wordpress的xmlrpc.php被恶意暴力破解登录攻击

本站开了错误账号密码登录邮件提醒功能，昨天和今天，邮件又一次暴了。。。奇怪了，修改了wp-login.php路径，怎么还有账号登录呢？

于是登录空间后台查看log日志文件，问题就明白了。。。

186.216.205.28 – – [04/Aug/2016:01:06:59 +0800] “POST /xmlrpc.php HTTP/1.1” 200 402 “-”
“Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.1”

问题就出在xmlrpc.php，wordpress默认xmlrpc.php是开启状态。

解决方法：

1.删除或者重命名根目录下的xmlrpc.php

2.屏蔽 XML-RPC (pingback) 的功能，XML-RPC是通过HTTP方法进行远程调用的。

add_filter(‘xmlrpc_enabled’, ‘__return_false’);