wordpress的模板文件,缺少访问验证,直接访问模板里的文件,就会泄露物理路径。这个不是PHP漏洞,是WordPress的漏洞。
比如访问:http://hostname/wordpress/wp-content/themes/default
就会显示:
Fatal error: Unknown function: get_header() in /home/public_html/yz/wp-content/themes/default/index.php on line 1
wordpress 2.1.2 以及之前的版本
在模板里的文件头部加上以下代码,可以防止泄露路径。
<?php
if(!defined('WP_USE_THEMES')) {
exit('Access Denied');
}
?>
暂无评论