PUBLIPRENEUR POLIMEDIA: JURNAL ILMIAH JURUSAN PENERBITAN
POLITEKNIK NEGERI MEDIA KREATIF
Vol.
No.
2, 2025 hal.
Submitted: 1 Nov 2025 Revised: 1 Des 2025 Accepted: 15 Des 2025 BRUTEFORCE ATTACK ANALYSIS VIA XMLRPC.
PHP FILE ON
WORDPRESS
Yusuf Nurrachman,ST.
1*,R.
Sulistiyo Wibowo.
Sn.
,M.
Sn2.
Nofiandri Setyasmara.
T3.
1 (Politeknik Negeri Media Kreatif.
2 (Politeknik Negeri Media Kreatif.
3 (Politeknik Negeri Media Kreatif.
E-mail: yusuf@polimedia.
id1, sulistiyo@polimedia.
id2 , nofiandri@polimedia.
ABSTRACT
WordPress provides an XML-RPC feature through the xmlrpc.
php file for external However, this filter is often exploited as a brute-force attack vulnerability because it supports system.
multicall, which allows multiple login attempts in a single This study analyzed brute-force attacks against xmlrpc.
php through simulations in a local environment using WPscan and a Python script called lokoscannerX_ver1.
Testing was conducted using two scenarios: WordPress without security and WordPress with security using the Disable XML-RPC plugin and .
htaccess file configuration.
The results showed that WordPress without security was easily attacked and overloaded the virtual server on the test environment.
Meanwhile, after implementing the Disable XML-RPC plugin, attacks were blocked and prevented, while the .
htaccess configuration only blocked execution but still allowed user information to be This study emphasizes the importance of disabling XML-RPC as a basic WordPress security measure.
Keyword: WordPress.
XML-RPC, brute force, cybersecurity ANALISIS SERANGAN BRUTEFORCE MELALUI FILE XMLRPC.
PHP PADA WORDPRESS
ABSTRAK
Wordpress menyediakan fitur XML-RPC melalui file xmlrpc.
php untuk komunikasi eksternal, namun filter ini sering dimanfaatkan sebagai celah serangan bruteforce karena mendukug system.
multicall yang memungkinkan banyak percobaan login dalam sau Penelitian ini menganalisa serangan brute force terhadap xmlrpc.
php melalui simulasi pada lingkungan local menggunakan WPscan dan skrip Python yang diberi nama Pengujian dilakukan dengan dua skenario yaitu wordpress tanpa keamanan dan wordpress dengan pengamanan menggunakan plugin Disable XML-RPC dan konfigurasi file .
htaccess , hasil menunjukkan bahwa wordpress tanpa keamanan dengan mudah diserang dan membebani server virtual pada media uji.
Sementara itu setelah dilakukan metode pengamanan dengan plugin Disable XML-RPC maka serangan dapat diblokir dan sekaligus mencegah serangan, sedangkan konfigurasi .
htaccess hanya memblokir eksekusi tetapi informasi user masih dapat terdeteksi.
Penelitian ini menegaskan pentingnya menonaktifkan XML-RPC sebagai Langkah dasar keamanan wordpress.
Kata kunci: WordPress.
XML-RPC, brute force, keamanan siber.
Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
PENDAHULUAN
Dengan semakin berkembangnya kebutuhan akan website sebagai salah satu media informasi dan kebutuhan akan kecepatan dalam pembuatan website tersebut maka banyak orang, perusahaan dan institusi negara banyak Content Management System / CMS.
CMS adalah aplikasi perangkat lunak berbasis web yang digunakan untuk mengelola informasi digital dengan menyediakan fitur pengelolaan konten, memfasilitasi publikasi secara real-time, salah satu cms yang banyak digunakan adalah Wordpress (WordPress.
), wordpress sangat memudahkan pengguna dalam melakukan instalasi kebutuhan dari pengguna itu sendiri.
Dengan semakin banyaknya pengguna wordpress juga mengakibatkan banyak juga celah (Hasan et al.
, 2.
untuk serangan cyber yang mencoba merusak website yang telah dibuat.
Serangan semakin meningkat dengan adanya serangan judi online yang juga menyasar ke berbagai website yang menggunakan Wordpress(Wordfence.
