WordPress xmlrpc.php 存在SSRF漏洞

WordPress上的XML-RPC实际上是API或“应用程序接口”。它使开发移动应用程序，桌面应用程序和其他服务的开发人员能够与您的WordPress网站进行对话。WordPress提供的XML-RPC API为开发人员提供了一种编写（为您）应用程序的方法，该应用程序可以执行通过Web界面登录WordPress时可以执行的许多操作。

漏洞简述

WordPress xmlrpc.php 存在SSRF漏洞，SSRF 形成的原因由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。

漏洞可能造成的危害：

（1）、可以对业务内网进行探测。

（2）、攻击运行在内网或本地的应用程序（比如溢出攻击）。

（3）、利用file协议读取本地文件等。

漏洞实例

漏洞修复

目前可以用到3个方法:

第一种是屏蔽 XML-RPC (pingback) 的功能:
add_filter('xmlrpc_enabled', '__return_false');

第二种方法就是通过.htaccess屏蔽xmlrpc.php文件的访问:
# protect xmlrpc
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>

第三种同样的是修改.htaccess文件，如果有用户访问xmlrpc.php文件，
然后让其跳转到其他不存在或者存在的其他页面，降低自身网站的负担。 
# protect xmlrpc
<IfModule mod_alias.c>
Redirect 301 /xmlrpc.php http://example.com/custom-page.php
</IfModule>

第四种删掉根目录下的xmlrpc.php 文件