WordPress 防黑教程之預防全版本通殺爆絕對路徑漏洞

小編好不容易從學校回來本以為可以舒舒服服的上上網玩玩遊戲，可惜剛坐到電腦前就有一位客户來反映定製的 WordPress 網站出現泄露絕對路徑的漏洞。當時小編就震驚了。。因為這個客户是一個電腦白痴，怎麼可能發現的了網站有漏洞呢？仔細一問才知道客户用 360 站長工具檢測網站漏洞。。。。

漏洞類型：網站絕對路徑泄露

漏洞文件：

1 、/wp-includes/registration-functions.php

2 、/wp-includes/user.php

3 、/wp-admin/admin-functions.php

4 、/wp-admin/upgrade-functions.php

5 、/wp-content/themes/wxd_qiyecms7/index.php

經過小編一個小時的測試，發現任何版本的 WordPress 都存在這個漏洞 （算是通殺漏洞了），只要直接訪問以上文件或者訪問當前 WordPress 網站的主題目錄都會爆出網站的絕對路徑，就連 WordPress 官方的主題 twentytwelve 也不例外。雖然爆路徑的利用價值不大但是但是如果你某些頁面存在注入的話，可以直接通過絕對路徑上傳任意文件，相當於把菊花暴露給 XX 愛好者一個性質。。後果不堪設想啊。

解決方法一、在以上文件的的頭部 <?php 後加入：

error_reporting(0);

解決方法二、找到/wp-includes/registration-functions.php 文件將代碼：

<?php
/**
 * Deprecated. No longer needed.
 *
 * @package WordPress
 */
_deprecated_file( basename(__FILE__), '2.1', null, __( 'This file no longer needs to be included.' ) );

改成：

<?php

/**
* Deprecated. No longer needed.
*
* @package WordPress
*/
@_deprecated_file( basename(__FILE__), 』2.1′, null, __( 』This file no longer needs to be included.』 ) );

解決方法三、直接修改 php.ini 屏蔽 php 報錯。