Berbagai cara serangan dapat dilakukan oleh peretas atau hacker salah satunya berupa exploit dengan memanfaatkan kerentanan file pada website yang dibuat dengan wordpress Brute Force attack,(Wardaya, 2.
yaitu serangan yang ditujukan untuk mendapatkan informasi berupa username dan Wordpress mempunyai sebuah file yang digunakan sebagai komunikasi dengan aplikasi memanfaatkan protokol XML-RPC php, file ini merupakan salah satu celah kerentanan yang dapat dimanfaatkan untuk melakukan Brute Force attack.
(Sucuri, 2023.
Cloudflare.
Kravtsov, 2.
Bahaya dari Brute Force attack ini adalah dapat mengambil alih sistem apabila username dan password dapat di ketahui sehingga penyerang dapat melakukan hal selayaknya sebagai admin system dan ini akan berimbas kepada layanan perusahaan atau institusi tersebut(Wordfence, 2.
, selain itu system juga bisa down karena resource sibuk melayani permintaan atau Distributed Denial Of Service.
(Sucuri, 2023.
Cloudflare, 2.
Untuk mengetahui bagaimana proses exploitasi dengan metode Brute Force pada xmlrpc.
php maka di perlukan sebuah analisa yang dapat memberikan pengetahuan bagaimana proses tersebut berjalan.
Serangan Brute Force tidak dilakukan secara langsung dengan mencoba masuk ke dalam situs website target dengan mencoba mengetikan langsung username dan password secara manual tetapi sudah banyak cara yang dilakukan untuk melakukan hal tersebut secara otomatis username secara bersamaan atau system (Cloudflare, 2015.
Kravtsov, 2.
Berdasarkan hal tersebut maka dalam menganalisis serangan Brute Force pada php pada wordpress dengan melakukan simulasi pola serangan dalam lingkungan lokal sekaligus keamanan cyber / cybersecurity terutama bagi masyarakat umum dan khususnya mahasiswa yang sedang Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
belajar tentang keamanan komputer dan jaringan.
Identifikasi Masalah Celah Kerentanan XML-RPC melalui php yang dapat dimanfaatkan Masih kurangnya edukasi dalam bentuk simulasi untuk memberikan gambaran proses Brute Force attack melalui celah kerentanan xmlrpc.
Batasan Masalah Pada membatasi masalah yaitu akan melakukan analisis dengan melakukan simulasi serangan terhadap XML-RPC melalui file php pada wordpress dalam lingkungan lokal.
Rumusan Masalah Bagaimana menghasilkan analisis serangan melalui xmlrpc.
php dengan melakukan simulasi serangan Brute Force /Brute Force attack ? Pemecahan Masalah Pada penelitian akan dilakukan beberapa simulasi berupa serangan Brute Force dengan menggunakan beberapa tools dengan target website wordpress yang sudah terinstall, dengan tools tersebut akan dianalisis dari beberapa proses yaitu melakukan scanning dan melakukan exploit dalam bentuk Brute Force dan juga melakukan beberapa penerapan keamanan pada wordpress ketika proses simulasi .
Hasil simulasi akan berupa report log dari software yang dikembangkan dalam METODE PENELITIAN Metode digunakan adalah kualitatif dimana pada penelitian ini akan yang simulasi serangan pada wordpress dengan beberapa tahapan dan melakukan pencatatan serta konfigurasi yang dibutuhkan pada software sebagai media penelitian, beberapa tahapan yang akan dilakukan oleh penulis adalah sebagai berikut :
Tahapan Teknis Pada tahapan ini akan di dalam bentuk perangkat lunak seperti :
Virtual Box untuk membuat virtual machine.
Sistem operasi kali linux , xampp sebagai lokal web server, wordpress installer dan skrip program attacker python yang akan dibuat serta wpscan untuk melakukan pemindaian target yang berjalan di kali linux.
Melakukan simulasi serangan ke php dengan beberapa skenario serangan tanpa keamanan dan dengan Non Teknis Untuk mendukung penelitian ini maka dibutuhkan berbagai referensi atau literatur baik buku , jurnal ataupun media online yang berhubungan dengan kerentanan XML-RPC yang php di wordpress.
Perangkat Utama Penelitian Perangkat utama penelitian adalah yang berhubungan dengan software yang di gunakan terutama kebutuhan akan lingkungan percobaan dalam lingkup lokal baik hardware maupun software yang terdiri dari laptop, sistem operasi, server web lokal dan virtual machine serta alat pemindaian yang digunakan untuk melihat kerentanan pada wordpress Perangkat Pendukung Perangkat pendukung adalah perangkat yang digunakan untuk dengan aktifitas yang dilakukan seperti Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
hardware yaitu laptop dan sistem operasi windows , perangkat lunak yang digunakan untuk melakukan bruteforce dibuat dengan bahasa pemrograman python.
