之前小编曾经写过两篇关于 WordPress 防黑的教程，分别是 《WordPress 网站终极防黑手册，全方位保护网站安全 （一） 》以及 《WordPress 网站终极防黑手册，全方位保护网站安全 （二） 》。其实在第一篇防黑教程中小编提到过 WordPress 爆路径的问题，并且给出了隐藏 WordPress 程序路径的方法。但是昨天小编在研究 WordPress 链接重写时发现另一个 WordPress 的程序路径泄露 bug，如下图：
如上图所示，如果目标站是 WordPress 搭建的网站，我们只要访问 http://目标站.com/?robots=1 则会看见如上所示的，WordPress 系统生成的默认的 robots.txt 文件。而该内容信息则是
User-agent: * Disallow: /WordPress 系统所在目录/wp-admin/ Disallow: /WordPress 系统所在目录/wp-includes/
这样也就暴露了 WordPress 程序所在目录，可以被黑客利用来进一步对网站实施攻击。解决方法很简单只要在主题的 functions.php 文件中加入以下代码即可：（感谢 @源码集合 的提醒，代码已更新。）
//解决 robots 爆路径
$bots = $_GET['robots'];
if (!$bots){}
else {
echo '<head><meta http-equiv="Content-Type" content="text/html; charset=utf8"/></head>';
echo '请勿试图攻击本站！';
exit;
}
至于怕爬虫抓取了系统的 php 文件可以在 robots.txt 里加入以下代码：
Disallow: /*.php$
另外 WordPress 还有个泄露当前系统版本号的 bug，只需要访问以下链接：
http://目标站.com/?rss=feed2
则会在该页面看到如下内容：
在该页面可以看到当前 WordPress 系统的版本号，这样黑客就可以利用已知的漏洞来对网站进行攻击，修复方法，只需要在当前 WordPress 主题的 functions.php 文件加入以下代码：
//去除版本信息
function wxd_remove_version() {
return '';
}
add_filter('the_generator', 'wxd_remove_version');
这样即可防止 WordPress 的 feed 页面泄露系统信息了。