XML-RPC Wordpress svetainėse - Versijų istorija

IV AgnėŽ 13:42, 14 gegužės 2024

2024-05-14T13:42:01Z

IV AgnėŽ 09:43, 20 lapkričio 2023

2023-11-20T09:43:50Z

IV AgnėŽ 12:40, 10 lapkričio 2023

2023-11-10T12:40:18Z

IV AgnėŽ 10:59, 10 lapkričio 2023

2023-11-10T10:59:42Z

IV AgnėŽ: Naujas puslapis: TOC == Kas yra XML-RPC == "WordPress" '''XML-RPC''' specifikacija buvo sukurta siekiant standartizuoti skirtingų sistemų bendravimą tarpusavyje internetu, t. y. kad su...

2023-11-10T10:48:56Z

Naujas puslapis: __TOC__ == Kas yra XML-RPC == "WordPress" '''XML-RPC''' specifikacija buvo sukurta siekiant standartizuoti skirtingų sistemų bendravimą tarpusavyje internetu, t. y. kad su...

Naujas puslapis

__TOC__

== Kas yra XML-RPC ==

"WordPress" '''XML-RPC''' specifikacija buvo sukurta siekiant standartizuoti skirtingų sistemų bendravimą tarpusavyje internetu, t. y. kad su "WordPress" galėtų sąveikauti ne "WordPress" programos (pvz., kitos tinklaraščių rašymo platformos ir darbalaukio klientai). Turinio valdymo sistemoje “Wordpress” esantis xmlrpc.php failas leidžia išorinėms programoms prisijungti, perkelti ir apdoroti duomenis. Tai atlikta standartizuojant ryšį, naudojant HTTP kaip perdavimo mechanizmą ir XML kaip kodavimo mechanizmą.

'''XML-RPC''' atsirado anksčiau nei “WordPress”: ji buvo naudojama “b2” tinklaraščių kūrimo programoje, iš kurios 2003 m. buvo sukurta “WordPress”. Sistemos kodas saugomas xmlrpc.php faile, esančiame svetainės šakniniame kataloge. Jis ten tebėra, nors '''XML-RPC''' jau gerokai paseno.

Ankstyvosiose "WordPress" versijose '''XML-RPC''' buvo išjungtas pagal numatytuosius nustatymus. Tačiau nuo 3.5 versijos jis kaip tik pagal numatytuosius nustatymus gali būti įjungtas. Pagrindinė to priežastis buvo ta, kad "WordPress" mobilioji programėlė galėtų bendrauti su jūsų "WordPress" svetaine.

Tačiau '''XML-RPC''' buvo naudojamas ne tik mobiliojoje programėlėje: jis taip pat buvo naudojamas ryšiui tarp "WordPress" ir kitų tinklaraščių rašymo platformų palaikyti, juo buvo įjungtos ''"Trackbacks"'' ir ''"Pingbacks"'' grįžtamosios nuorodos, jis taip pat buvo naudojamas ''"Jetpack"'' įskiepiui, kuris susieja savarankiškai talpinamą "WordPress" svetainę su "WordPress.com".

Tačiau xmlrpc.php turi ir trūkumų, kadangi dėl jo kyla su saugumu susijusių rizikų "WordPress" svetainui. Todėl dabar jį pakeitė '''"WordPress REST API"''', kuri daug geriau atveria "WordPress" kitoms programoms. Todėl xmlrpc.php failas šiam ryšiui nebenaudojamas. Vietoj to '''REST API''' naudojama ryšiui su "WordPress" mobiliąja programėle, kompiuterių klientais, kitomis tinklaraščių rašymo platformomis, WordPress.com (įskiepiui ''"Jetpack"'') ir kitomis sistemomis bei paslaugomis palaikyti. Sistemų, su kuriomis gali bendrauti '''REST API''', spektras yra daug didesnis nei tas, kurį leidžia xmlrpc.php.

Kadangi '''REST API''' atlieka šiuos visus funkcionalumus, svetainėje turėtumėte išjungti xmlrpc.php - dėl jo atsiranda '''saugumo spragų''' ir jis gali tapti '''atakų taikiniu'''.