Tahapan Penelitian Pada tahapan penelitian penulis melakukan beberapa proses yang dilakukan untuk dapat menghasilkan output yang diinginkan, proses yang dilakukan akan melalui beberapa tahapan seperti pada gambar dibawah Kali Linux versi 2024.
4 merupakan Sistem Operasi yang didalamnya disediakan fasilitas untuk melakukan aktifitas hacking salah satunya yang akan digunakan Adalah wpscan.
Xampp Xampp webserver lokal yang yang terpasang Sistem Operasi Windows menggunakan versi 3.
Wordpress Wordpress yang digunakan pada komputer lokal sebagai target serangan menggunakan versi 6.
Pengembangan Software Pengembangan software untuk melakukan bruteforce attack dengan menggunakan skrip phyton.
Gambar 1.
Alur Kerja Sumber : Pribadi Perencanaan & Persiapan Pada tahapan ini penulis melakukan perencanaan yang harus dilakukan untuk menghasilkan output yang diharapkan dan menganalisa software apa saja yang dibutuhkan.
Instalasi Software yang dibutuhkan untuk melakukan penelitian terdiri dari :
Virtual Box Virtual Box digunakan untuk membuat virtual server yang akan menjalankan sistem operasi kali linux dengan versi 7.
Kali Linux Gambar 2.
Skrip Phyton Sumber : Pribadi Simulasi Serangan Melakukan simulasi serangan ke website target yang telah di pasang pada komputer lokal , melakukan menggunakan wpscan.
(WPScan Team.
Analisis Serangan Menganalisa hasil serangan baik sebelum website target tanpa keamanan maupun setelah diberikan keamanan.
Hasil Akhir Hasil akhir adalah hasil analisa serangan yang telah dilakukan dan bagaimana apabila dilakukan mitigasi Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
terhadap serangan yang dilakukan.
HASIL DAN PEMBAHASAN
Pada hasil penelitian akan di jelaskan beberapa tahapan dan beberapa yang dilakukan untuk menghasilkan proses penyerangan serta output laporan serangan dan Solusi yang dapat dilakukan meminimalisir serangan bruteforce.
Tahapan yang dilakukan :
Tahapan Wordpress tanpa keamanan dengan dua skenario dimana penulis melakukan aktifitas bruteforce setelah melakukan pemindaian dengan menggunakan 2 file yaitu skrip python dan file text sebagai bagian dari serangan yang akan mencocokan dengan password dari database wordpress.
Skenario yang digunakan adalah serangan gagal dan berhasil, dengan dua skenario diharapkan dapat memberikan pemahaman bahwa XML-RPC yang terbuka sebenarnya sudah terbuka peluang untuk mencocokan password pada file text yang dijalankan oleh file Tahapan serangan pada Wordpress dengan keamanan, dan tahapan ini proses yang dilakukan juga sama pada tahapan pertama.
Untuk melakukan penelitian ini penulis telah membuat beberapa file yang digunakan untuk melakukan serangan yang terdiri dari skrip python dengan nama file lokoscannerX_v1.
dan file text yang akan dijalankan untuk mencocokan password pada database wordpress Didalam file python sudah dibuatkan skrip serangan hanya ke user dengan nama admin dan file text dengan nama file passwd.
txt yang berisikan daftar data password serta dan akan menghasilkan output file dengan nama attack_log.
Tujuan penyerangan ini untuk mengetahui username dan password website target yang nantinya dapat digunakan untuk login website Skenario Serangan Pada Wordpress Tanpa Keamanan.
Pada skenario serangan akan melakukan 2 kegiatan yaitu pemindaian ke website target dengan ip lokal yang ada pada komputer penulis dimana web target tanpa ada pengamanan dari segi plugin dan melakukan serangan bruteforce menjalankan file exploitasi python dengan menggunakan 2 skenario serangan yang gagal dan Pemindaian Sebelum penulis melakukan aktifitas pemindaian pada web yang sudah dibuat pada localhost untuk melihat celah yang mungkin ada pada web wordpress yang diinstalasikan dan berfokus pada file php sebagai target serangan.
