阅读一篇关于Timthumb脚本被破坏使WP安装易受攻击的文章。Source here
看看timthumb。php中，有以下函数，我认为这是罪魁祸首。
function checkExternal ($src) {
$allowedSites = array(
\'flickr.com\',
\'picasa.com\',
\'blogger.com\',
\'wordpress.com\',
\'img.youtube.com\',
);
由于我的网站是高度定制的（因此更新timthumb很复杂），删除这些外部域就足够了，因为所有图像都托管在我的服务器上，因此不需要任何第三方域？
SO网友:Wyck
原始来源（保留链接）未提供实际的攻击向量。这意味着您上面显示的代码被某种方式修改为获取远程。php文件使用$allowedSites.
如何做到这一点仍然是个谜，因为像这样的文章并没有真正经过适当的咨询，也没有得到任何同行的反馈，而且他们似乎不知道有人是如何在timthumb中写入恶意url（如fetchbadphpfile.com）。php（或任何其他文件）。
虽然timthumb没有验证URL（或其他）的编码很糟糕，但仍然需要通过另一个安全问题或很可能是恶意的预注入脚本进行黑客攻击。
附记timthumb。php在几个版本之前确实有一个记录在案的XSS攻击向量，它通过了几个安全建议，但实际上没有引起注意。。。
