[WP] 워드프레스 XML-RPC 취약점과 비활성화 해야 하는 이유 2가지

Author:jarvis Hours 등록일 Hours 업데이트

워드프레스 xmlrpc.php는 보안 문제가 발생합니다. xmlrpc.php 파일을 이용한 워드프레스 사이트에 대한 무차별 대입 공격이 문제입니다.

xmlrpc.php 취약점으로 많은 워드프레스 유저에게 알려진 문제이기도 합니다. ‘XML-RPC‘의 기본 기능 및 활용성과 문제가 되는 이유에 대해 알아 보겠습니다.

1. 워드프레스 xmlrpc.php란?

xmlrpc.php 파일은 HTTP가 전송 메커니즘으로 작동합니다. XML이 인코딩 메커니즘으로 작동하여 데이터를 전송할 수 있는 WordPress의 기능입니다. 다른 시스템(다른 블로그 or 앱)과 통신하기 위한 작업을 처리하기 위해 만들어진 파일인 것이지요. 

컴퓨터가 근처에 없을 때 모바일 장치에서 사이트에 글을 게시하기 위해 'xmlrpc.php'의 활성화 된 원격 엑세스 기능을 사용할 수 있습니다. 인터넷이 느리던 시절 워드프레스 사이트에 게시글을 작성하는데는 시간이 걸렸습니다.
이와 같은 이유로 오프라인 상태의 앱 등에서 글을 작성 후 글을 보내는 것이 XML-RPC의 목적이었던 것입니다. 다른 장치에서 로그인 하는 방법은 편리했지만 현재는 거의 사용하지 않는 기능이 되었습니다.
워드프레스

2. xmlrpc.php 취약점

XML RPC는 어떤 취약점을 가지고 있는지 알아 보겠습니다.

무차별 대입 공격으로 워드프레스 admin으로 추정되는 아이디로 로그인 시도를 합니다.. 워드프레스 관리자 페이지 주소가 정해져 있기에 수백 가지 서로 다른 암호를 대입해 사이트의 해킹하려고 할 수 있습니다.

핑백을 이용한 DDoS 공격을 시도하여 사이트를 오프라인 상태로 마비시킬 수 있습니다. xmlrpc.php의 기능이 해커에게 DDoS 공격을 할 수 있는 경유지로 이용되며 사이트 속도에 영향을 주기 때문에 SEO에 악 영향을 주게 됩니다.

핑백&트랙백이란

3. 워드프레스 XML-RPC 비활성화 방법

비활성화 하는 방법은 크게 두 가지가 있습니다. 제트팩과 같은 일부 플러그인은 xmlrpc의 기능을 사용하기 때문에 비활성화 할 경우 플러그인이 작동하지 않아 사이트의 특정 기능이 작동하지 않을 수 있습니다.

3.1 수동으로 비활성화 하기

.htaccess 파일에서 비활성화 하는 방법입니다.

# BEGIN protect xmlrpc.php
<files xmlrpc.php>
order allow,deny
deny from all
</files>
# END protect xmlrpc.php

차일드 테마 function.php 파일에 적용하는 방법입니다.

add_filter('xmlrpc_enabled', false);
차일드 테마란?

아파치 서버의 httpd.conf에서 비활성화 하는 방법입니다.

<Files xmlrpc.php>
Require all denied
#ErrorDocument 403 /403.html
</Files>

3.2 워드프레스 플러그인 사용

xmlrpc.php를 차단하는 플러그인을 사용할 수 있습니다. 워드프레스 대시보드에서 [플러그인] > [추가]로 이동한 후 ‘XML-RPC-API’를 검색하면 차단할 수 있는 많은 플러그인을 확인할 수 있습니다.

거의 단일 기능만 제공하는 플러그인을 사용하기 보단 보안 플러그인을 사용하는 것이 더 나은 선택일 수 있습니다.
‘wordfence’ or ‘ithemes security’와 같은 보안 플러그인의 기능에는 xmlrpc.php를 비활성화 하는 기능이 포함되어 있습니다.

워드프레스 xmlrpc.php 취약점-XML-RPC

4. 결론

xmlrpc 취약점으로 인해 xmlrpc의 원격 기능은 거의 사용되지 않으며, WordPress 사이트 소유자에게 장점 보다는 단점이 많습니다. 안전한 사이트 유지를 위해 Jetpack 플러그인과 같이 xmlrpc.php를 사용하는 것이 아닌 경우 비활성화 하는 것이 정답입니다.