Pada bagian ini penulis akan melakukan perintah, contoh : wpscan --url https://example.
com , wpscan ini merupakan salah satu alat yang tersedia pada kali linux, dan dijalankan pada Beberapa pemindaian yang dilakukan adalah melihat vulnerability dan user yang ada pada wordpress Pemindaian awal menggunakan format penulisan atau perintah --url Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
http://10.
124/webserangan , ip yang tertera Adalah ip pada jaringan internet yang digunakan oleh penulis.
Sumber : Pribadi Pada gambar 4 terlihat bahwa ada dua user yaitu user admin dan yusuf, maka dalam penelitian ini akan menargetkan user admin sesuai dengan skrip python yang telah dibuat .
Serangan Bruteforce Gambar 3 : Pemindaian dengan WPscan Sumber : Pribadi Hasil pemindaian pada gambar 3, terlihat bahwa file XML-RPC enabled php ini berarti bisa dilakukan exploitasi.
Langkah selanjutnya yaitu melakukan pelacakan user yang ada pada wordpress tersebut.
(Sucuri.
Cloudflare, 2.
Melakukan pemindaian untuk -enumerate --url http://10.
124/webserangan Aeenumerate u , dengan perintah ini informasi user yang ada pada web Gambar 4 : Hasil Pemindaian WPscan Setelah melakukan pemindaian maka penulis akan melakukan serangan bruteforce dengan menggunakan file yang telah dibuat sebelumnya yaitu lokoscannerX_v1.
username dan password yang telah dibuat dalam bentuk text dan akan menghasilkan keluaran berupa log file .
perintah yang akan digunakan untuk menjalankan file Adalah :
python lokoscannerX_v1.
(Python Software Foundation, n.
Gambar 5 : Skrip Python Sumber : Pribadi Cara kerja dari skrip ini adalah akan mencocokaan username dan password yang ada pada file .
txt dan exploitasi password yang ada pada database web target , lalu akan menghasilkan output berupa logfile dalam bentuk text.
Tahapan akan bruteforce yaitu dengan password yang salah dan benar, untuk memberikan Gambaran bagaimana hasil keluaran Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
yang dihasilkan.
ini akan mencocokan kemungkinan password yang ada dalam passwd.
txt dengan database website target.
Skenario Serangan Gagal Berikut susunan password yang ada pada file passwd.
txt , password yang benar adalah admin123, dalam gambar penulis memang sengaja membuat salah password agar terlihat hasil keluaran benar atau salah.
Gambar 7 : Hasil serangan dengan skenario Sumber : Pribadi Hasil dari tahapan ini juga dapat dilihat melalui log file yang dihasilkan oleh file python lokoscannerX_v1.
py keluaran file ini diberi nama attack_log.
txt yang lokoscannerX_v1.
py ini dijalankan ketika melakukan serangan.
Gambar 6 : isi passwd.
txt dengan password Sumber : Pribadi Pada gambar 6 adalah isi dari file txt dengan banyak kombinasi password salah satunya Au//admin123Ay Dimana password yang sebenarnya pada database adalah Auadmin123Ay Berikut hasil output program setelah menjalankan file python lokoscannerX_v1.
dengan scenario Gambar 8: output file log Sumber : Pribadi Isi dari file log pada gambar 8 terlihat informasi lama waktu serangan dan pencocokan antara username dan dijadikan target.
Skenario Serangan Berhasil Penulis melakukan edit skrip pada file password yang sesuai dengan isi database yaitu Auadmin123Ay.
Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
WPScan.
(Sucuri, 2.
Gambar 9 : Hasil serangan dengan skenario Sumber : Pribadi Dari kedua tahapan ini membuktikan bahwa wordpress yang tidak dipasang keamanan dapat dengan mudah dipindai dan dilakukan serangan bruteforce , hal ini terlihat ketika kedua pencocokan database dengan kombinasi password yang terdapat pada file text yang telah dibuat dengan keluaran file log berupa informasi gagal dan berhasil dari setiap serangan yang telah Tahapan Serangan Pada Wordpress Dengan Keamanan.
Pada tahapan berikut akan di lakukan pemasangan plugin keamanan Disable XML-RPC pada wordpress dan melakukan konfigurasi pada htaccess.
Proses yang dilakukan pada tahapan ini juga sama dengan sebelumnya yaitu WPScan pemindaian tetap menggunakan file Python lokoscannerX_ver1.
