解决阿里云报漏洞“WordPress IP验证不当”

今天登陆阿里云又看到了,每次更新完都会报错,无解~

漏洞描述wordpress /wp-includes/http.php文件中的wp_http_validate_url函数对输入IP验证不当，导致黑客可构造类似于012.10.10.10这样的畸形IP绕过验证，进行SSRF。

使用阿里云的云盾可以一键修复,不过我这个穷人买不起服务,只能手动.

修复方案：找到wordpress目录/wp-includes/http.php这个文件
在文件的533行（不同的WordPress版本可能位置不同，可以查找关键词进行查找）附近找到：

$same_host = strtolower( $parsed_home['host'] ) === strtolower( $parsed_url['host'] ); 

改成:

$same_host = ( strtolower( $parsed_home['host'] ) === strtolower( $parsed_url['host'] ) || 'localhost' == strtolower($parsed_url['host']));

在文件的549行左右找到:

if ( 127 === $parts[0] || 10 === $parts[0] || 0 === $parts[0]

改成:

if ( 127 === $parts[0] || 10 === $parts[0] || 0 === $parts[0] || 0 === $parts[0]

保存后稍等片刻再点击云盾的漏洞验证,就可以通过验证了