== DDoS atakos vykdomos per XML-RPC "Pingbacks" ==

Failas gali būti panaudotas '''DDoS atakoms''' vykdomoms per '''XML-RPC''' ''"Pingbacks"'' grįžtamąsias nuorodas. Viena iš xmlrpc.php įjungtų funkcijų buvo ''“pingbacks”'' ir ''“trackbacks”''. Tai pranešimai, kurie rodomi jūsų svetainės komentaruose, kai kitas tinklaraštis ar svetainė pateikia nuorodą į jūsų turinį, pavyzdžiui:

Pingbacks:
* Kai tinklaraštis A paskelbia naują įrašą ir naudoja pingback mechanizmą, tai reiškia, kad tinklaraštis A siunčia pranešimą tinklaraščiui B per XML-RPC protokolą. Pranešimas apie naują įrašą yra siunčiamas automatiškai, be tiesioginio svetainės savininko įsikišimo.
* Jei tinklaraštis B priima pingback, tai jis gali automatiškai sukurti nuorodą į naują įrašą tinklaraštyje A. Tai leidžia tinklaraščiams automatizuoti informacijos dalinimąsi ir tarpusavio susiejimą.

Trackbacks:
* Tinklaraštis A gali rankiniu būdu sukurti trackback nuorodą į tinklaraštį B. Tai yra būdas, kai tinklaraščio autorius pats įdeda specialią nuorodą į kitą tinklaraštį, informuodamas, kad yra sukurtas susijęs įrašas.
* Kai tinklaraštis B gauna trackback pranešimą, jis gali jį patvirtinti arba atmesti. Patvirtinus trackback, tinklaraštis B gali atvaizduoti nuorodą į tinklaraštį A kaip atsaką į savo įrašą.

Šį bendravimą įgalino '''XML-RPC''' specifikacija, tačiau dabar ją jau pakeitė '''REST API'''.

Jei jūsų svetainėje įjungtas '''XML-RPC''', programišius, pasinaudodamas xmlrpc.php, gali surengti '''DDoS ataką''' prieš svetainę ir per trumpą laiką į ją išsiųsti daugybę ''"pingbacks"'' užklausų. Tai gali sutrikdyti tiek svetainės, tiek serverio darbą.

== Brute - force atakos per XML-RPC ==

Kiekvieną kartą, kai xmlrpc.php pateikia užklausą, jis siunčia vartotojo vardą ir slaptažodį autentiškumui patvirtinti. Dėl šios priežasties kyla rizika svetainės saugumui. Kadangi xmlrpc.php su kiekviena užklausa siunčia autentifikavimo informaciją, įsilaužėliai gali ja pasinaudoti bandydami patekti į jūsų svetainę. Tokia grubios jėgos (''brute – force'') ataka gali leisti jiems įterpti turinį, ištrinti kodą arba sugadinti svetainės duomenų bazę. Kadangi jei programišius į jūsų svetainę išsiųs pakankamai užklausų, kurių kiekvienoje bus nurodyta skirtinga vartotojo vardo ir slaptažodžio pora, yra tikimybė, kad galiausiai jis pataikys į teisingą užklausą ir gaus prieigą prie svetainės.
Todėl, jei naudojate atnaujintą "WordPress" versiją, kuri bendravimui su išorinėmis sistemomis naudoja '''REST API''', reikėtų išjungti xmlrpc.php dėl keliamo svetainės pažeidžiamumo. '''REST API''' naudoja ''OAuth'', kuri autentifikavimui siunčia ne vartotojo vardus ar slaptažodžius, o ''tokens''.

