在使用阿里云托管WordPress网站的过程中，部分用户可能会遇到系统提示“wordpress IP验证不当漏洞”的问题。这一漏洞源于WordPress程序中的/wp-includes/http.php文件，具体来说是wp_http_validate_url函数对输入IP的验证存在缺陷，使得黑客能够构造畸形IP（如012.10.10.10）绕过验证，进行服务器端请求伪造（SSRF）攻击。SSRF攻击危害严重，能够扫描内网外网的端口和服务、读取服务器本地敏感数据，甚至利用内网外网Web站点的漏洞。因此，及时修复这一漏洞至关重要。
解决该漏洞主要有两种方法：
方法一：使用阿里云盾自研补丁一键修复
阿里云盾提供了针对该漏洞的自研补丁，用户可以通过阿里云控制台选择一键修复功能，快速解决漏洞问题。但请注意，若您之前已自行采取其他修复方案，阿里云盾在检测时可能仍会报告漏洞存在，此时可选择忽略该提示。
方法二：手动更新WordPress或修改代码
-
更新WordPress至最新版本： 更新WordPress软件至官方最新版本是修复漏洞的有效手段。新版本通常已修复已知的安全漏洞，建议用户定期更新以确保网站安全。
-
手动修改http.php文件： 对于不愿或无法立即更新的用户，可以选择手动修改http.php文件来修复漏洞。具体操作如下：
-
定位并备份http.php文件： 在WordPress安装目录中找到/wp-includes/http.php文件，并备份原文件以防万一。
-
修改关键代码：
- 第533行附近：将
$same_host = strtolower($parsed_home['host']) === strtolower($parsed_url['host']);修改为if (isset($parsed_home['host'])) { $same_host = (strtolower($parsed_home['host']) === strtolower($parsed_url['host']) || 'localhost' === strtolower($parsed_url['host'])); } else { $same_host = false; };。 - 第549行附近：原代码
if (127 === $parts[0] || 10 === $parts[0] || 0 === $parts[0])可能存在重复判断0的情况（部分描述中为笔误，实际应检查是否有逻辑错误），但为确保无误，可将其修改为更明确的判断逻辑，如增加对特定IP段的检查或简化判断条件（注意：原描述中的重复0 === $parts[0]应为笔误，实际修改应根据代码上下文确定）。此处修改需谨慎，确保不破坏原有逻辑。
- 第533行附近：将
-
保存并上传修改后的文件： 将修改后的http.php文件保存并上传至服务器，覆盖原文件。
-
-
验证修复效果： 登录阿里云控制台，通过云盾服务器安全功能验证漏洞是否已修复。验证通过后，系统将不再提示该漏洞。
综上所述，针对阿里云提示的WordPress IP验证不当漏洞，用户可以选择使用阿里云盾自研补丁一键修复或手动更新WordPress软件至最新版本进行修复。若选择手动修复，则需谨慎操作以避免引入新的问题。在确保网站安全的同时，也应加强日常的安全防护和监控工作，及时发现并处理潜在的安全风险。
![[wordpress编辑器插件]](https://img.doczz.cn/storage/20240325/5e6d1711c8a16b2163fe49251acf2d38.png)
![[阿里云的预装wordpress环境，能不能管理2个网站？]](https://img.doczz.cn/storage/20240325/01729af217a29946fb1dbe94ceda5acc.png)
