[WP] 워드프레스 XML-RPC 취약점과 비활성화 해야 하는 이유 2가지

Author:jarvis Hours 등록일 Hours 업데이트

워드프레스 xmlrpc.php는 보안 문제가 발생합니다. xmlrpc.php 파일을 이용한 워드프레스 사이트에 대한 무차별 대입 공격이 문제입니다.

xmlrpc.php 취약점으로 많은 워드프레스 유저에게 알려진 문제이기도 합니다. ‘XML-RPC‘의 기본 기능 및 활용성과 문제가 되는 이유에 대해 알아 보겠습니다.

1. 워드프레스 xmlrpc.php란?

xmlrpc.php 파일은 HTTP가 전송 메커니즘으로 작동합니다. XML이 인코딩 메커니즘으로 작동하여 데이터를 전송할 수 있는 WordPress의 기능입니다. 다른 시스템(다른 블로그 or 앱)과 통신하기 위한 작업을 처리하기 위해 만들어진 파일인 것이지요. 

컴퓨터가 근처에 없을 때 모바일 장치에서 사이트에 글을 게시하기 위해 'xmlrpc.php'의 활성화 된 원격 엑세스 기능을 사용할 수 있습니다. 인터넷이 느리던 시절 워드프레스 사이트에 게시글을 작성하는데는 시간이 걸렸습니다.
이와 같은 이유로 오프라인 상태의 앱 등에서 글을 작성 후 글을 보내는 것이 XML-RPC의 목적이었던 것입니다. 다른 장치에서 로그인 하는 방법은 편리했지만 현재는 거의 사용하지 않는 기능이 되었습니다.
워드프레스

2. xmlrpc.php 취약점

XML RPC는 어떤 취약점을 가지고 있는지 알아 보겠습니다.

무차별 대입 공격으로 워드프레스 admin으로 추정되는 아이디로 로그인 시도를 합니다.. 워드프레스 관리자 페이지 주소가 정해져 있기에 수백 가지 서로 다른 암호를 대입해 사이트의 해킹하려고 할 수 있습니다.

핑백을 이용한 DDoS 공격을 시도하여 사이트를 오프라인 상태로 마비시킬 수 있습니다. xmlrpc.php의 기능이 해커에게 DDoS 공격을 할 수 있는 경유지로 이용되며 사이트 속도에 영향을 주기 때문에 SEO에 악 영향을 주게 됩니다.

핑백&트랙백이란

3. 워드프레스 XML-RPC 비활성화 방법

비활성화 하는 방법은 크게 두 가지가 있습니다. 제트팩과 같은 일부 플러그인은 xmlrpc의 기능을 사용하기 때문에 비활성화 할 경우 플러그인이 작동하지 않아 사이트의 특정 기능이 작동하지 않을 수 있습니다.

3.1 수동으로 비활성화 하기

.htaccess 파일에서 비활성화 하는 방법입니다.

# BEGIN protect xmlrpc.php
<files xmlrpc.php>
order allow,deny
deny from all
</files>
# END protect xmlrpc.php

차일드 테마 function.php 파일에 적용하는 방법입니다.

add_filter('xmlrpc_enabled', false);
차일드 테마란?

아파치 서버의 httpd.conf에서 비활성화 하는 방법입니다.

<Files xmlrpc.php>
Require all denied
#ErrorDocument 403 /403.html
</Files>

3.2 워드프레스 플러그인 사용

xmlrpc.php를 차단하는 플러그인을 사용할 수 있습니다. 워드프레스 대시보드에서 [플러그인] > [추가]로 이동한 후 ‘XML-RPC-API’를 검색하면 차단할 수 있는 많은 플러그인을 확인할 수 있습니다.

거의 단일 기능만 제공하는 플러그인을 사용하기 보단 보안 플러그인을 사용하는 것이 더 나은 선택일 수 있습니다.
‘wordfence’ or ‘ithemes security’와 같은 보안 플러그인의 기능에는 xmlrpc.php를 비활성화 하는 기능이 포함되어 있습니다.

워드프레스 xmlrpc.php 취약점-XML-RPC

4. 결론

xmlrpc 취약점으로 인해 xmlrpc의 원격 기능은 거의 사용되지 않으며, WordPress 사이트 소유자에게 장점 보다는 단점이 많습니다. 안전한 사이트 유지를 위해 Jetpack 플러그인과 같이 xmlrpc.php를 사용하는 것이 아닌 경우 비활성화 하는 것이 정답입니다.

시간이 지나면 워드프레스에서 xmlrpc.php의 기능을 삭제 할지도 모릅니다. 거의 쓸모 없는 기능이기 때문입니다. 보안이 강화된 새로운 워드프레스 API에 xmlrpc의 기능이 통합되는 것도 예상할 수 있습니다.

