转载

锄草记--WordPress博客的xmlrpc漏洞

博客老早就长满了草，最近在锄草。

发现问题

最近总有人告诉我，说博客不能访问了。开始只是直接去重启一下httpd，恢复了就不管了。不过最近有点频繁出现不能访问的情况，甚至Google给我发邮件说"Increase in “404” pages on http://orczhou.com/"：

于是，打算探究一下原因。

初步探索

首先，先看了一下MySQL中有没有慢查询，简单的通过show processlist确认了在出现问题的时候是没有什么慢SQL。

接着去看，httpd的错误日志，错误日志啥都没有。

想想，再看看access log吧，看看有没有什么收获。果然，这里发现了一些异常的日志：

....... 31.184.195.26 - - [17/Apr/2016:03:17:28 +0000] "POST /xmlrpc.php HTTP/1.0" 200 435 185.106.92.160 - - [17/Apr/2016:03:17:32 +0000] "POST /xmlrpc.php HTTP/1.0" 200 435 31.184.195.26 - - [17/Apr/2016:03:17:43 +0000] "POST /xmlrpc.php HTTP/1.0" 200 435 185.106.92.160 - - [17/Apr/2016:03:17:49 +0000] "POST /xmlrpc.php HTTP/1.0" 200 435 .......

量化一下，看看有多少到xmlrpc.php的访问，用了如下两个命令：

grep "xmlrpc.php" orczhou.com-access_log|awk '{print $1}' orczhou.com-access_log|/ sort|uniq -c|sort -k 1 -n|tail -n 20 ...... awk '{print $1}' orczhou.com-access_log|sort|uniq -c|sort -k 1 -n|tail -n 20|/ awk '{print $2}'|xargs -n 1 -I {} grep -m 1 {} orczhou.com-access_log ......

输出如下：

[root@orczhou logs]# grep "xmlrpc.php" orczhou.com-access_log|awk '{print $1}' orczhou.com-access_log|sort|uniq -c|sort -k 1 -n|tail -n 20 ....... 4772 199.15.233.162 5050 185.106.92.160 6002 185.106.92.55 8698 49.65.243.27 9988 31.184.195.26 11278 ::1 11368 185.103.252.172 17312 89.248.167.131 [root@orczhou logs]# awk '{print $1}' orczhou.com-access_log|sort|uniq -c|sort -k 1 -n|tail -n 20|awk '{print $2}'|xargs -n 1 -I {} grep -m 1 {} orczhou.com-access_log ...... 199.15.233.162 - - [10/Apr/2016:05:16:19 +0000] "GET /index.php/2011/09/thanks-percona-response-time-distribution/comment-page-1/ HTTP/1.0" 200 35571 185.106.92.160 - - [10/Apr/2016:03:19:42 +0000] "POST /xmlrpc.php HTTP/1.0" 200 370 185.106.92.55 - - [12/Apr/2016:23:38:17 +0000] "POST /xmlrpc.php HTTP/1.0" 200 370 49.65.243.27 - - [10/Apr/2016:03:19:02 +0000] "GET /index.php/2012/11/more-about-mysql-item/comment-page-1/ HTTP/1.1" 200 41404 31.184.195.26 - - [10/Apr/2016:03:19:10 +0000] "POST /xmlrpc.php HTTP/1.0" 200 370 ::1 - - [10/Apr/2016:03:19:04 +0000] "OPTIONS * HTTP/1.0" 200 - 185.103.252.172 - - [12/Apr/2016:16:33:40 +0000] "POST /xmlrpc.php HTTP/1.0" 200 370 89.248.167.131 - - [12/Apr/2016:19:06:23 +0000] "GET /xmlrpc.php HTTP/1.1" 405 42

可以看到有大量POST和GET到xmlprc的请求。

到这里，大概知道问题出在了xmlrpc.php，但是具体是什么情况还不知道。于是，进一步深入，看看到底给xmlrpc发送了什么请求。

深入调查

为了看到POST表单的内容，需要开启mod_dumpio模块，该模块配置参考： Apache Module mod_dumpio 。我在httpd.conf的配置文件中新增了如下内容：

...... LoadModule dumpio_module modules/mod_dumpio.so ...... <VirtualHost *:80> ....... DumpIOInput On DumpIOOutput On LogLevel debug DumpIOLogLevel debug ....... </VirtualHost>

重启httpd，于是在错误日志中就可以查看到POST的内容了：

[Wed Apr 13 08:48:05 2016] [debug] mod_dumpio.c(74): mod_dumpio: dumpio_in (data-HEAP): <?xmlversion="1.0"?><meth <methodName>pingback.ping</methodName> <params> <param><value><string>http://crystalweb.co.za</string></value></param> <param> <value><string>http://www.orczhou.com/index.php/2015/03/glance-amazon-rds-pricing/</stri </params> </methodCall>

可以看到，这里客户端发送了一个pingback请求。源地址是http://crystalweb.co.za，目标地址是我的一篇博客内容。

确认问题

为什么会有大量这样的请求？追踪到这里，问题就比较明了了。在Google上一搜索，"wordpress xmlrpc pingback"，第一个结果： WordPress XML-RPC PingBack Vulnerability Analysis 较为细致了描述这种利用Wordpress进行DDos攻击的方法。

这里对这样问题大致描述如下：攻击者利用WordPress的XML-RPC PingBack功能，向一个第三方博客X(可以是任何一个Wordpress博客)发送一个PingBack，告诉博客X说："喂，博客X，网页Y引用了你这篇文章"。这时，博客X会尝试去检查网页Y的内容，看看是不是真的引用了这篇文章。如果真的引用了，那么，Wordpress会在这篇博客的留言处，给出这个链接引用。如果没有引用，则返回一个错误。如果攻击者通过向大量博客发送类似的请求，就可以构成一个对网页Y的攻击。

根据这篇文章的数据，在2014年就已经有16万博客被攻击者利用进行DDos攻击。

关于Wordpress的Pingback功能

这里不打算详细介绍Pingback功能，如果感兴趣可以通过如下链接去了解：