Tekniske Notater OfEhi Kioya
vel ikke akkurat hacking. Men la meg forklare…
Web hosting er en del av virksomheten min, og som forventet bygger de fleste klienter sine nettsteder Med WordPress. Alt innholdet (filer og databaser) sitter på serverne mine, og selv om jeg kanskje ikke har (eller vil ha) en administratorkonto på Deres WordPress-installasjoner, har jeg root-tilgang på både filsystemet og databasenivåene.
Klienter glemmer ofte påloggingsinformasjonen For WordPress. Når dette skjer, blir de låst ut av administrasjonsområdet på nettstedene sine og trenger hjelp til å komme inn igjen. Det er også scenarier der serveradministratorer kan trenge å «tvinge» seg inn i en klients nettsted, selv når klienten ikke har bedt om dette. Kanskje på grunn av juridiske årsaker eller brudd på retningslinjene. Eller avhengig av hvilken type administrasjonstjeneste som tilbys, må serveradministratorer kanskje logge inn for å utføre oppdateringer, rutinemessig vedlikehold osv.
oppsummert kan scenarier der «hacking» Et WordPress-passord være nødvendig, inkludere:
- du har glemt brukernavnet og e-postadressen til ditt eget nettsted.
- du kjenner brukernavnet eller e-postadressen, men har glemt passordet. Og av en eller annen grunn har alternativet for tilbakestilling av passord ikke fungert-kanskje fordi e-postene for tilbakestilling av passord ikke kommer gjennom. Eller kanskje du ikke lenger har tilgang til den opprinnelige e-postadressen som brukes.
- klienten din har mistet innloggingsdetaljene til Et WordPress-nettsted som du er vert for på deres vegne.
- av juridiske årsaker eller på grunn av brudd på retningslinjene, må du tvinge deg inn på et nettsted som er vert på infrastrukturen din.
- nettstedet ditt ble hacket og administratorkontoen ble slettet (eller passordet ble endret).
i alle fall forklarer denne artikkelen hvordan en serveradministrator enten kan tvinge til å tilbakestille en brukers WordPress-passord eller opprette en Ny WordPress-administratorbruker med et helt nytt passord. Jeg vil vise hvordan dette kan gjøres enten fra Backend MySQL database eller ved hjelp av funksjonene.php-fil via FTP. I begge tilfeller Er Det Ikke Nødvendig Med En WordPress-konto på det aktuelle nettstedet.
metodene vi skal utforske her er:
- «Hacking» Et WordPress-passord på databasen (ved å tvinge en tilbakestilling av passord)
- Opprette en Ny WordPress admin-bruker via databasen
- «Hacking» (tilbakestilling) Et WordPress-passord ved hjelp av funksjonene.php-fil
- Opprette en Ny WordPress admin bruker ved hjelp av funksjonene.php fil
mens ingen av metodene ovenfor er nøyaktig passord hacking (siden vi ikke bruker brute force teknikker eller noe sånt), sluttresultatet effektivt «hacks» vår vei Inn I WordPress med de samme administrative rettigheter som tidligere ble tapt.
ANSVARSFRASKRIVELSE: prosessene beskrevet her er helt lovlige. Selv om passord hashing stykke bruker dette verktøyet jeg bygget, bruker verktøyet den offisielle WordPress funksjon wp_hash_password () bak kulissene. Jeg skrev denne artikkelen med server admins og web masters i tankene. Det er ment å være rent informativ og pedagogisk. Hvis noen bruker instruksjonene her for ondsinnede grunner, kan jeg ikke holdes ansvarlig.
