什么是存储型 XSS，短代码为何重要

存储型跨站脚本发生在攻击者将可执行的 JavaScript 或危险的 HTML 放入持久存储（通常是帖子内容或插件特定字段）中，而该内容随后在浏览器中为其他用户呈现。由于有效载荷是存储的，任何加载受影响页面的访客都可能受到影响。.

短代码是由插件注册的服务器端处理程序；它们接受参数和内容并返回 HTML。如果短代码处理程序接受不受信任的输入并在未转义的情况下回显，则可能会导致存储型 XSS。在此漏洞中，贡献者可以创建包含带有恶意字符串参数的易受攻击短代码的帖子；插件在前端输出这些值时没有进行充分的清理。.

这个特定问题是如何工作的（非技术性总结）

• 插件注册了一个在帖子中使用的短代码。.
• 拥有贡献者角色的用户可以插入包含参数或包含HTML或类似JavaScript字符串的内容的短代码。.
• 短代码处理程序在前端输出这些值之前没有正确地清理或转义它们。.
• 当其他访客或已登录的管理员/编辑查看页面时，注入的脚本会在他们的浏览器上下文中运行，并可以执行典型的XSS操作（重定向、DOM操作、会话令牌捕获等）。.

贡献者无法修改站点文件，但他们可以影响查看被破坏内容的用户的浏览器上下文。.

严重性和风险评估

• 攻击向量： 由贡献者角色引发的经过身份验证的存储XSS。.
• 影响： 客户端妥协，如果管理员在登录时查看内容，可能会执行特权操作（类似CSRF的效果），可能导致账户接管或通过经过身份验证的请求保持持久性。.
• 利用复杂性： 低到中等——需要能够作为贡献者创建或编辑帖子，并且受害者需要访问该页面。.
• 可利用性： 在有许多贡献者或编辑审查宽松的网站上风险更高；在严格的工作流程中风险较低。.

将此视为一个重要威胁，贡献者可以在特权用户可能预览的内容中包含短代码或任意参数。.

现实的利用场景

1. 受影响的匿名访客： 已发布的帖子包含恶意短代码；网站访客看到注入的内容，导致重定向、垃圾邮件注入或不需要的内容。.
2. 针对管理员的妥协： 攻击者在草稿或已发布的帖子中放置有效载荷，然后诱使管理员预览或查看它——脚本可以使用管理员会话执行操作。.
3. 通过模板广泛曝光： 在小部件、摘录或主页块中使用的短代码输出可以增加对许多用户和员工的曝光。.
4. 多站点或暂存曝光： 共享的管理工作流程或网络站点可以放大影响。.

立即行动（短期缓解措施）

按优先顺序处理这些问题。.

1. 如果有补丁可用，请更新插件。. 这是权威修复——请立即通过WordPress管理员或WP-CLI应用它。.
2. 如果尚未发布补丁：
   • 暂时禁用在活跃站点上的插件——特别是在贡献者可以发布内容的地方。.
   • 或者移除注册的短代码处理程序，以便插件停止渲染短代码。示例（放在特定站点的插件或 mu-plugin 中）：

   add_action('init', function() {;

   如果您不知道短代码标签，请完全禁用插件，直到有补丁可用。.

3. 限制贡献者的权限。. 要求贡献者提交草稿以供审核，并且不允许他们直接发布。在可能的情况下移除 HTML/短代码插入能力。.
4. 在以管理员身份登录时，不要审核不可信的内容。. 使用低权限账户预览页面或注销后查看，以避免意外的管理员暴露。.
5. 通过您的 WAF 或响应工具立即应用虚拟补丁。. 创建规则以阻止包含脚本样令牌的贡献者来源帖子中的内容。请参阅下面的 WAF 建议以获取模式和注意事项。.
6. 现在扫描可疑内容。. 在帖子和修订中搜索短代码出现和脚本样令牌（请参见检测部分）。.
7. 审计最近的贡献者活动。. 在贡献者账户创建或编辑的最近帖子、页面和修订保持发布之前进行审核。.