시간이 지나면 워드프레스에서 xmlrpc.php의 기능을 삭제 할지도 모릅니다. 거의 쓸모 없는 기능이기 때문입니다. 보안이 강화된 새로운 워드프레스 API에 xmlrpc의 기능이 통합되는 것도 예상할 수 있습니다.

워드프레스 작업

Similar Posts

  • SSL/TLS 보안인증서 등급 3가지

    Published:wilson

    SSL/TLS 보안인증서는 등급이 존재합니다. TLS 보안인증서 등급은 DV 인증서, OV인증서, EV인증서 크게 3종류로 나눌 수 있습니다. Sectigo와 같은 인증 기관Certificate Authorities에서 등급으로 지정된 TLS 보안인증서를 이용할 수 있습니다. 보통은 서버를 이용하는 회사나 국내 인증기관에서 Sectigo SSL을 포함한 인증 기관의 SSL 제품을 판매하니 필요한 경우 홈페이지 용도에 맞게 사용할 수 있습니다. 목차1. 워드프레스 xmlrpc.php란?2….

  • [WP] 2023년 빠른 워드프레스 테마 5개

    Published:jarvis

    워드프레스 사이트를 운영 중인데 구글 페이지 스피드 및 지티메트릭스와 같은 사이트에서 원하는 속도가 나오지 않아 테마를 바꿀 것을 고려할 수 있습니다. 가볍고 빠른 2023년 빠른 워드프레스 테마는 무엇이 있을까요? 많은 워드프레스 테마의 총 페이지 크기가 300kb 이상인 경우가 많습니다. 워드프레스가 느리다는 인식이 몇 년 전까지 일반적이었지만 빠른 워드프레스 테마가 새로 나오고 지속적인 기존…

  • 워드프레스 301 리다이렉트: 정의 및 설정 방법

    Published:I-var uknew

    워드프레스로 구축한 웹사이트에서 301 리다이렉트 설정은 사이트 이전이나 URL 변경 시 방문자와 검색엔진이 새 주소로 자동 이동하도록 하는 중요한 작업입니다. 워드프레스 301 리다이렉트를 사용해야 하는 이유와 실제 적용 사례를 살펴보겠습니다. 301 리다이렉트는 현재 URL에서 다른 URL로 보내는 것을 의미합니다. 이는 전화기의 착신 전환과 비슷한 개념으로, 사용자가 기존 주소로 접속해도 자동으로 새 주소로 안내하는…

  • [WP] 최고의 워드프레스 SEO 플러그인 Yoast VS RankMath 분석

    Published:jarvis

    대표적인 워드프레스 SEO 플러그인 Yoast VS RankMath 둘 중에 더 나은 선택은 어떤 것일까요? 워드프레스 검색엔진최적화 작업은 워드프레스 기반 웹 사이트 운영 시 필수이며, 기본입니다. 워드프레스 SEO 설정을 위한 플러그인은 많은 업체가 경쟁하고 있습니다. 대표적인 7개 All In SEO Plugin 중 Yoast와 Rank Math 두 개의 SEO 올인원 플로그인을 비교해 보겠습니다. ⓐ 워드프레스…

  • WP Rocket 설정 가이드: 직관적 UI, 워드프레스 캐시 플러그인 $59의 가치

    Published:I-var uknew

    WP Rocket은 워드프레스 캐시 플러그인입니다. 이 콘텐츠는 직관적인 인터페이스와 설정으로 관리하기 쉬운 WP Rocket 기본 설정 방법을 설명합니다. 설정 이후 크롬 개발자 도구와 구글 페이지 스피드의 속도 테스트를 진행합니다. 간편한 설정과 함께 추가 기능의 80% 정도가 자동으로 작동하여 별도의 복잡한 관리 없이도 높은 효과를 발휘합니다. 목차1. 워드프레스 xmlrpc.php란?2. xmlrpc.php 취약점3. 워드프레스 XML-RPC 비활성화…

  • [WP] 워드프레스 서버 가동 시간 모니터링 확인 플러그인&웹 사이트

    Published:jarvis

    워드프레스 사이트를 운영할 때 서버의 속도와 서버 가동시간은 중요한 요소입니다. 모든 워드프레스 호스팅 회사가 서버 가동 시간이 99.9%로 주장하지만 이 주장은 대부분의 회사에 액면 그대로 적용하기에는 무리가 있습니다. 서버 관리가 되지 않는 호스팅 회사는 서버가 자주 다운되고 블로그의 SEO 점수 하락과 온라인 쇼핑몰의 매출을 감소시킵니다. 워드프레스 서버 가동 시간이 중요한 이유와 호스팅 서버…