安全提示：你的主题是否使用了自动缩略图脚本timthumb.php

2011年8月29日 11:57:23知更鸟

知更鸟

站长

2334
文章

0
粉丝

WordPress6133,762阅读模式

timthumb.php 自动缩略脚本,可实现自动裁剪图片并生成缩略图，多用于Wordpress杂志类型的主题，国外主题普遍采用该脚本自动生成缩略图，使用非常方便。不过最近，timthumb爆出了一个严重漏洞，黑客可以利用这个漏洞（大概是调用外部图像时验证上有缺陷而产生的漏洞），上传任意恶意程序到你的网站，而且作者的网站已被黑客入侵。

这是作者原文：Zero Day Vulnerability in many WordPress Themes。

那如何知道主题是否使用了自动缩略图timthumb.php脚本？可以打开所使用主题目录，查看是否有名称为timthumb.php或thumb.php文件及图片缓存文件夹cache，如果有，说明你所用的主题加载了该脚本，完全有可能被黑客所利用。

有网友提问HotNews Pro主题是否使用了timthumb.php脚本，热点新闻主题2.3版之前一直使用该脚本生成缩略图，之后的2.4、2.5、2.6就不再使用timthumb.php脚本，转而采用Wordpress自带的特色图像功能，生成本地上传图片的缩略图，而2.3版之前的主题已无法在WP3.1以后的程序中正常使用，所以HotNews Pro主题用户就不用担心这个漏洞了。

当然，如果发现你的主题使用了timthumb.php脚本，也不必大惊小怪，很多主题集成的timthumb.php脚本，都作了简化，并无调用外部图像的功能，因此也就不存在这个漏洞了。你也可以到这里下载timthumb.php脚本1.33最新版替换主题中的脚本。

PS:虽然timthumb被爆有严重漏洞，但在我下一个主题中还将再次使用该脚本生成缩略图，因为Wordpress自带的特色图像功能感觉实在是鸡肋，下面是两者功能的对比：

timthumb脚本 WordPress自带的特色图像功能
是否支持外链 貌似只支持特定网站外链图片不支持
是否有压缩功能 有，并可控制压缩比例有，但不能控制压缩比例
单独存放缩略图 可以不可以，只能与其它附件图片放在一起
是否可清除 可以并会再次自动生成不用担心缩略图会丢失不可以，清除后不会再次生成
方便性 备份网站可不用备份缩略图，方便管理备份网站必须同时备份缩略图并且会造成附件目录管理混乱

通过上面对比，timthumb.php 脚本在使用与功能上，要强于Wordpress自带的特色图像功能。

本站文章大部分为原创，用于个人学习记录，可能对您有所帮助，仅供参考！

我的微信

微信号已复制

本站原创文章转载请注明文章出处及链接，谢谢合作！

获取本主题

598845006

咨询主题请加Q：598845006

多功能主题 Begin

本文由 知更鸟 发表于2011年8月29日 11:57:23
转载请注明：https://zmingcx.com/safety-tip-check-your-theme-is-using-the-automatic-thumbnail-script-timthumb-php.html | 知更鸟