La oss begynne…
Metode 1: «Hacking» (Tilbakestilling) Et WordPress-Passord På Databasen
Start databaseadministrasjonsverktøyet ditt. Dette kan være phpMyAdmin, HeidiSQL, MySQL Workbench, etc. Vi vil gjøre en endring på wp_users tabellen.
merk: tabellnavnet kan være forskjellig avhengig av om installasjonen bruker et egendefinert tabellprefiks. Denne artikkelen forutsetter at wp_ er tabellprefikset ditt. Dette er standardverdien. En rask titt På WordPress-tabellnavnene dine skal hjelpe deg med å identifisere tabellprefikset ditt og det tilsvarende wp_users-tabellen i ditt tilfelle. Du kan også finne tabellprefikset definert eksplisitt i wp-config.php-fil (variabelen av interesse er det $table_prefix).
når du åpner wp_users-tabellen for å vise dataene, bør du raskt kunne identifisere brukeroppføringen som må endres. Interessefeltet (som inneholder det hashede passordet) er user_pass-feltet. Dette feltet vil ha en verdi som ser omtrent slik ut: $P$BE.lIb0ypAKBR2OZCREKMwSrPiWW9g1
Start WordPress Passord Hash Generator. Skriv inn det nye passordet du vil ha for denne brukeren, og klikk på» Hash this Phrase » – knappen. Kopier den genererte strengen og erstatt gjeldende user_pass-verdi med den. Du bør kunne redigere verdien ved å bare dobbeltklikke på den.
Lagre endringene og logg Inn På Ditt WordPress admin-område med ditt nye passord. Avhengig av hvor sterkt det valgte passordet ditt var, og hvis nettstedet ditt håndhever sterke passord, kan du bli bedt om å velge et sterkt passord umiddelbart etter at du har logget på.
Metode 2: Opprette En Ny WordPress Admin Bruker Via Databasen
Opprette en ny admin bruker er lik den ovennevnte prosessen med å tilbakestille en brukers passord. Men det er litt mer komplisert. Denne gangen vil vi endre både wp_users-tabellen og wp_usermeta-tabellen. Her er hva du trenger å gjøre…
Opprett en ny post i wp_users-tabellen. Angi disse feltene:
- user_login – brukernavnet du vil ha for å få tilgang Til WordPress admin området
- user_pass – hash – koden til ditt valgte passord generert ved Hjelp Av WordPress Passord Hash Generator
- user_email – e-posten du vil knytte til denne nye kontoen
- user_registered-datoen denne brukeren ble registrert
alle de andre feltene kan forbli tomme for nå. De er ikke obligatoriske felt. Men du kan redigere dem senere fra WordPress dashboard hvis du vil. Lagre den nye brukeroppføringen.
Når lagret, Vil WordPress automatisk gi brukeren EN ID. Dette nummeret blir lagret I ID-feltet. Merk dette nummeret.
åpne nå wp_usermeta-tabellen. Vi vil opprette to nye poster i denne tabellen.
for begge nye poster setter du user_id-feltet til den automatisk genererte IDEN ovenfor.
for den første posten angi feltet meta_key til wp_user_level og angi feltet meta_value til 10.
for den andre posten sett meta_key-feltet til wp_capabilities og sett meta_value-feltet til a: 1: {s: 13:»administrator»; s:1:»1″;}
MERK: Verdiene wp_user_level og wp_capabilities som brukes ovenfor, vil igjen avhenge av tabellprefikset som brukes i installasjonen. Så hvis for eksempel tabellprefikset ditt er wp_yourdomain_, bør verdiene være henholdsvis wp_yourdomain_user_level og wp_yourdomain_capabilities.
Lagre begge postene og logg inn På WordPress-nettstedet ditt med det nye brukernavnet og passordet du nettopp opprettet. Avhengig av hvor sterkt det valgte passordet ditt var, og hvis nettstedet ditt håndhever sterke passord, kan du bli bedt om å velge et sterkt passord umiddelbart etter at du har logget på.
når du har logget inn, rediger brukeren din Fra WordPress dashboard. Du trenger ikke å endre noe. Bare bla ned og trykk På Lagre-knappen. WordPress vil internt legge til litt ekstra informasjon til den nye brukeren du nettopp opprettet. Hvis du blir bedt om å oppgi ytterligere nødvendig informasjon, bare oppgi dem (for eksempel kan du bli bedt om å oppgi et unikt kallenavn).
Nå som du har en ny admin WordPress-konto, kan du gå videre og slette den gamle admin-kontoen hvis du vil. Under sletteprosessen Vil WordPress tillate deg å tildele alt innhold som er opprettet av den gamle brukeren til den nye brukeren (eller til en annen eksisterende bruker).
