاجمين قائمة بأسماء المستخدمين الصالحة للاستهداف.
تتحقق هذه الأداة مما إذا كانت نقاط النهاية هذه مكشوفة ، لذلك يمكنك تحديد ما إذا كنت ستعطل XML-RPC وتحجب تعداد المستخدم قبل أن يجدها البوت لك.
إذا لم يكن هناك شيء تستخدمه يعتمد عليه (بعض التطبيقات القديمة وميزات Jetpack تفعل) ، فإن تعطيله يزيل فئة كاملة من الهجمات. خلاف ذلك ، حد معدل والتحدي بدلا من ذلك.
معرفة اسم مستخدم صالح هو نصف محاولة القوة الغاشمة. إخفاء أسماء المستخدمين يجبر المهاجمين على تخمين كلا الحقلين.
يمكن لمكون أمان إضافي أو جدار حماية (أو قواعد CDN) تعطيل xmlrpc.php وحظر scansauthor scans عمليات المسح وتتطلب المصادقة على نقطة نهاية مستخدمي REST.
الأداء والأمان وأدوات ووردبريس التي تحتاجها بإدارة كاملة، لتظل نتائج هذه الفحوص سليمة.