WordPress

598845006

咨询主题请加Q：598845006

多功能主题 Begin

评论 61 访客 57 作者 4

Kael.Z 7
2011年8月29日 12:00:16 浙江省台州市 1F
回复
赶紧沙发先~~~~
- 阿星 5
  2011年8月30日 18:37:39 湖北省武汉市 B1
  回复
  @ Kael.Z 啊哦，我怎么在这老看到你 ^_^
  - Kael.Z 7
    2011年8月30日 19:05:07 浙江省台州市临海市 B2
    回复
    @ 阿星我是鸟哥的粉丝~~~~
satifanie 2
2011年8月29日 12:30:45 广东省广州市 2F
回复
没有。
侯淇滨 3
2011年8月29日 12:38:10 广东省广州市 3F
回复
你那个页面怎么弄的呀。我如何做成想你这样的页面哦！http://zmingcx.com/gallery/enjoy
- 知更鸟
  2011年8月29日 12:47:22 中国 B1
  回复
  @ 侯淇滨新版不是已发布，集成的图片模板
  - 侯淇滨 3
    2011年8月29日 12:52:14 广东省广州市 B2
    回复
    @ 知更鸟图片模版在那个页面
    可是没有添加图片模版哦
    - 知更鸟
      2011年8月29日 13:00:31 中国 B3
      回复
      @ 侯淇滨只这一个功能就写了那么长的说明，难道还不够清楚
      - tkeelee 3
        2011年8月30日 21:46:34 广东省广州市 B4
        回复
        @ 知更鸟咨询下鸟哥最近留言–文章归档怎么弄出来的，我新建页面使用归档模板的话，出来是http://www.tkeelee.com/archives/ 这种样子的。最开始貌似也出现过正常的效果，后来不知道修改了哪里就再也改不回来了，现在换了新的2.7模板，还是老样子，求指导
        
