En el directorio ra\u00edz de cada sitio de WordPress hay un archivo m\u00e1s antiguo que el propio WordPress: xmlrpc.php, que durante los d\u00edas b2 se cre\u00f3 para ofrecer a los sitios una forma de comunicarse entre s\u00ed y para que otras aplicaciones se comunicasen con el blog.<\/p>\n\n\n\n
El nombre te dice todo lo que necesitas saber sobre la funcionalidad.<\/p>\n\n\n\n
XML<\/strong>: se dise\u00f1\u00f3 para aceptar cargas \u00fatiles en XML. JSON es hoy en d\u00eda un formato mucho m\u00e1s com\u00fan. XMLRPC es bastante anterior a JSON.<\/p>\n\n\n\n RPC<\/strong>: RPC significa llamada a procedimiento remoto (Remote Procedure Call). Era un est\u00e1ndar por el cual un sistema pod\u00eda pedir a otro sistema que hiciera algo. Ahora usamos API-REST o Graph API – para hacer lo mismo, pero antes de que existieran, RPC era una de las herramientas disponibles.<\/p>\n\n\n\n Para hacer que XMLRPC.php hiciera algo, ten\u00edas que enviarle (POST) un mensaje. Si no est\u00e1s familiarizado con el funcionamiento de los navegadores, esto es b\u00e1sicamente como hacer clic en el bot\u00f3n “Enviar” en un formulario. Eso suele iniciar una solicitud POST.<\/p>\n\n\n\n Si realizas una solicitud POST a tudominio.tld\/xmlrpc.php y le entregas una carga \u00fatil XML con el formato adecuado, puedes hacer cosas como crear una publicaci\u00f3n en tu web.<\/p>\n\n\n\n Una de las cosas para las que XMLRPC se utiliz\u00f3 mucho en su d\u00eda fueron los “pingbacks”. Esos comentarios que ves en publicaciones que muestran que alguien m\u00e1s lo enlaz\u00f3 desde su blog.<\/p>\n\n\n\n Durante mucho tiempo, XMLRPC fue una herramienta \u00fatil. Ahora toda la funcionalidad para la que se usaba XMLRPC se maneja mediante la API REST, ya incorporada. Aunque ya no se use, es una funci\u00f3n todav\u00eda activa y a aquellos que sienten nostalgia por tales cosas, les causa una sonrisa. Sin embargo los que est\u00e1n preocupados por la seguridad, lo ven y fruncen el ce\u00f1o.<\/p>\n\n\n\n La presencia de XMLRPC representa varios riesgos de seguridad para sitios WordPress que pueden llegar a convertirse en ataques severos.<\/p>\n\n\n\n El primer tipo de ataque XMLRPC de WordPress es un simple ataque de fuerza bruta. Dado que parte de la carga \u00fatil XML que se pasa a WordPress es el nombre de usuario y la contrase\u00f1a del usuario que desea realizar la acci\u00f3n, es una manera f\u00e1cil para que los atacantes prueben combinaciones de nombre de usuario y contrase\u00f1a hasta que encuentren una que funcione. Muchos propietarios de sitios preocupados por la seguridad limitar\u00e1n la cantidad de intentos de inicio de sesi\u00f3n que un usuario puede realizar antes de bloquearlos, pero no se molestar\u00e1n en bloquear las solicitudes XMLRPC, lo que dejar\u00e1 una puerta trasera abierta para que los atacantes intenten encontrar una entrada.<\/p>\n\n\n\n Una vez que un atacante encuentra las credenciales que funcionan, puede intentar da\u00f1ar tu sitio inyectando contenido en la base de datos del mismo. Ya sean publicaciones, p\u00e1ginas o solo comentarios, el resultado final es el mismo: tu sitio ofrece contenido que no aprobaste y que probablemente no deseas. No obstante, en el peor de los casos, podr\u00edan ser publicaciones o comentarios inocuos que tengan malware inyectado.<\/p>\n\n\n\n Otro de los beneficios de XMLRPC fue la habilitaci\u00f3n de pingbacks. Los ciberdelincuentes pueden usarlo para bloquear tu servidor emitiendo muchas solicitudes pesadas a la vez.<\/p>\n\n\n\n Un pingback escribe un registro en tu base de datos, y escribir en tu base de datos es una tarea costosa en cuanto a recursos. Si bien un solo pingback no perjudicar\u00eda el rendimiento de tu sitio, cientos o incluso miles de ellos a la vez pueden poner de rodillas incluso al servidor m\u00e1s robusto.<\/p>\n\n\n\n Esto se denomina ataque DDos o de denegaci\u00f3n de servicio distribuido. Distribuido porque normalmente no es una sola m\u00e1quina la que realiza todas las solicitudes, normalmente son un gran n\u00famero de m\u00e1quinas repartidas por diferentes lugares.<\/p>\n\n\n\n [subscribe_cta]<\/p>\n\n\n\n Hay varias formas de deshabilitar XMLRPC. Te recomiendo que lo hagas porque sinceramente, no lo necesitas.<\/p>\n\n\n\n<\/span>\u00bfC\u00f3mo funciona XMLRPC?<\/strong><\/span><\/h2>\n\n\n\n
<\/span>Amenazas potenciales de seguridad del XMLRPC de WordPress<\/strong><\/span><\/h2>\n\n\n\n
<\/span>C\u00f3mo deshabilitar XMLRPC en WordPress<\/strong><\/span><\/h2>\n\n\n\n