我们都知道xmlrpc.php文件位于网站根目录下，其实我对这个文件一直没有放在心上，认为我的网站放在了阿里云，又加了服务器安全防护，况且WP团队早就解决了漏洞，不过确实存在一种另类的wordpress暴力特别攻击，估计利用xmlrpc.php文件来绕过wordpress后台的登录错误限制进行爆破。
阿里云给出的提示：文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html
匹配内容:
查询到DNS请求: n16h2v.s0x.cn，说明漏洞存在文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html造成的影响
1、可以对业务内网进行探测。
2、攻击运行在内网或本地的应用程序（比如溢出攻击）。
3、利用file协议读取本地文件等。文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html安全建议
通过.htaccess屏蔽xmlrpc.php文件的访问
# protect xmlrpc文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.htmlOrder Deny,Allow
Deny from all文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html删除根目录下的xmlrpc.php。文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html
但是使用离线发布文章就不能删除xmlrpc.php文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html
文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html
如果不使用离线发布文章，可以直接删掉xmlrpc.php这个文件，但是每次升级wordpress这个文件又会回来。彻底解决问题的办法，可以考虑通过APACHE的.htaccess屏蔽xmlrpc.php文件的访问。配置代码如下：文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html
# protect xmlrpc
<Files "xmlrpc.php">
Order Allow,Deny
Deny from all
</Files>文章源自：https://www.tuzier.com/生活小百科-https://www.tuzier.com/life/207.html
没有人能再访问xmlrpc.php这个文件，也就没有人再能够用用这个文件来攻击你的网站了。限制xmlrpc.php文件还有一些其它的方法，比如在functions.php里面增加一段代码来关闭也是可以的，方法很简单。