wordpress IP验证不当漏洞致使被黑解决方案

跨屏网（kuaping.com）专一一句话JS解决网站移动化问题，未曾想，近期网站被频繁的黑过，网站首页常常被植入一些广告性质的代码，而致使被黑的主要在于利用了wordpress ip验证不当的漏洞，阿里云一直也有提示，不过平时没怎么关注，这下就是非解决不可了，有两种方案，一个是购买阿里云的防攻击服务，一个是只有本身动手，手动修复了。

漏洞描述

wordpress /wp-includes/http.php文件中的wp_http_validate_url函数对输入IP验证不当，致使黑客可构造相似于012.10.10.10这样的畸形IP绕过验证，进行SSRF。【注意：该补丁为云盾自研代码修复方案，云盾会根据您当前代码是否符合云盾自研的修复模式进行检测，若是您自行采起了底层/框架统一修复、或者使用了其余的修复方案，可能会致使您虽然已经修复了改漏洞，云盾依然报告存在漏洞，遇到该状况可选择忽略该漏洞提示】

漏洞修复

找到wp-includes/http.php这个文件，在文件的465行附近找到：

$same_host = strtolower( $parsed_home['host'] ) === strtolower( $parsed_url['host'] );

把改行修改成成如下代码，或者注销该行添加。

if (isset($parsed_home['host'])) {
    $same_host = (strtolower($parsed_home['host']) === strtolower($parsed_url['host']) || 'localhost' === strtolower($parsed_url['host']));
} else {
    $same_host = false;
};

仍是这个文件，在 478行左右找如下代码

if ( 127 === $parts[0] || 10 === $parts[0]

替换成

if ( 127 === $parts[0] || 10 === $parts[0] || 0 === $parts[0]

若是在修改的时候发现478该行代码已是修改过的代码，请忽略。

漏洞验证

登陆阿里云账号，在服务器安全页面点击验证，便可验证经过了，亲测有效果的，但愿对你们有所帮助。