Metode 3: «Hacking» Et WordPress-Passord Ved Hjelp Av Funksjonene.php-Fil
Åpne funksjonene.php-fil av ditt aktive tema i en tekstredigerer. Denne filen vil vanligvis bli funnet her: public_html / wp_content/themes / your-active-theme / functions.php
Legg til denne kodelinjen i filen. Du kan bare legge den til på slutten av eksisterende innhold.
wp_set_password('yourdesiredpassword', 1);
det er best å velge et sterkt passord. På den måten, hvis nettstedet ditt håndhever sterke passord, trenger du ikke å endre det igjen etter at du har logget på.
i ovennevnte tilfelle vil passordet til brukeren med EN ID på 1 bli tilbakestilt.
Lagre funksjonene.php fil og besøke nettstedets frontend. Brukerens passord vil bli tilbakestilt.
VIKTIG: før du selv bekrefter at tilbakestillingen av passordet virket, må du først slette koden ovenfor fra funksjonene dine.php-fil. Hvis du ikke gjør det, tilbakestilles passordet på hver sideinnlasting, og du kan aldri klare å logge inn med det nye passordet du har angitt.
etter at du har slettet koden for tilbakestilling av passord, kan du nå logge inn med det nye passordet.
du kan lese mer om wp_set_password () – funksjonen her.
Merk at i motsetning til metoden for tilbakestilling av databasepassord ovenfor, for å bruke DENNE TEKNIKKEN FOR TILBAKESTILLING AV FTP-passord, må du kjenne brukerens ID på forhånd. Men siden du kanskje ikke allerede vet dette (uten å gjette), tror jeg at databasepassord reset-metoden (beskrevet i Metode 1 ovenfor) er kraftigere.
Metode 4: Opprette En Ny WordPress Admin Bruker Ved Hjelp Av Funksjonene.php-Fil
Åpne funksjonene.php-fil av ditt aktive tema.
Legg til denne koden i filen.
function ehi_kioya_create_admin_account(){$username = 'yourdesiredusername';$password = 'yourdesiredpassword'; // Choose a strong password. That way, if your website enforces strong passwords, you won't be required to change it again after signing in.$email = '[email protected]';// Only create user if chosen username and chosen email are not already in useif (!email_exists($email) && !username_exists($username)){$userid = wp_create_user($username, $password, $email);wp_update_user(array('ID' => $userid, 'nickname' => $email));$newuser = new WP_User($userid);$newuser->set_role('administrator');}}add_action('init','ehi_kioya_create_admin_account');
ikke glem å skrive inn ditt eget brukernavn, passord og e-postverdier. Hvis Det allerede er En Bruker I WordPress med ditt valgte brukernavn eller e-post, blir det ikke opprettet en ny konto. Så sørg for å bruke unike verdier for brukernavn og e-post.
Lagre funksjonene.php-fil og så bare besøke nettstedet ditt frontend. Koden vil bli utført og den nye administratorbrukeren vil bli opprettet. Du kan deretter logge inn med legitimasjonen til den nye brukeren.
Igjen, ikke glem å slette koden fra funksjonene.php-fil.
Konklusjon
Forhåpentligvis vil En av metodene som er omtalt ovenfor, hjelpe deg med å få administrativ tilgang til WordPress-nettstedet ditt. Ved å ha tilgang til database og / eller filsystem, beviser du at du har rettigheter til serveren og bør derfor ha rettigheter til nettstedene som ligger på den. Hvis Du prøver å hacke Et WordPress-nettsted som du ikke har database eller filsystemtilgang til, forsøker du å hacke andres nettsteder og er tydeligvis ikke bra. Å få uautorisert tilgang til andres nettsteder som det er en forbrytelse og ikke noe jeg lærer eller oppfordrer.
hvis du fant metodene diskutert her nyttig, eller har et spørsmål eller bidrag, kan du dele dine tanker ved hjelp av kommentarfeltet nedenfor.