wordpress IP驗證不當漏洞致使被黑解決方案

跨屏網（kuaping.com）專一一句話JS解決網站移動化問題，未曾想，近期網站被頻繁的黑過，網站首頁常常被植入一些廣告性質的代碼，而致使被黑的主要在於利用了wordpress ip驗證不當的漏洞，阿里雲一直也有提示，不過平時沒怎麼關注，這下就是非解決不可了，有兩種方案，一個是購買阿里雲的防攻擊服務，一個是隻有本身動手，手動修復了。

漏洞描述

wordpress /wp-includes/http.php文件中的wp_http_validate_url函數對輸入IP驗證不當，致使黑客可構造相似於012.10.10.10這樣的畸形IP繞過驗證，進行SSRF。【注意：該補丁爲雲盾自研代碼修復方案，雲盾會根據您當前代碼是否符合雲盾自研的修復模式進行檢測，若是您自行採起了底層/框架統一修復、或者使用了其餘的修復方案，可能會致使您雖然已經修復了改漏洞，雲盾依然報告存在漏洞，遇到該狀況可選擇忽略該漏洞提示】

漏洞修復

找到wp-includes/http.php這個文件，在文件的465行附近找到：

$same_host = strtolower( $parsed_home['host'] ) === strtolower( $parsed_url['host'] );

把改行修改成成如下代碼，或者註銷該行添加。

if (isset($parsed_home['host'])) {
    $same_host = (strtolower($parsed_home['host']) === strtolower($parsed_url['host']) || 'localhost' === strtolower($parsed_url['host']));
} else {
    $same_host = false;
};

仍是這個文件，在 478行左右找如下代碼

if ( 127 === $parts[0] || 10 === $parts[0]

替換成

if ( 127 === $parts[0] || 10 === $parts[0] || 0 === $parts[0]

若是在修改的時候發現478該行代碼已是修改過的代碼，請忽略。

漏洞驗證

登陸阿里雲賬號，在服務器安全頁面點擊驗證，便可驗證經過了，親測有效果的，但願對你們有所幫助。