워드프레스 작업

Similar Posts

  • 워드프레스 플러그인: Health Check&Troubleshooting | 플러그인 충돌 테스트

    Published:jarvis

    워드프레스 플러그인 충돌 테스트를 위해 모든 플러그인을 직접 비활성화하면 방문자에게 사이트가 깨져 보일 수 있습니다. 이때 사이트는 그대로 유지하고 관리자만 테스트할 수 있는 Health Check & Troubleshooting 플러그인을 사용할 수 있습니다. 목차1. 워드프레스 xmlrpc.php란?2. xmlrpc.php 취약점3. 워드프레스 XML-RPC 비활성화 방법3.1 수동으로 비활성화 하기3.2 워드프레스 플러그인 사용4. 결론 ✅ Health Check&Troubleshooting 플러그인 설치 플러그인…

  • cPanel 워드프레스 설치하기(with softaculous)

    Published:jarvis

    cPanel은 워드프레스 뿐만 아니라 여러 CMS에서 사용하기 편리한 웹 호스팅 컨트롤 패널입니다. 이번에 cPanel 워드프레스 설치 방법에 대해 알아 보겠습니다. 기본 설치를 위해 먼저 [cPanel] > [소프트웨어] > [Softaculous]를 클릭합니다. cPanel을 사용하는 호스팅 업체라면 동일한 설정이 있기 때문에 내용 참조하여 어렵지 않게 설치가 가능합니다. 목차1. 워드프레스 xmlrpc.php란?2. xmlrpc.php 취약점3. 워드프레스 XML-RPC 비활성화 방법3.1…

  • [WP] 워드프레스 무차별 대입 공격(brute-force attack)을 막는 9가지 방법

    Published:jarvis

    워드프레스 CMS로 만든 웹 사이트를 운영하게 되면, 관리자 주소는 https://www.domain.com/wp-admin이 됩니다. 무차별 대입 공격에 취약할 수 있는 이유는 관리자 페이지 주소 wp-admin 주소가 그대로 노출되기 때문입니다. 워드프레스를 포함한 웹 사이트의 관리자 주소가 admin과 같은 주소를 사용해서 무차별 대입 공격(brute-force attack)에 노출되는 것은 되도록 방지해야 합니다. 무차별 대입 공격(brute-force attack)이란? 웹 사이트나 컴퓨터 및…

  • [WP] 워드프레스 이미지 대체 텍스트와 제목 차이점 & 캡션이란?

    Published:jarvis

    이미지는 글의 의미 전달 or 설명을 하는데 도움이 됩니다. SEO에서도 필수적인 요소로 자리 잡고 있습니다. 워드프레스를 사용할 경우 워드프레스 이미지 대체 텍스트는 무엇이며, Tltle(제목)과 캡션은 무엇인지 알아 보겠습니다. 목차1. 워드프레스 xmlrpc.php란?2. xmlrpc.php 취약점3. 워드프레스 XML-RPC 비활성화 방법3.1 수동으로 비활성화 하기3.2 워드프레스 플러그인 사용4. 결론 1. 워드프레스 이미지 대체 텍스트 대체 텍스트(ALT text, alt…

  • 워드프레스 Redis Cache 설치 및 설정

    Published:jarvis

    Redis Cache는 비관계형 데이터베이스 관리 시스템으로, 오픈 소스 기반으로 개발된 Remote Dictionary Server의 약자입니다. 이 시스템은 키-값 구조의 비정형 데이터를 저장하고 관리합니다. 목차1. 워드프레스 xmlrpc.php란?2. xmlrpc.php 취약점3. 워드프레스 XML-RPC 비활성화 방법3.1 수동으로 비활성화 하기3.2 워드프레스 플러그인 사용4. 결론✅ Redis Cache 설치 ✅ Redis Cache 설정 🔲 redis.conf 설정 🔲 wp-config.php 설정 🔲 redis…

  • [WP] CMS란? 콘텐츠 관리 시스템 정의와 요구 사항 9가지

    Published:jarvis

    인터넷 비즈니스를 한다면 알아야 할 여러가지 용어가 많이 있습니다. SEO, CDN, Hosting Server, Rich Snippets 등 온라인을 이용한 전자상거래 사이트, 블로그 등의 웹 사이트를 운영한다면 어느 정도의 지식이 있을 경우 같은 업종의 경쟁자보다 우위에 설 수 있기 때문입니다. 인터넷 비즈니스를 한다면 한번 쯤 CMS에 대한 용어를 인터넷 비즈니스를 하면서 들어 봤을 가능성이 큽니다….