== Patikrinimas, ar xmlrpc.php veikia svetainėje ==

Patikrinimui yra sukurtų trečiųjų šalių įrankių, vienas tokių: http://scripting.com/code/xmlrpcbrowserclient/index.html

== xmlrpc.php išjungimas ==

=== Įskiepiai ===

Lengviausias būdas išjungti xmlrpc.php – įskiepio pagalba. Įskiepis '''[https://wordpress.org/plugins/disable-xml-rpc/ “Disable XML-RPC”]''' pilnai išjungs šį funkcionalumą, užteks įskiepį įdiegti ir aktyvuoti:

[[Vaizdas:1 xmlrpc.png]]

Jeigu norima išjungti tik kai kuriuos xmlrpc.php funkcionalumus, galima naudoti kitą įskiepį -
'''[https://wordpress.org/plugins/disable-xml-rpc-pingback/ “Disable XML-RPC pingback”]'''. Šis įskiepis leis išjungti tik ''“pingback”'' funkciją, o kitos '''XML-RPC''' funkcijos, jei jos yra reikalingos, liks veikiančios.

[[Vaizdas:2 xmlrpc.png]]

Įskiepis '''[https://wordpress.org/plugins/rest-xmlrpc-data-checker/ “REST XML-RPC data checker”]''' tinkamas, jei norite tiksliau kontroliuoti, kaip svetainėje konfigūruojamas tiek xmlrpc.php, tiek REST API.

[[Vaizdas:3 xmlrpc.png]]

=== Prieigos ribojimas .htaccess failo pagalba ===

Galima xmlrpc.php išjungti nenaudojant įskiepių. Prieigą galima apriboti ''.htaccess'' failo pagalba svetainės ''public_html'' kataloge jame įrašant kodą:

<Files "xmlrpc.php">
Require all denied
</Files>

== Situacijos, kada xmlrpc.php gali būti reikalingas ==

* Nėra naudojamas '''REST API''', tačiau reikalinga svetainės komunikacija su kitomis sistemomis;
* Nėra galimybės atnaujinti “Wordpress” versijos į '''4.4 ar aukštesnę''' ir dėl to '''REST API''' nėra prieinamas;
* Dirbama su išorine programa, kuri nėra suderinama veikti naudojant WP '''REST API''', tačiau gali naudoti būtent '''XML-RPC.''' Šiuo atveju laikui bėgant reikėtų pagalvoti apie programos atnaujinimą arba pasirinkimą tokios programos, kuri suderinama su '''REST API''' naudojimu.

Iš esmės vienintelė priežastis, kodėl '''XML-RPC''' vis dar pasiekiamas “Wordpress” svetainėse yra dėl grįžtamojo suderinamumo - kad veiktų tos versijos, kurios naudojamos prieš atsirandant '''REST API'''. Tad '''XML-RPC''' naudojimas šiuo metu visgi indikuoja, kad yra dirbama su pasenusiomis sistemomis.

← Ankstesnė versija		13:42, 14 gegužės 2024 versija
76 eilutė:		76 eilutė:

	Iš esmės vienintelė priežastis, kodėl '''XML-RPC''' vis dar pasiekiamas “Wordpress” svetainėse yra dėl grįžtamojo suderinamumo - kad veiktų tos versijos, kurios naudojamos prieš atsirandant '''REST API'''. Tad '''XML-RPC''' naudojimas šiuo metu visgi indikuoja, kad yra dirbama su pasenusiomis sistemomis.		Iš esmės vienintelė priežastis, kodėl '''XML-RPC''' vis dar pasiekiamas “Wordpress” svetainėse yra dėl grįžtamojo suderinamumo - kad veiktų tos versijos, kurios naudojamos prieš atsirandant '''REST API'''. Tad '''XML-RPC''' naudojimas šiuo metu visgi indikuoja, kad yra dirbama su pasenusiomis sistemomis.
		+
		+	[[Kategorija:Profesionalus_hostingas]]

