Pengalaman Saya Soal xmlrpc: Tools Bruteforce WordPress yang Ganas

Halo sobat, balik lagi nih. Kali ini saya mau cerita soal xmlrpc, tools yang sering dipake buat bruteforce login WordPress.

Jujur, awalnya saya juga gak tahu soal ini. Tapi setelah punya website WordPress dan mulai belajar soal keamanan, saya baru sadar betapa bahayanya xmlrpc kalau jatuh ke tangan yang salah.

Yuk, simak pengalaman dan penjelasan saya.

Awal Mula Saya Tahu Soal xmlrpc

Dulu saya punya website WordPress biasa aja. Saya pikir keamanannya udah cukup dengan pake password yang kuat. Eh, tapi suatu hari saya liat log aktivitas di hosting.

Ada ribuan percobaan login dalam waktu singkat. Saya kaget sobat. Saya pikir itu serangan biasa dari halaman login wp-admin.

Tapi ternyata bukan.

Setelah saya cek lebih dalam, sumber serangannya bukan dari wp-login.php. Tapi dari xmlrpc.php. Saya baru tahu kalau file ini bisa disalahgunakan buat bruteforce login tanpa ketahuan.

xmlrpc Itu Apa Sih?

Sobat, xmlrpc itu sebenernya fitur bawaan WordPress. Fungsinya baik. Dulu dipake buat koneksi antar aplikasi, kayak buat posting artikel dari ponsel atau dari aplikasi third-party.

Tapi masalahnya, fitur ini bisa dipake buat hal yang gak baik.

Hacker bisa pake xmlrpc buat nebak-nebak username dan password dengan cara brute force. Mereka kirim banyak permintaan login lewat xmlrpc, dan karena prosesnya cepat, mereka bisa cobain ribuan kombinasi password dalam waktu singkat.

Cara Kerja Bruteforce Lewat xmlrpc

Saya jelasin sederhananya ya sobat.

Biasanya kalau hacker mau bruteforce login, mereka harus buka halaman wp-login.php dan cobain satu per satu. Itu lama dan gampang ketahuan.

Tapi lewat xmlrpc, mereka bisa ngirim banyak percobaan login dalam satu request. Contoh kodenya kayak gini:

xml

<methodCall>
  <methodName>wp.getUsersBlogs</methodName>
  <params>
    <param><value>admin</value></param>
    <param><value>password123</value></param>
  </params>
</methodCall>

Dalam satu detik, hacker bisa cobain ratusan kombinasi password. Dan yang lebih parah, serangan ini gak keliatan di log login biasakarena gak lewat halaman login WordPress.

Pengalaman Saya Nemuin Serangan xmlrpc di Website

Jadi ceritanya waktu itu, website saya tiba-tiba lemot banget sobat. Loading lama, kadang error 500.

Saya cek ke panel hosting, ternyata resource CPU naik drastis. Saya bingung, padahal traffic biasa aja.

Saya buka log akses. Saya liat ada banyak request ke xmlrpc.php dari IP yang sama. Ribuan request dalam hitungan menit.

Saat itu saya panik. Saya pikir website saya kena hack. Tapi untungnya password saya kuat, jadi gak ketebak. Tapi serangan ini bikin website saya lemot dan hampir down.

Tanda-Tanda Website Kena Serangan xmlrpc

Dari pengalaman saya, ini tanda-tanda kalau website WordPress lagi kena serangan bruteforce lewat xmlrpc:

Website tiba-tiba lemot tanpa sebab yang jelas.

CPU hosting naik drastis padahal traffic biasa aja.

Ada ribuan request ke xmlrpc.php di log akses.

Kadang muncul error 503 karena server kewalahan.

IP yang sama mencoba akses xmlrpc berkali-kali.

Kalau sobat nemuin tanda-tanda di atas, waspadalah. Bisa jadi website kalian lagi diserang.

Kenapa xmlrpc Masih Ganas Sampai Sekarang?

Sobat, meskipun xmlrpc udah ada dari jaman dulu, sampai sekarang masih banyak website yang gak ngamankan file ini. Kenapa?

Pertama, banyak pemilik website yang gak tahu soal xmlrpc. Mereka gak sadar kalau file ini bisa disalahgunakan.

