Wat is de geschiedenis van XML-RPC?

Dave Winer van UserLand Software bedacht XML-RPC in 1998 samen met Microsoft. Het protocol groeide later uit tot SOAP (Wikipedia). De specificatie staat nog altijd op xmlrpc.com. Belangrijke mijlpalen: 1998: Dave Winer en Microsoft introduceren XML-RPC December 2012: WordPress 3.5 zet XML-RPC standaard aan en schrapt de optie om het uit te zetten (Make WordPress) 2014: Meer dan 162.000 WordPress-sites worden via pingbacks misbruikt voor een DDoS-aanval 2015: Sucuri beschrijft brute for

Waarom is XML-RPC belangrijk?

Een goed begrip van XML-RPC is essentieel voor iedereen die werkt met websites, webhosting of online technologie. XML-RPC (XML Remote Procedure Call) is een protocol om via HTTP functies op een server aan te roepen, in WordPress via xmlrpc.php.

Terug naar begrippenlijst

XML-RPC

XML-RPC (XML Remote Procedure Call) is een protocol om via HTTP functies op een server aan te roepen, in WordPress via xmlrpc.php.

XML-RPC (XML Remote Procedure Call) is een protocol waarmee een programma via HTTP een functie op een andere server aanroept, met een bericht in XML. WordPress gebruikt het al jaren via het bestand xmlrpc.php in de hoofdmap van je site. Apps en externe diensten kunnen zo berichten plaatsen, reacties beheren en pingbacks versturen zonder het dashboard te openen.

Juist dat bestand is een geliefd doelwit. Op wp-login.php test een aanvaller één wachtwoord per verzoek, maar met de methode system.multicall van XML-RPC probeert hij er honderden in één verzoek. Beveiligingsbedrijf Sucuri zag zulke brute force-aanvallen in 2015 op grote schaal. Ook de pingbackfunctie wordt misbruikt, om een andere site met verzoeken te bestoken: in 2014 zette een aanvaller zo meer dan 162.000 WordPress-sites in bij één DDoS-aanval.

De meeste sites hebben XML-RPC niet meer nodig, omdat apps en koppelingen nu meestal de REST API van WordPress gebruiken. Gebruik je Jetpack, laat het dan aan, want Jetpack is afhankelijk van de XML-RPC-verbinding. Let op met de filter xmlrpc_enabled, die bijvoorbeeld de plugin Disable XML-RPC gebruikt. Die zet alleen de functies uit waarvoor je moet inloggen, terwijl pingbacks gewoon blijven werken.

Op je hosting blokkeer je xmlrpc.php volledig met drie regels bovenaan het bestand .htaccess in public_html: <Files xmlrpc.php>, dan Require all denied en tot slot </Files>. LiteSpeed leest die regels zoals Apache dat doet, en wie het bestand daarna opvraagt, krijgt de melding 403 Forbidden. Controleer na de wijziging of je site en je koppelingen nog werken. Geeft je site een 500-fout, dan zit er een typfout in de regels.

Geschiedenis

Dave Winer van UserLand Software bedacht XML-RPC in 1998 samen met Microsoft. Het protocol groeide later uit tot SOAP (Wikipedia). De specificatie staat nog altijd op xmlrpc.com.

Belangrijke mijlpalen:

1998: Dave Winer en Microsoft introduceren XML-RPC
December 2012: WordPress 3.5 zet XML-RPC standaard aan en schrapt de optie om het uit te zetten (Make WordPress)
2014: Meer dan 162.000 WordPress-sites worden via pingbacks misbruikt voor een DDoS-aanval
2015: Sucuri beschrijft brute force-aanvallen met system.multicall (Sucuri)

Bronnen

XML-RPC.com - XML-RPC Specification
WordPress.org - XML-RPC WordPress API
WordPress.org - Hook xmlrpc_enabled
Sucuri (2015) - Brute Force Amplification Attacks Against WordPress XMLRPC
Sucuri (2014) - More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack
Jetpack - Known issues: plugins that disable access to XML-RPC

Met een gratis Cloudflare-account stel je een rate limit rule in via Security > WAF > Rate limiting rules. Gebruik de volgende configuratie:

Veld:    URI Path bevat /wp-login.php
         OF URI Path bevat /xmlrpc.php
Methode: POST

Actie:   Challenge (Turnstile) na 5 pogingen per 60 seconden per IP
         Block bij herhaalde overschrijding (duur: 1-24 uur)

Stel de drempel in op maximaal 5 POST-verzoeken per IP per 60 seconden. De "Challenge"-actie toont Cloudflare Turnstile bij de eerste overschrijding. Turnstile is de gratis, privacyvriendelijke CAPTCHA-variant van Cloudflare. Bij herhaalde schending stel je de actie in op "Block" voor een periode van minimaal 1 uur.

# Force HTTPS redirect
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Je kunt ook de Really Simple SSL plugin gebruiken voor een geautomatiseerde oplossing. Test eerst de gratis versie want de Pro versie blokkeert soms XML-RPC zonder waarschuwing vooraf.

Verificatie: test je SSL

SSL Labs Server Test geeft een rating van A+ tot F en toont welke ciphers en protocols je server ondersteunt

Je winkelwagen is leeg

Je winkelwagen is leeg

XML-RPC

Geschiedenis

Bronnen

Gerelateerde artikelen

WAF: blokkeer aanvallen voor ze je site raken

Content Security Policy: stop XSS aan de bron

Verificatie: test je SSL