如何区分真实与伪造的XML-RPC攻击日志?

看到一条指向 xmlrpc.php 的访问记录，只能确认日志中出现了这次请求，不能据此断言发生了口令爆破，更不能断言账号已被攻破。区分真实攻击与伪造或误导性的日志，关键是把“记录是否可信”“请求是否到达接口”“调用是否具有攻击性”分开核验。

先核对日志来源。优先查看站点自己保存的原始 Web 服务器访问日志，而不是仅凭截图、转发的文本或安全告警摘要判断；同时检查记录的时间、路径、请求方式、来源地址和响应是否前后一致。单条记录可以被截取或脱离上下文，连续时段内的原始记录更适合判断行为模式。来源 IP 和 User-Agent 即使看起来熟悉，也不能单独证明请求合法。

再核对请求的含义。xmlrpc.php 上出现大量 POST、来源分散且 User-Agent 雷同，值得进一步调查，但这些特征仍不足以证明调用了 system.multicall。普通访问日志未必记录请求体；如果没有留存方法调用内容，就不能仅从路径和请求量推断具体攻击手法。wp.getUsersBlogs 与 system.multicall 反复组合出现，才是更有力的撞库线索。响应状态也要结合站点当时的限制规则解读：例如 403 可能表示请求已被拦截，而不是攻击成功。

最后，把可疑记录与站点自身的变更和业务使用情况对照：同一时段是否启用了接口限制，是否有移动端或集成服务在正常调用，异常请求是否持续出现。无法取得原始日志或调用内容时，应明确标为“待核实的异常访问”，不要把看似专业的日志片段直接写成已确认的入侵事件。