WordPress防暴力破解，屏蔽xmlrpc

WordPress的网站上线一段时间后，莫名其妙的会服务器CPU升高导致死机，重启后又正常了，但没过多久又会CPU升高。一开始是怀疑搜索引擎爬虫导致服务器压力大，但后来看了网站日志，发现xmlrpc.php和wp-cron.php的访问有大量的外国IP，这才知道有黑客在攻击，暴力破解。

发现网站被暴力破解，于是安装WPS Hide Login插件把登录地址改成黑客猜不到的地址，不登录的情况下访问wp-admin就成了404，然后安装Disable XML-RPC-API，把xmlrpc屏蔽了。

屏蔽了xmlrpc之后，访问xmlrpc.php显示的是“Access to XML-RPC is disabled by site admin!”，说明屏蔽成功了。

接下来的几天，服务器没有再死机了。

如果在您的站点上启用了XML-RPC，则黑客可能会利用xmlrpc.php在短时间内向您的站点发送大量pingback，从而在您的站点上发起DDoS攻击。这可能会使服务器超载，并使站点无法正常运行，所以屏蔽它就很有必要。