WordPress XML-RPC হলো WordPress CMS-এ বিল্ট-ইন একটি পুরনো ফাংশনালিটি। এটি একটি WordPress সাইট এবং অন্যান্য ওয়েব বা মোবাইল টেকনোলজির মধ্যে যোগাযোগ стандар্ডাইজ করার একটি উপায়। আপনি যদি WordPress ব্যবহারকারী হন, এই টিউটোরিয়াল আপনাকে XML-RPC কী এবং কেন এটি নিষ্ক্রিয় করা আপনার সুরক্ষার জন্য ভালো সেটি বলবে।
XML-RPC কীভাবে কাজ করে
আপনার WordPress ওয়েবসাইট ওয়েবে কাজ করার জন্য ডিজাইন করা। এটি HTML, CSS, এবং PHP-এর মতো মূল ওয়েব টেকনোলজি ব্যবহার করে। এই সব ফাইল আপনার হোস্টিং সার্ভারের ফোল্ডারগুলিতে সুন্দরভাবে সাজানো থাকে।
যখন একজন ভিজিটর আপনার ডোমেইন নাম বা এর যেকোনো ভেরিয়েশনে ক্লিক করে, তারা আপনার ওয়েবপেজে ল্যান্ড করে। যেসpecific ফোল্ডারে তাদের প্রয়োজনীয় তথ্য থাকে সেটি তাদের ব্রাউজারে ডাউনলোড হয়। এখন ব্রাউজার এই তথ্য ইন্টারপ্রেট করে তাদের দেখায়।
কিন্তু আপনি যদি ব্রাউজার ব্যবহার না করে আপনার ওয়েবসাইট অ্যাক্সেস করতে চান? কি হয় যদি আপনি কাস্টম অ্যাডমিন সফটওয়্যার বা এমনকি মোবাইল অ্যাপ্লিকেশন থেকে অ্যাক্সেস করতে চান?
WordPress XML-RPC এই সমস্যা সমাধান করে।
XML-RPC হলো একটি API যা আবশ্যক তথ্য একটি সিম্পল XML ফাইলে মোড়ায় এবং মোবাইল অ্যাপ বা রিমোট সফটওয়্যারে পাঠায়। মোবাইল অ্যাপ্লিকেশন তার নিজস্ব প্রিকনফিগারড ডিজাইন দিয়ে এই তথ্য ফুলায়। এই কেসে মোবাইল অ্যাপ আর উক্ত ওয়েবপেজ ফাইল ডাউনলোড করতে হয় না, এবং আপনি একদম সুন্দর একটি অ্যাপে আপনার ডেটা অ্যাক্সেস করতে পারেন।
যত ভালো লাগে, একমাত্র সমস্যা হলো XML-RPC-র মাধ্যমে অথেন্টিকেট করার জন্য আপনাকে প্রতি বার আপনার ইউজারনেম এবং পাসওয়ার্ড পাঠাতে হয়। এটা এটিকে হ্যাকারের আক্রমণের জন্য খুব আতঙ্কিত করে তোলে।
XML-RPC আপনাকে কীভাবে আতঙ্কিত করে
XML-RPC কমপক্ষে দুটি পথে আপনার সাইটকে আক্রমণের জন্য আতঙ্কিত করে: ব্রুট ফোর্স আক্রমণ এবং লগইন ক্রেডেনশিয়াল চুরি।
১. ব্রুট ফোর্স আক্রমণ
আক্রমণকারীরা ব্রুট ফোর্স আক্রমণ ব্যবহার করে আপনার ওয়েবসایت সংক্রামিত করার চেষ্টা করে।
ব্রুট ফোর্স আক্রমণ মাত্র একটি অনুমানের খেলা। আক্রমণকারী বারবার আপনার পাসওয়ার্ড অনুমান করতে চেষ্টা করে যতক্ষণ না সফল হয়।
এটি প্রতি সেকেন্ডে হাজার হাজার বার ঘটে যাতে সে কম সময়ে মিলিয়ন মিলিয়ন কম্বিনেশন চেষ্টা করতে পারে।
একটি WordPress সাইটে আপনি সহজে ব্রুট ফোর্স আক্রমণ লিমিট করতে পারেন লগইন অ্যাটেম্প্ট ক্যাপ করে। কিন্তু XML-RPC-র সমস্যা হলো এটি আপনার সাইটে লগইন অ্যাটেম্প্ট ক্যাপ করে না।
একজন আক্রমণকারী আপনার সার্ভারকে ব্লফ দিয়ে যে সে একটি অ্যাডমিন যিনি কিছু তথ্য রিট্রিভ করতে চান, সেটি মনে করিয়ে অনুমান চালাতে থাকতে পারেন। এবং যেহেতু তাদের সঠিক ক্রেডেনশিয়াল নেই, তারা এখনো আপনার সাইট অ্যাক্সেস করতে পারছে না, তাই সীমাহীনভাবে চেষ্টা চালিয়ে যান।
যেহেতু ট্রায়ালের সংখ্যার কোনো লিমিট নেই, এটা কেবল সময়ের কথা যেন তারা অ্যাক্সেস পায়। এই পথে একজন হ্যাকার XML-RPC DDOS আক্রমণও চালাতে পারে (XML-RPC-তে "পিংব্যাক" রিকোয়েস্টের তরঙ্গ পাঠিয়ে সার্ভার ওভারলোড ও ক্র্যাশ করে)।
২. লগইন ইনফরমেশন ইন্টারসেপ্ট/চুরি
XML-RPC-র আরেকটি দুর্বলতা হলো অকার্যকর অথেন্টিকেশন সিস্টেম। আপনার ওয়েবসাইট অ্যাক্সেস করার জন্য রিকোয়েস্ট পাঠানোর প্রতিবার আপনাকে আপনার লগইন ক্রেডেনশিয়ালও জমা দিতে হয়। এর মানে আপনার ইউজারনেম এবং পাসওয়ার্ড এক্সপোজড থাকে।
হ্যাকাররা এই ইনফরমেশন প্যাকেট ইন্টারসেপ্ট করার জন্য কোণে কোণে দাঁড়িয়ে থাকতে পারে। একবার সফল হলে, তাদের আর ব্রুট ফোর্স আক্রমণের কষ্ট করতে হয় না। তারা সহজেই আপনার বৈধ ক্রেডেনশিয়াল দিয়ে আপনার ওয়েবসাইটে ঢুকতে পারে।
কি আমাকে WordPress-এ XML-RPC নিষ্ক্রিয় করা উচিত?