检测：如何找到可疑内容和指标

遵循这些安全、实用的检测步骤，以确定是否存在恶意内容。.

1. 搜索插件的短代码。. 如果您知道标签（例如，, [架构），请在内容中搜索该模式。.
2. 搜索类似脚本的标记。. 寻找 <script, javascript 的 POST/PUT 有效负载到插件端点：, onerror=, onload= 和编码变体在 wp_posts 和修订表中。.
3. 检查作者活动。. 确定在关注的时间范围内由贡献者角色用户撰写的帖子，并检查其内容和修订。.
4. 检查服务器和应用程序日志。. 查找对同一帖子 URL 的重复请求、带有可疑主体的 admin-ajax 调用或来自贡献者账户的异常模式。.
5. 浏览器指示器。. 意外重定向、弹出窗口或 DOM 更改的报告是迹象；检查页面源代码以查找注入的脚本。.
6. 使用扫描器。. 运行全站恶意软件扫描和 DOM XSS 扫描，以查找在原始帖子内容中可能不明显的有效负载（例如，注入到小部件区域）。.

代码级修复和安全编程实践

如果您维护插件或应用本地补丁，请遵循这些安全编码原则：

• 清理输入并在输出时转义。. 将来自低权限账户的值视为不可信。使用 sanitize_text_field(), wp_kses(), esc_html(), 并且 esc_attr() 视情况而定。.
• 检查权限。. 验证 current_user_can('unfiltered_html') 在接受原始 HTML 之前。否则要积极清理。.
• 避免回显原始用户数据。. 构建结构化输出并转义每个属性和文本节点。.
• 白名单允许的 HTML。. 优先使用 wp_kses() 使用严格的允许标签/属性列表，而不是基于正则表达式的过滤。.
• 安全处理短代码内容。. 如果短代码接受封闭内容，请传递它 wp_kses_post() 或类似的限制性清理器。.
• 测试恶意输入。. 添加单元和集成测试，包括常见的 XSS 向量（事件处理程序、数据 URI、编码有效负载），以确保输出是安全的。.

在可能的情况下，在插件源中进行更改，以便在输出时进行转义/清理，而不是依赖外部过滤器。.

示例安全过滤器以清理短代码输出（站点级补丁）

将以下内容作为 MU 插件放置（直接放入 wp-content/mu-plugins/）以清理已知易受攻击的短代码输出。这是一种短期防御，而不是适当上游补丁的替代品。.

<?php
/**
 * Site-level defense: sanitize output of known vulnerable shortcode tag.
 * Replace 'schema' with the actual shortcode tag used by the plugin.
 */

add_filter( 'do_shortcode_tag', function( $output, $tag, $attr ) {
    // Only operate on the target shortcode tag
    if ( 'schema' !== $tag ) {
        return $output;
    }

    // Whitelist of allowed tags/attributes for output
    $allowed_tags = array(
        'a' => array( 'href' => true, 'title' => true, 'rel' => true ),
        'span' => array( 'class' => true ),
        'div' => array( 'class' => true ),
        'p' => array(),
        'strong' => array(),
    );

    // Strip any <script> or event-handlers and ensure safe output
    return wp_kses( $output, $allowed_tags );

}, 10, 3 );

将此作为临时措施，直到官方插件更新可用。.

WAF / 虚拟补丁建议（供应商中立）

如果您无法立即更新，WAF 或响应工具可以通过过滤或阻止可疑内容来减少暴露。以下是中立于供应商的规则想法和注意事项。.

1. 阻止包含类似脚本的标记的贡献者来源的帖子。. 对于 POST 到 wp-admin/post.php 或管理员端点，如果经过身份验证的用户是贡献者并且有效负载包含 <script, javascript 的 POST/PUT 有效负载到插件端点：, onerror=, ，或类似内容，阻止或隔离请求并提醒管理员。.
2. 清理包含插件短代码输出的响应内容。. 如果页面响应包含带有内联脚本或事件处理程序的短代码输出，请考虑在交付之前剥离这些部分。.
3. 模式匹配可疑属性。. 当内容来自非管理员作者时，目标 onerror=, onclick=, onload=, 并且 javascript 的 POST/PUT 有效负载到插件端点： 。.
4. 限制或挑战异常的编辑活动。. 对于创建具有长参数或编码负载的内容的贡献者，应用速率限制或要求额外验证。.
5. 在规则应用之前规范化输入。. 在模式匹配之前解码URL编码和HTML实体，以减少规避。.

