By Trovalost.it 
La diffusione di pericolose falle in WordPress non sembra conoscere tregua: nel mese di ottobre di quest’anno, i ricercatori di Sucuri (da tempo al lavoro in questo settore) hanno pubblicato un nuovo articolo in cui descrivono i pericoli legati all’uso improprio di XML-RPC. In linea di massima, il criterio di attacco consiste in una tecnica brute-force che permette all’attaccante di testare più combinazioni di username e password, nel tentativo di penetrare nell’interfaccia amministrativa del sito.
Nello specifico, viene sfruttato il metodo system.multicall che permette sia di non essere rilevato dagli ordinari metodi di mitigation, sia di testare numerosissime combinazioni di username e password mediante un numero limitato di chiamate XML-RPC. Secondo il post di Sucuri, bastano 3 o 4 chiamate HTTP per testare centinaia di password, bypassando cosଠi sistemi anti brute force eventualmente presenti sul nostro sito in WordPress.
Vedi anche: come installare WordPress in locale
Leggi anche: come installare WordPress in remoto
add_filter('xmlrpc_enabled', '__return_false');
subito dopo la riga:
require_once(ABSPATH . 'wp-settings.php'); i
nel file suddetto. Misura drastica, in un certo qualmodo, e che vi impedirà di utilizzare le funzioni che coinvolgano XML-RPC, ma che al momento sembra essere consigliata specie se i log del vostro server suggeriscano attacchi di questo tipo. Se usate JetPack questo potrebbe essere problematico in quanto finirà per renderlo non utilizzabile, ad esempio, motivo per cui dovrete valutare altro genere di contromisure di mitigazione come l’uso dei WAF (web application firewall).
Ti potrebbe interessare: come usare il SiteBuilder su WordPress
àˆ opportuno ricordare, infine, che gli attacchi brute-force come quello descritto in questa sede possono avvenire su qualsiasi server online, non solo via HTTP(S) ma anche via SSH e FTP, che dovranno quindi essere protetti ed eventualmente, se possibile, disabilitati se non utilizzati (fonti: TheHackerNews, blog di sucuri, WPEngineer).
👇 Contenuti da non perdere 👇
- Gratis 🎉
- Lavoro 🔧
- Programmare 🖥
- Sicurezza & Privacy 👁
- Spiegoni artificiali 🎓
- Svago 🎈
- WordPress 🤵
- 💬 Il nostro canale Telegram: iscriviti
- 🟡 Hosting managed o gestiti: quando e perchè sceglierli?
- 🟠 Come raggiungere la posizione zero su Google
- 🔵 Determinante, rango, inversa, trasposta di una matrice (GUIDA)
