360安全检测出的WordPress漏洞的修复方法

Posted 2020-09-23 crxis

1、跨站脚本攻击（XSS）

这个漏洞注意是因为用户评论可以提交代码，有安全风险。虽然你的WordPress以及是最新版，但是你的WordPress主题却不一定跟着更新！因此，需要稍微修改一下评论相关的php模板文件，如comment-ajax.php、comments-ajax.php。

$comment_type = ‘‘;//这是原有的，下面的是新增的，不允许提交恶意代码

if ( ‘‘ != $comment_content ) {
    /* $filter 是需要过滤的关键词，关键词之间用分隔符 | 隔开即可。 */
    $filter = ‘/<(iframe|script)/i‘;
    if (preg_match($filter,$comment_content,$matches)) {
        err( __(‘警告：评论含有危险内容，已被拦截，请在更正后重试。‘) ); 
    }
}

 

2、发现robots文件

robots文件显示了管理目录，被扣1分。解决办法是只允许蜘蛛访问robots.txt，其他用户不允许访问就行了。nginx拦截方法如下，其他服务器方法类似。

#如果请求的是robots.txt，并且匹配到了蜘蛛，则返回403
location = /robots.txt { 
    if ($http_user_agent !~* "spider|bot|Python-urllib|pycurl") {
        return 403;
    }
}