Plugin Disable XML-RPC Pada wordpress di pasang plugin Disable XML-RPC akan dilakukan wpscan seperti sebelumnya .
dan hasil pemindaian yang di dapat adalah web tidak merespon dengan pesan 403 ini berarti bahwa protocol XML-RPC yang di implementasi pada file xmlrpc.
sudah tidak dapat di akses dan oleh Gambar 10 : Hasil pemindaian gagal .
Sumber : Pribadi Dari hasil pada gambar diatas terlihat WPScan tidak dapat menemukan informasi celah yang dapat dilakukan untuk menyerang endpoint XML-RPC melalui xmlrpc.
php dan hal ini mengindikasikan bahwa web target tidak dapat dengan mudah dilakukan bruteforce karena tidak ada respon dari Setelah WPScan gagal maka penulis bruteforce dengan file lokoscannerX Gambar 11 : Hasil serangan error .
Sumber : Pribadi Pada gambar diatas terlihat bahwa serangan gagal dengan keterangan AuProtocol ERRORAy Hal membuktikan bahwa file xmlrpc.
sudah tidak dapat diakses.
Konfigurasi file htaccess Pada tahapan ini penulis menonaktifkan plugin yang terpasang sebelumnya dan melakukan konfigurasi pada file .
htaccess yaitu dengan menambahkan aturan AudenyAy untuk menolak semua permintaan yang akan mengakses file xmlrpc.
Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
Hasil Penelitian Berikut di tampilkan hasil penelitian pada tabel 1 yaitu lama waktu serangan, status serta skenario yang digunakan dan tabel 2 , untuk menggambarkan efektifitas dari keamanan yang digunakan.
Gambar 12 : Penambahan aturan deny port XML-RPC .
Sumber : Pribadi Setelah melakukan penambahan aturan maka penulis melakukan pemindaian kembali dengan WPScan.
Gambar 13 : hasil WPScan informasi user masih dapat terlihat Sumber : Pribadi pada hasil wpscan masih dapat di deteksi user pada wordpress yaitu admin dan yusuf.
Walaupun demikian setelah di coba untuk melakukan bruteforce attack dengan file python tidak berhasil dilakukan , dapat terlihat pada gambar berikut :
Gambar 14 : Informasi protocol error Sumber : Pribadi Dari hasil percobaan serangan tidak menambahkan keamanan baik berupa plugin maupun pengaturan konfigurasi , hal ini menandakan bahwa file tidak dapat di akses, sehingga ketika file dijalankan muncul AuProtocol Error Au.
Tabel 1.
Waktu Percobaan Serangan Skenario Status Attempts Attempts/sec (Berhasil/ .
ata-rat.
Gaga.
Sebelum Gagal Sebelum .
assword Berhasil Setelah Gagal Tabel 2.
Efektifitas serangan Status Skenario XMLRPC Identifika Pytho Efektivit si User Tanpa keaman Aktif Bisa Berhas Sangat Plugin Disable XMLRPC Tertutu Tidak p total bisa Gagal Sangat Tertutu Bisa Gagal Cukup Dari tabel 2 terlihat bahwa tanpa keamanan wordpress sangat rentan menggunakan plugin seperti disable XML-RPC lebih efektif dibanding Publipreneur Polimedia: Jurnal Ilmiah Jurusan Penerbitan Politeknik Negeri Media Kreatif Vol.
No.
2, 2025 hal.
KESIMPULAN
Dari hasil penelitian yang beberapa tahapan serangan yaitu skenario serangan pada wordpress tanpa keamanan dan wordpress yang sudah tambahkan plugin keamanan serta modifikasi file htaccess , dimana melakukan pemindaian pada web wordpress dan penyerangan bruteforce dengan file yang dibuat, maka dapat diambil Kesimpulan :
File xmlrpc.
php pada wordpress mempunyai kerentanan yang dapat disalah gunakan terutama pada menggunakan sistem keamanan, manipulasi pada user apabila password sudah dapat dideteksi dan dapat mengambil alih website Wordpress dengan tanpa keamanan lebih rawan untuk dilakukan bruteforce yang mengakibatkan permintaan sehingga gagal diakses atau denial of service, dapat dilihat dari hasil log bahwa ada waktu yang dibutuhkan dalam setiap pencocokan data serangan dengan dibayangkan apabila data serangan dari sangat banyak dalam beberapa kali serangan.
Penggunaan Plugin keamanan pada dibanding melakukan kustomisasi file htaccess .
DAFTAR PUSTAKA