Kedua, beberapa plugin atau tema masih bergantung sama xmlrpc. Jadi kalau dimatiin, ada fitur yang bisa rusak.

Ketiga, hacker terus nyari website yang masih punya xmlrpc aktif. Dan percaya deh, masih banyak banget.

Makanya tools ini masih ganas sobat. Jangan anggap remeh.

Cara Antisipasi Agar Website Aman dari Serangan xmlrpc

Nah ini yang paling penting. Saya kasih tau cara antisipasi biar website WordPress kalian aman dari serangan bruteforce lewat xmlrpc.

Cara 1: Matikan xmlrpc sepenuhnya

Kalau sobat gak butuh fitur remote publishing (posting dari ponsel atau aplikasi), mending matiin aja. Bisa pake plugin seperti Disable XML-RPC atau Wordfence.

Cara 2: Batasi akses ke xmlrpc

Kalau sobat masih butuh xmlrpc, batasi aksesnya. Misalnya cuma dari IP tertentu. Bisa diatur lewat file .htaccess atau panel hosting.

Contoh kode buat .htaccess:

apache

<Files xmlrpc.php>
    Require ip 123.456.789.0
    Deny from all
</Files>

Cara 3: Pake plugin keamanan

Plugin kayak Wordfence atau iThemes Securitypunya fitur buat matiin xmlrpc atau batasin aksesnya. Gampang banget tinggal centang-centang.

Cara 4: Pake login protection

Pasang limit percobaan login. Jadi kalau ada yang gagal login berkali-kali, IP-nya bakal diblokir sementara.

Cara 5: Pake password yang kuat

Ini dasar sobat. Jangan pake password kayak admin123 atau password. Pake kombinasi huruf besar, kecil, angka, dan simbol.

Langkah Praktis Yang Saya Lakukan

Dari pengalaman saya, ini langkah praktis yang saya terapin biar website aman:

Pertama, saya matiin xmlrpc pake plugin Wordfence. Gampang, tinggal centang.

Kedua, saya pasang limit login. Maksimal 5 kali percobaan, kalau gagal, IP diblokir 1 jam.

Ketiga, saya ganti semua password admin dan user jadi super kuat. Saya pake password manager biar gak lupa.

Keempat, saya pantau log akses secara rutin. Kalau ada yang aneh, langsung saya blokir.

Kelima, saya aktifkan notifikasi kalau ada percobaan login mencurigakan.

Sejak saya terapin langkah-langkah ini, gak pernah lagi ada serangan bruteforce lewat xmlrpc yang berhasil sobat.

Apakah Matiin xmlrpc Berbahaya Buat Website?

Tenang sobat. Matiin xmlrpc umumnya aman.Yang bakal kehilangan fitur biasanya cuma:

Posting artikel dari ponsel (pake WordPress app)
Pingback dari blog lain
Beberapa plugin tertentu yang masih butuh xmlrpc

Tapi untuk website biasa yang cuma posting dari komputer, gak ada efeknya sama sekali. Jadi santai aja.

Kesimpulan Dari Pengalaman Saya

xmlrpc itu berguna, tapi juga berbahaya kalau gak diamankan. Hacker bisa pake tools ini buat bruteforce login WordPress dengan cepat dan diam-diam.

Dari pengalaman saya, cara terbaik adalah matiin xmlrpc kalau gak butuh. Atau batasi aksesnya cuma dari IP tertentu.

Jangan tunggu website kalian kena serangan dulu baru bertindak. Mending cegah dari sekarang sobat. Gratis, gampang, dan nyawa website kalian lebih aman.

Penutup

Nah, itu dia pengalaman saya soal xmlrpc: tools bruteforce login WordPress yang masih ganas.

Semoga cerita dan tips ini berguna buat kalian yang punya website WordPress. Jangan sampai website kesayangan kalian kena serangan hanya karena lupa ngamankan file xmlrpc.

Kalau ada yang mau ditanyain atau butuh bantuan ngamankan website, tulis aja di kolom komentar ya sobat.

Terima kasih udah baca. Sehat selalu, tetap jaga keamanan website, dan sampai jumpa di artikel berikutnya.

Pengalaman Saya Soal xmlrpc – Tools Bruteforce Login WordPress yang Masih Ganas