wp-cron.php是否存在已知漏洞？

我正在使用WordPress v.4.1，所有插件和主题都是最新的。

我在日志文件中看到太多此类文件...

xxx.xxx.xxx.xxx - - [02/Jan/2015:13:30:27 +0200] "POST /wp-cron.php?doing_wp_cron=1420198227.5184459686279296875000 HTTP/1.0" 200 - "-" "WordPress/217; http://www.example.com"

其中xxx.xxx.xxx.xxx是托管网站的服务器的IP地址，“ http://www.example.com ”是我的网站。

是否存在影响wp-cron.php的已知漏洞（漏洞）？
有没有一种方法可以“保护”文件？

谢谢！

在这里wp-includes/default-filters.php我们可以找到一个回调注册：

// WP Cron
if ( !defined( 'DOING_CRON' ) )
    add_action( 'init', 'wp_cron' );

如果现在使用该函数wp_cron()，则会看到以下内容：

$schedules = wp_get_schedules();
foreach ( $crons as $timestamp => $cronhooks ) {
    if ( $timestamp > $gmt_time ) break;
    foreach ( (array) $cronhooks as $hook => $args ) {
        if ( isset($schedules[$hook]['callback']) && !call_user_func( $schedules[$hook]['callback'] ) )
            continue;
        spawn_cron( $gmt_time );
        break 2;
    }
}

spawn_cron() 发送您在日志中看到的POST请求：

$doing_wp_cron = sprintf( '%.22F', $gmt_time );
set_transient( 'doing_cron', $doing_wp_cron );

/**
 * Filter the cron request arguments.
 *
 * @since 3.5.0
 *
 * @param array $cron_request_array {
 *     An array of cron request URL arguments.
 *
 *     @type string $url  The cron request URL.
 *     @type int    $key  The 22 digit GMT microtime.
 *     @type array  $args {
 *         An array of cron request arguments.
 *
 *         @type int  $timeout   The request timeout in seconds. Default .01 seconds.
 *         @type bool $blocking  Whether to set blocking for the request. Default false.
 *         @type bool $sslverify Whether SSL should be verified for the request. Default false.
 *     }
 * }
 */
$cron_request = apply_filters( 'cron_request', array(
    'url'  => add_query_arg( 'doing_wp_cron', $doing_wp_cron, site_url( 'wp-cron.php' ) ),
    'key'  => $doing_wp_cron,
    'args' => array(
        'timeout'   => 0.01,
        'blocking'  => false,
        /** This filter is documented in wp-includes/class-http.php */
        'sslverify' => apply_filters( 'https_local_ssl_verify', false )
    )
) );

wp_remote_post( $cron_request['url'], $cron_request['args'] );

在这里，您还可以看到浮点数来自何处：它作为参数传递，以标识瞬态。

没有什么可担心的。

如果要保护文件，则可以通过httpd.conf（全局Apache配置文件）限制对文件的访问。

# Wordpress wp-cron.php file
<Files "wp-cron.php">
  Require ip 1.2.3.4
</Files>

用您的服务器IP替换示例中的IP。仍然可以使用以下命令从服务器访问文件：

wget -q -O - domain.com/wp-cron.php?doing_wp_cron

并且它将返回403（拒绝来自任何其他IP的请求的访问）。如果您使用诸如下面的附加规则，则您将外部请求重定向403 Forbidden到另一个页面（例如首页），而这并不是真正必要的。

ErrorDocument 403 https://www.domain.ca

更好的是，您可以使用Require ip 127.0.0.1上面的示例并使用wget请求：wget -q -O - 127.0.0.1/wp-cron.php?doing_wp_cron。这将使用环回网络控制器，并且您的请求将不会转发到公共Internet并返回。