        Bob 5
        2011年9月22日 23:46:14 浙江省杭州市 B5
        
        @ tkeelee 什么都别修改，然后重新建立页面试试！
侯淇滨 3
2011年8月29日 13:18:19 广东省广州市 4F
回复
老大你这个好复杂哦。把我都弄糊涂了
- 碎碎念 2
  2013年4月10日 14:49:43 广东省茂名市 B1
  回复
  @ 侯淇滨鸟哥的主题可以算得上是功能强，使用也比较方便的，如果你觉得很复杂、很糊涂，建议你多看看他的主题说明的文章，先自己搞懂，不懂了再来问。
U盘数据恢复 4
2011年8月29日 13:32:21 北京市 5F
回复
这个问题还没有遇到先收藏一下
无锡外卖 1
2011年8月29日 14:45:47 江苏省无锡市 6F
回复
不懂技术，感觉好难
miko 1
2011年8月29日 14:49:02 内蒙古巴彦淖尔市 7F
回复
timthumb.php 我自己改主题有时候会带上！
但是应该没事吧！都是简化版了！
得道SEO 0
2011年8月29日 17:08:06 江苏省徐州市 8F
回复
安全第一，这会去检查一下其它几个站有没有使用，感谢提醒！
忆草 2
2011年8月29日 17:41:05 广东省汕头市 9F
回复
不懂技术，感觉好难
Louis Han 6
2011年8月29日 18:09:43 美国 10F
回复
我的带了得赶紧升级一下
酷剑 2
2011年8月29日 19:57:46 广东省肇庆市 11F
回复
哈哈，我的原来是这个搞的鬼，难怪里面莫名的出现了许多外国的图片缩略图。Google显示可能有不安全。
pekko薇 2
2011年8月30日 00:04:31 福建省 12F
回复
期待新版本的到来。~
孤苏陌澜 3
2011年8月30日 00:14:58 浙江省温州市平阳县 13F
回复
多谢提醒，回去查看一下先！
wmtimes 7
2011年8月30日 00:58:55 江西省新余市 14F
回复
看来我的就有啊。我说怎么老有错误登录的信息发我以我的邮箱呢。
我的游戏 3
2011年8月30日 11:22:12 广东省广州市 15F
回复
呵呵，最讨厌自动缩略图了，占了好多空间，现在都自己传图片，然后用参数读
进口红酒 1
2011年8月30日 15:00:19 山东省青岛市 16F
回复
弄了自动缩略图感觉网速有点卡
wmtimes 7
2011年8月30日 17:45:13 江西省新余市 17F
回复
功能不够强大。为什么不换回去呢。
济宁SEO 0
2011年8月30日 21:28:10 陕西省西安市 18F
回复
博主的风格很好看啊真的很好看
股票入门视频 2
2011年8月31日 10:25:14 江苏省无锡市 19F
回复
复杂的俺不明白啊
北京婚纱摄影工作室 1
2011年8月31日 17:30:03 北京市朝阳区 20F
回复
~~~~~！伤不起啊伤不起
汕头SEO 5
2011年9月1日 18:19:43 广东省湛江市 21F
回复
还没用呢！
许诺 0
2011年9月1日 18:36:46 湖南省郴州市 22F
回复
简单的修补给目录下加个index.htm就行了
英语笑话 2
2011年9月1日 22:03:58 河北省石家庄市 23F
回复
timthumb.php脚本
PastDust 4
2011年9月2日 13:12:48 江苏省苏州市常熟市 24F
回复
额我只是路过打酱油的
气动工具网 0
2011年9月2日 17:37:30 江苏省苏州市常熟市 25F
回复
我纯新手只是路过看看我神马都不说
ruantoo 4
2011年9月2日 19:32:48 江苏省苏州市 26F
回复
像吾等小博客黑了又有何妨哇咔咔咔
tkeelee 3
2011年9月3日 23:58:24 广东省珠海市 27F
回复
咨询下鸟哥最近留言–文章归档怎么弄出来的，我新建页面使用归档模板的话，出来是http://www.tkeelee.com/archives/ 这种样子的。最开始貌似也出现过正常的效果，后来不知道修改了哪里就再也改不回来了，现在换了新的2.7模板，还是老样子，求指导啊
Tmd 3
2011年9月6日 10:50:32 福建省厦门市 28F
回复
鸟哥还没出差回来？
SB 0
2011年9月6日 12:40:34 安徽省合肥市蜀山区 29F
回复
博主写的一些模板主题都很漂亮。我非常仰慕啊。敬佩！
我的移动互联 2
2011年9月6日 13:31:50 河南省南阳市 30F
回复
本也想用你的主题，好的人都在用的，但是拍图片多影响博客加载速度啊。不过好像很多人次主题的博客加载还是挺快。
宁波婚纱摄影 1
2011年9月6日 14:02:29 浙江省宁波市 31F
回复
好久没逛博客了，呵呵，我来了。
无锡股票培训 3
2011年9月7日 10:17:14 江苏省无锡市 32F
回复
恩不错！！嘿嘿
中国集成灶十大品牌 0
2011年9月9日 14:33:14 浙江省宁波市 33F
回复
你通不通过我的留言，我就在那里，不悲不喜
影楼 3
2011年9月9日 14:56:25 江苏省无锡市 34F
回复
虽然我不懂代码，还是很喜欢的！
雨帆 0
2011年9月11日 08:13:00 山东省济南市 35F
回复
开始学习了，这个脚本看似不错哦~！
贺昌 1
2011年9月11日 10:18:44 湖南省长沙市 36F
回复
想弄个缩略图显示功能，我的主题中没有这个脚本，哈不知道选用什么方法实现缩略图~
合肥SEO 4
2011年9月12日 17:54:22 安徽省合肥市 37F
回复
弄了2.7的但是不会用我是菜鸟
TT-biadu 0
2011年9月17日 10:53:16 广东省深圳市 38F
回复
鸟哥，研究你网站了很久，问下你博客页面出现文章的缩略图和摘要是用的什么插件？找了好久都没找出来
