WordPress站点被黑客利用pingback进行CC攻击排查_配置方法_关闭配置教程
很多WordPress站长发现服务器负载突然升高，查看日志发现xmlrpc.php被大量POST请求访问，这很可能是网站被利用进行pingback攻击。更严重的情况是收到服务器商或云服务商的投诉，说你的服务器在对外攻击，甚至直接关停服务器。这时候需要立即采取措施，禁用pingback功能，阻断攻击通道。
一旦确认被利用，需要立即采取应急措施。第一步是临时禁用xmlrpc.php，通过.htaccess或Nginx配置拒绝所有对xmlrpc.php的访问。第二步是分析日志中的攻击来源IP，使用防火墙或Fail2ban封禁这些IP。第三步是联系服务器商说明情况，避免服务器被关停。第四步是检查网站是否存在其他被入侵的迹象，因为攻击者可能在利用pingback的同时已经上传了后门。
第四种是通过functions.php添加代码禁用。在主题的functions.php中添加：add_filter('xmlrpc_enabled', '__return_false'); 这会禁用XML-RPC的认证方法，但pingback.ping方法仍然可用，所以不够彻底。更全面的代码是：add_filter('wp_xmlrpc_server_class', function() { return 'wp_xmlrpc_server_disabled'; }); 或者直接移除pingback相关的action。推荐使用服务器层面的禁用方式，代码方式作为补充。
禁用WordPress pingback功能有多种方法，推荐组合使用。第一种是在WordPress后台设置：进入设置-讨论，取消勾选"接收来自外部博客的引用通告（pingback和trackback）"和"允许向新文章发送链接通知（pingback和trackback）"。这种方法禁用了pingback功能，但xmlrpc.php文件仍然可以被访问，攻击者可能利用xmlrpc的其他功能。
SEO方面，禁用pingback不会影响搜索引擎收录和排名。pingback是博客间的引用通知功能，与搜索引擎无关。相反，网站被利用进行攻击导致服务器不稳定或被关停，才会严重影响SEO。有些SEO插件会生成sitemap和提交搜索引擎，这些功能不依赖XML-RPC，可以正常使用。
站长反馈：网站突然被服务器商通知在对外攻击，排查后发现是xmlrpc.php被利用进行pingback攻击。在.htaccess中禁用xmlrpc.php后，攻击请求立即停止，服务器负载恢复正常。后来检查发现这个功能从来没用过，白白承担了安全风险。
安全提示：WordPress的xmlrpc.php历史上出现过多个安全漏洞，包括爆破漏洞、SSRF漏洞等。即使不担心被利用进行DDoS攻击，从安全角度也建议禁用XML-RPC，改用更安全的REST API。
更新时间：2026-08-26 21:56:16
上一篇：虚拟主机被扫描出恶意代码_防止黑客二次进入_数据恢复与安全加固全流程