警告： 基于正则表达式的规则可能导致误报并干扰编辑工作流程。先在监控模式下开始，使用样本流量调整规则，然后在有信心后转为阻止。.

利用后事件响应和恢复

如果发现利用的证据，请遵循标准事件响应工作流程：

1. 控制： 取消发布或将受影响的帖子设置为草稿，禁用易受攻击的插件，并对识别的负载应用临时阻止规则。.
2. 保留证据： 收集服务器日志、数据库快照（只读）和请求数据。记录用户ID、IP地址、时间戳和HTTP主体。.
3. 根除： 删除恶意内容或恢复到干净的修订版，轮换暴露的凭据和API密钥，并使潜在被攻陷的账户的会话失效。.
4. 恢复： 如有必要，从已知良好的备份中恢复。仅在插件已修补并验证后重新启用。.
5. 审查： 分析贡献者如何能够注入内容，并加强控制和监控以减少重复暴露。.
6. 通知： 在适用的情况下，遵循法律和监管义务，通知受影响的用户或利益相关者，如果敏感数据被暴露。.

长期加固和最佳实践

• 最小权限原则： 限制提升的权限，并定期审查角色。.
• 严格的编辑工作流程： 在发布贡献者内容之前，要求审核和批准。.
• 内容安全策略（CSP）： 实施CSP头以减少注入脚本的影响（CSP是一种额外的缓解措施，而不是适当转义的替代品）。.
• 加固 cookies 和会话： 使用HTTP-only和安全的cookie，并设置适当的SameSite设置。.
• 安全测试： 定期对高风险插件和主题进行静态和动态扫描及代码审查。.
• 控制插件使用： 删除不再维护的插件，并优先使用遵循WordPress安全最佳实践的积极维护代码。.
• 监控和日志记录： 跟踪用户活动、文件完整性以及异常内容更改的警报。.
• 备份： 保持频繁备份并定期测试恢复。.

实用的猎杀查询和命令

安全的管理员级查询和命令（如果您的网站较大，请优先选择暂存环境）：

# WP-CLI：查找包含'['后跟预期短代码标签名称'schema'的帖子'

-- SQL：查找可疑的令牌;

// PHP伪代码：列出贡献者的帖子以供检查

清单：现在可以采取的快速行动

• 确定所有使用易受攻击插件的网站并列出插件版本。.
• 如果存在修补版本，请立即更新。.
• 如果没有可用的补丁，请禁用插件或暂时移除短代码处理程序。.
• 扫描帖子（包括修订版）以查找类似脚本的字符串和短代码。.
• 限制贡献者的发布工作流程，避免对不受信任内容的管理员预览。.
• 应用WAF/虚拟补丁，阻止来自贡献者生成内容的脚本相关令牌（先进行监控）。.
• 如果怀疑管理员暴露，请轮换凭据并使会话失效。.
• 验证备份并测试恢复计划。.

结束思考

通过短代码存储的XSS提醒我们，即使是低权限角色也可能成为有效的攻击向量，如果不受信任的内容通过编码不良的插件处理程序流动。实际防御结合了短期遏制（禁用或修补插件，应用调优过滤）和长期措施：最小权限、严格的编辑控制以及在输出时清理和转义数据的安全编码。.

如果您需要帮助审核您的网站或实施虚拟补丁和安全缓解措施，请聘请具有WordPress经验的合格安全专业人员。在香港及其地区，几家独立安全咨询公司提供事件响应、修复和加固服务——选择一个在技术能力和所采取步骤的清晰沟通方面都表现出色的提供商。.

保持警惕，并对每个内容渲染插件保持怀疑，直到您验证其清理和转义实践。.

— 香港安全专家