@@ 49 eilutė: / 49 eilutė: @@
 Lengviausias būdas išjungti xmlrpc.php – įskiepio pagalba. Įskiepis '''[https://wordpress.org/plugins/disable-xml-rpc/ “Disable XML-RPC”]''' pilnai išjungs šį funkcionalumą, užteks įskiepį įdiegti ir aktyvuoti:
-[[Vaizdas:1 xmlrpc.png]]
+[[Vaizdas:1 xmlrpc.png|500px]]
 Jeigu norima išjungti tik kai kuriuos xmlrpc.php funkcionalumus, galima naudoti kitą įskiepį -
 '''[https://wordpress.org/plugins/disable-xml-rpc-pingback/ “Disable XML-RPC pingback”]'''. Šis įskiepis leis išjungti tik ''“pingback”'' funkciją, o kitos '''XML-RPC''' funkcijos, jei jos yra reikalingos, liks veikiančios.
-[[Vaizdas:2 xmlrpc.png]]
+[[Vaizdas:2 xmlrpc.png|500px]]
 Įskiepis '''[https://wordpress.org/plugins/rest-xmlrpc-data-checker/ “REST XML-RPC data checker”]''' tinkamas, jei norite tiksliau kontroliuoti, kaip svetainėje  konfigūruojamas tiek xmlrpc.php, tiek REST API.
-[[Vaizdas:3 xmlrpc.png]]
+[[Vaizdas:3 xmlrpc.png|500px]]

@@ 19 eilutė: / 19 eilutė: @@
 Failas gali būti panaudotas '''DDoS atakoms''' vykdomoms per '''XML-RPC''' ''"Pingbacks"'' grįžtamąsias nuorodas. Viena iš xmlrpc.php įjungtų funkcijų buvo ''“pingbacks”'' ir ''“trackbacks”''. Tai pranešimai, kurie rodomi jūsų svetainės komentaruose, kai kitas tinklaraštis ar svetainė pateikia nuorodą į jūsų turinį, pavyzdžiui:
-     Pingbacks:
+     ''Pingbacks'':
-         * Kai tinklaraštis A paskelbia naują įrašą ir naudoja pingback mechanizmą, tai reiškia, kad tinklaraštis A siunčia pranešimą tinklaraščiui B per XML-RPC protokolą. Pranešimas apie naują įrašą yra siunčiamas automatiškai, be tiesioginio svetainės savininko įsikišimo.
+         * Kai svetainė A paskelbia naują įrašą ir naudoja ''pingback'' mechanizmą, tai reiškia, kad svetainė A siunčia pranešimą svetainei B per XML-RPC protokolą. Pranešimas apie naują įrašą yra siunčiamas automatiškai, be tiesioginio svetainės savininko įsikišimo.
-         * Jei tinklaraštis B priima pingback, tai jis gali automatiškai sukurti nuorodą į naują įrašą tinklaraštyje A. Tai leidžia tinklaraščiams automatizuoti informacijos dalinimąsi ir tarpusavio susiejimą.
+         * Jei svetainė B priima ''pingback'', tai jis gali automatiškai sukurti nuorodą į naują įrašą svetainėje A. Tai leidžia svetainėms automatizuoti informacijos dalinimąsi ir tarpusavio susiejimą.
-     Trackbacks:
+     ''Trackbacks'':
-         * Tinklaraštis A gali rankiniu būdu sukurti trackback nuorodą į tinklaraštį B. Tai yra būdas, kai tinklaraščio autorius pats įdeda specialią nuorodą į kitą tinklaraštį, informuodamas, kad yra sukurtas susijęs įrašas.
+         * Svetainėje A galima rankiniu būdu sukurti ''trackback'' nuorodą į svetainę B. Tokiu atveju svetainės administratorius pats įdeda specialią nuorodą į kitą svetainę, informuodamas, kad yra sukurtas susijęs įrašas.
-         * Kai tinklaraštis B gauna trackback pranešimą, jis gali jį patvirtinti arba atmesti. Patvirtinus trackback, tinklaraštis B gali atvaizduoti nuorodą į tinklaraštį A kaip atsaką į savo įrašą.
+         * Kai svetainė B gauna ''trackback'' pranešimą, ji gali jį patvirtinti arba atmesti. Patvirtinus ''trackback'', svetainė B gali atvaizduoti nuorodą į svetainę A kaip atsaką į savo įrašą.