WordPress ভার্সন ৩.৫ থেকে XML-RPC কোডে так mejora হয়েছে যে WordPress تیم এটিকে ডিফল্টভাবে সক্রিয় রাখতে ভালো মনে করল। আপনি যদি মোবাইল অ্যাপ বা রিমোট সফটওয়্যারের মাধ্যমে আপনার WordPress সাইট ম্যানেজ করতে নির্ভরশীল হন, তবে আপনার সম্ভবত XML-RPC নিষ্ক্রিয় করা উচিত নয়।
আপনি যদি আপনার সার্ভারের সিকিউরিটি সম্পর্কে খুব সচেতন হন, তবে এটি নিষ্ক্রিয় করা ভালো হতে পারে কারণ এটি হ্যাকাররা আপনার সাইটে আক্রমণ করার একটি সম্ভাব্য পথ বন্ধ করে দেয়।
WordPress-এ XML-RPC নিষ্ক্রিয় করার পদ্ধতি
XML-RPC WordPress-এ ডিফল্টভাবে সক্রিয় থাকে, কিন্তু এটি নিষ্ক্রিয় করার বেশ কিছু উপায় আছে।
নোট: আপনি যদি জনপ্রিয় JetPack প্লাগইন ব্যবহার করেন, তবে আপনি XML-RPC নিষ্ক্রিয় করতে পারবেন না, কারণ Jetpack সার্ভারের সাথে যোগাযোগের জন্য এটি আবশ্যক। এছাড়া XML-RPC নিষ্ক্রিয় করার আগে নিশ্চিত হোন যে আপনার কোনো প্লাগইন বা থিম এটি ব্যবহার করছে না।
XML-RPC নিষ্ক্রিয় করা
১. আপনার থিম ফোল্ডার লোকেট করুন (সাধারণত "wp-content/themes/"-এ), এবং "functions.php" ফাইলটি খুলুন।
২. ফাইলের শেষে নিচের কোড পেস্ট করুন:
// Disable use XML-RPC add_filter( 'xmlrpc_enabled', '__return_false' );
"functions.php" ফাইলটি সেভ করুন। এটি WordPress-এ XML-RPC ফাংশনালিটি বন্ধ করবে। মনে রাখবেন এই মেথড শুধু XML-RPC নিষ্ক্রিয় করে, কিন্তু xmlrpc.php ফাইল থাকায় হ্যাকার আক্রমণ থামায় না।
XML-RPC ফাইলে অ্যাক্সেস ব্লক করা
হ্যাকারদের আক্রমণ থেকে বাঁচানোর সবচেয়ে ভালো উপায় হলো xmlrpc ফাইলে অ্যাক্সেস ব্লক করা।
Apache সার্ভার
আপনার WordPress সাইট যদি Apache সার্ভারে রান করে (আপনার WordPress ইনস্টলেশন ফোল্ডারে ".htaccess" ফাইল দেখলে আপনি নিশ্চিত হতে পারেন যে আপনার সাইট Apache-তে হোস্ট করা), এই ধাপগুলো ফলো করুন।
১. আপনার CPanel-এ লগইন করুন। File Manager খুঁজুন।
২. File Manager খুলুন। "public_html" ফোল্ডারে যান এবং ".htaccess" ডকুমেন্ট খুলুন।
৩. রাইট-ক্লিক করে ফাইলটি এডিট করুন।
৪. ফাইলের নিচে নিচের কোড পেস্ট করুন:
# Disallow all WordPress xmlrpc.php requests to this domain <Files xmlrpc.php> order deny,allow deny from all </Files>
৫. সেভ করুন এবং বেরিয়ে আসুন।
Nginx সার্ভার
Nginx সার্ভারের জন্য, আপনার সার্ভার কনফিগ ফাইলে নিচের কোড পেস্ট করুন:
# nginx block xmlrpc.php requests location /xmlrpc.php { deny all; } এখন আপনার সাইট আক্রমণ থেকে সুরক্ষিত।
উপসংহারে
ব্রুট ফোর্স আক্রমণ এবং ডেটা চুরি সাইট মালিকদের জন্য সমস্যা তৈরি করতে থাকবে। আপনার সাইট সুরক্ষিত রাখা আপনার দায়িত্ব। XML-RPC নিষ্ক্রিয় করা এজন্য একটি কার্যকর উপায়। উপরের গাইড ফলো করুন, এবং আজই আপনার ওয়েবসাইট ও ভিজিটরদের হ্যাকারদের হাত থেকে রক্ষা করুন।
