碎碎谈 · 10月14日 14:57

#运维 #吐槽 我又双叒叕被自己的安全配置拦到服务器外边了😂
这次的锅是插件「Rank Math SEO」，他最近更新后
1. 默认在每个文章的顶部的 Admin Bar 里插一个统计模块，通过 REST API 异步拉取该文章的 SEO 分析数据，
2. 但是这个GET请求拼错参数了，会403
3. 前端JS一收到 403，判定当前浏览器的 REST API 令牌过期，立刻向 admin-ajax.php 发起请求
4. 拿到新令牌后，立刻重试拉取GET，然而403是因为GET请求拼错参数，而不是 REST API 令牌过期，自然又一次403了。
5. 插件的JS完全没有写“最大重试次数”或“重试间隔放大“之类的措施。
6. 结果就是只要我登录状态下访问博客里的任意文章，浏览器就开始对服务器持续以每秒4~6次的速度做CC攻击。
7. WAF自然是会触发防御规则，把我正在用的IP给干掉，然后就是好几分钟自己进不去服务器