Введение
Тип метода обратной ссылки для веб-авторов. Pingback – один из четырех типов методов обратной ссылки, позволяющих веб-авторам получать уведомления, когда кто-то ссылается на один из их документов. Это дает авторам возможность отслеживать, кто ссылается на их статьи или упоминает их. Некоторые платформы для ведения блогов и системы управления контентом, такие как WordPress, Movable Type, Serendipity и Telligent Community, поддерживают автоматические pingback, при которых все ссылки в опубликованной статье автоматически проверяются при ее публикации. Другие системы управления контентом, такие как Drupal и Joomla, поддерживают pingback через дополнения или расширения. По сути, pingback – это XML-RPC запрос (не путать с ICMP-пингом), отправляемый с сайта А на сайт Б, когда автор блога на сайте А публикует запись, содержащую ссылку на сайт Б. Запрос включает URI ссылающейся страницы. Когда сайт Б получает уведомление, он автоматически проверяет сайт А на наличие действующей входящей ссылки. Если эта ссылка существует, pingback успешно зарегистрирован. Это делает pingback менее уязвимыми для спама, чем trackback. Ресурсы, поддерживающие pingback, должны использовать заголовок X-Pingback или содержать элемент в XML-RPC скрипте.
A pingback is one of four types of linkback methods for Web authors to request notification when somebody links to one of their documents. This enables authors to keep track of who is linking to, or referring to their articles. Some weblog software and content management systems, such as WordPress, Movable Type, Serendipity, and Telligent Community, support automatic pingbacks where all the links in a published article can be pinged when the article is published. Other content management systems, such as Drupal and Joomla, support pingbacks through the use of addons or extensions. Essentially, a pingback is an XML RPC request (not to be confused with an ICMP ping) sent from Site A to Site B, when an author of the blog at Site A writes a post that links to Site B. The request includes the URI of the linking page. When Site B receives the notification signal, it automatically goes back to Site A checking for the existence of a live incoming link. If that link exists, the pingback is recorded successfully. This makes pingbacks less prone to spam than trackbacks. Pingback enabled resources must either use an X Pingback header or contain a element to the XML RPC script.
История
Спецификация Pingback была разработана в 2002 году Стюартом Лэнгриджем, Саймоном Уиллисоном и Ианом Хиксоном.
Эксплойты
В марте 2014 года Akamai опубликовал отчет о широко распространенной уязвимости, использующей pingback и нацеленной на уязвимые сайты WordPress. Эта уязвимость привела к массовому злоупотреблению законными блогами и веб-сайтами, превратив их в невольные участники DDoS-атаки. Информация об этой уязвимости публиковалась с 2012 года, а в 2013 году Akismet сообщил, что "почти 100% трекбэков и пингбэков являются спамом". Pingback-атаки основаны на принципах "отражения" и "усиления": злоумышленник отправляет пингбэк законному блогу А, указывая в качестве источника информацию о законном блоге Б (подмена). WordPress внес небольшие изменения в работу функции пингбэка для снижения риска этой уязвимости: IP-адрес, с которого был отправлен пингбэк (адрес злоумышленника), стал записываться и отображаться в логах. Поэтому по-прежнему рекомендуется отключать пингбэки, чтобы предотвратить использование ваших сайтов для атак на другие ресурсы (хотя это не защищает от атак на ваш собственный сайт).