最近只要打开博客，就能看到 nginx 502 错误提示。于是尝试着寻找原因：
1. 既然能看到 nginx 502 的错误提示，说明 nginx 还是正常的工作的。
我们来验证一下，查看 nginx 的状态。
# service nginx status
nginx 报告它正在正常工作中。
* nginx is running
抱着怀疑的精神，我们来重启一下 nginx。
# service nginx restart
再打开博客看一下，还是熟悉的 502 页面，nginx 果然是无辜的。
2. 既然 nginx 没有问题，那么我们再来检查一下 php5-fpm 的状态。
# service php5-fpm status
php5-fpm 报告它也在正常工作中。
php5-fpm start/running, process 2424
继续抱着怀疑的精神，我们来重启一下 php5-fpm。
# service php5-fpm restart
再打开博客一看，好了！看来果然是 php5-fpm 出问题了。
3. OK，现在我们已经知道是 php5-fpm 的问题了，那么问题底出在哪里呢？
于是我仔细的检查了一遍 ph5-fpm 的配置文件，然而并没有发现任何问题。
# cat /etc/php5/fpm/php-fpm.conf
然后又看了一下 php5-fpm 的日志文件,还是没有发现任何问题。
# tail -100 /var/log/php5-fpm.log
再次抱着怀疑的精神，我们来查一下 nginx 的日志文件。
# cat /var/log/nginx/access.log | grep 502
不看不知道，一看吓一跳。居然有几个 IP 在一直不停的访问 xmlrpc.php。
185.103.252.170 - - [04/May/2016:12:35:19 +0800] "POST /xmlrpc.php HTTP/1.0" 502 583 "-" "Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)"
在网上搜索一下，发现原来是有人在尝试暴力破解，直接删除了 xmlrpc.php 文件，让他感受无尽的 404 去吧。
参考：
XML-RPC放大攻击：针对WordPress的“暴力美学”
http://www.freebuf.com/vuls/81331.html
最后吐槽一下阿里云的云盾，根本没有检测出针对 xmlrpc.php 的攻击。
而且即使是已经检测到的攻击，我也从来没有收到过任何告警邮件或者短信。
616 total views, 1 views today