- 知更鸟
  2011年9月17日 11:05:00 中国 B1
  回复
  @ TT-biadu 木有用插件，主题集成
影楼 4
2011年9月19日 10:16:20 江苏省无锡市 39F
回复
不错啊，可惜对php不太熟悉
maxling.net 4
2011年9月27日 15:34:16 江西省吉安市 40F
回复
学习ING！！
PanDaLee 4
2011年10月6日 22:25:48 广东省广州市 41F
回复
鸟哥可以把安全问题解决吧
iioo 1
2011年11月29日 22:36:53 江苏省盐城市 42F
回复
鸟哥，可以请教个关于timthumb的问题吗？
我用了timthumb常见的functions里的代码，先默认缩略图，后自动搜索第一张图片，再后默认图片。
————————————————
可是我的自动搜索第一张图片的功能不能实现。我举个例子：
这是我在日志中的第一张图片的地址http://www.xxx.org/img/first-img.jpg，图片是通过后台上传的。
但是在缩略图上只显示红叉，红叉的地址是：http://www.xxx.org/主题地址/timthumb.php?src=http://www.xxx.org/cache/first-img.jpg&h=95&w=150&zc=1
这是为什么呢？
——————
多谢鸟哥了！！：）这个timthumb问题困扰我好多天了，看了很多资料，也没能解决，鸟哥多多帮忙啊！！再次感谢！！！
——————
- 知更鸟
  2011年11月30日 07:02:48 中国 B1
  回复
  @ iioo 可以参考HotNews pro主题2.33版，该版本使用了这个函数
- Tokin 2
  2012年10月29日 23:19:04 山东省枣庄市市中区 B1
  回复
  @ iioo 我也是这个问题，纠结了
iioo 1
2011年11月29日 22:39:58 江苏省盐城市 43F
回复
我用的相关代码：
else {
$post_timthumb = ”;
ob_start();
ob_end_clean();
$output = preg_match(‘//i’,$post->post_content, $index_matches);
$first_img_src = $index_matches [1];
if( !empty($first_img_src) ){
$path_parts = pathinfo($first_img_src);
$first_img_name = $path_parts[“basename”];
$first_img_pic = get_bloginfo(‘wpurl’).’/cache/’.$first_img_name;
$first_img_file = ABSPATH. ‘cache/’.$first_img_name; //保存地址
$expired = 604800; //略缩图过期时间
下面继续
iioo 1
2011年11月29日 22:40:26 江苏省盐城市 44F
回复
代码接上
if ( !is_file($first_img_file) || (time() -filemtime($first_img_file)) > $expired ){
copy($first_img_src, $first_img_file);
$post_timthumb = ‘post_title.\'” />’;
}
$post_timthumb = ‘post_title.\'” class=”attachment-post-thumbnail”/>’;
}
aytvnet 0
2012年1月4日 23:20:48 山西省太原市 45F
回复
http://www.guatji.com/ 测试下鸟哥是怎么防止垃圾外链的
hoythan 3
2012年8月15日 16:23:53 浙江省温州市 46F
回复
timthumb.php原来是没有调用外部图像功能…
怎么设置才可以有呢？
我用的是云存储- -不能调用很无奈
- linux 0
  2012年10月6日 21:39:13 北京市 B1
  回复
  @ hoythan 可以调用的，可以参考这个http://my.oschina.net/u/218746/blog/81739
凯凯 1
2014年12月28日 17:44:48 广东省惠州市 47F
回复
请问使用这个怎样避免被黑客利用漏洞呢
我爱书籍 5
2015年4月26日 20:20:15 江苏省南京市 48F
回复
确实存在很大的漏洞哦
fly 0
2016年3月3日 22:15:45 福建省福州市 49F
回复
解决 WordPress Timthumb.php 缩略图偶尔不显示的问题
http://lfei.org/wordpress-timthumb-display/

WordPress

Plugins

Web前端

设计资源

安全提示：你的主题是否使用了自动缩略图脚本timthumb.php

在线WordPress区块生成器

热点新闻2.33稳定版升级说明

配置WordPress回收站功能

删除WordPress默认“未分类”

发表评论

WordPress多功能主题： Begin

购买本站主题请加QQ：598845006

	timthumb脚本	WordPress自带的特色图像功能
是否支持外链	貌似只支持特定网站外链图片	不支持
是否有压缩功能	有，并可控制压缩比例	有，但不能控制压缩比例
单独存放缩略图	可以	不可以，只能与其它附件图片放在一起
是否可清除	可以并会再次自动生成不用担心缩略图会丢失	不可以，清除后不会再次生成
方便性	备份网站可不用备份缩略图，方便管理	备份网站必须同时备份缩略图并且会造成附件目录管理混乱