Как достать пароль от админки WP
Ситуация такая: нужно попасть в админку, логина-пароля я не знаю. Но есть ФТП, соответственно, где-то в конфиге есть доступ в БД. Пароль вордпресс хранит в базе, я правильно понимаю? Если он в базе, то хеширован ли он там? Собственно, подскажите, как его извлечь? М.б. есть какие-то скрипты по этому поводу. Или можно в базе создать другого юзера с аналогичными правами? Если что, сайт мой 🙂 Извиняюсь за глупые вопросы, не дружу я с ВП. Всем откликнувшимся заранее спасибо!
Истинный самурай не должен бояться трудностей и не искать легких путей.
- eTarget 2011:Панельная дискуссия «Стратегия и планирование рекламной кампании в интернете»
- eTarget 2011: Круглый стол «Реклама в онлайн-видео»
- Могут ли «плохие» входящие ссылки привести к ухудшению ранжирования?
На сайте с 25.05.2008
2 апреля 2010, 20:01
Dvoe:
Пароль вордпресс хранит в базе, я правильно понимаю?
Dvoe:
Если он в базе, то хеширован ли он там?
Dvoe:
Собственно, подскажите, как его извлечь?
Никак. Только поставить новый.
Лог в помощь!
На сайте с 29.11.2008
2 апреля 2010, 20:04
Насколько я понимаю, если это на самом деле ваш сайт — то там есть ссылка при входе «забыли пароль?». Нажимаете ее, вбиваете адрес почты, который вбит на ваш акк и вам придет на почту логин с паролем. Если, конечно, у вас есть к ней доступ 🙂
На сайте с 21.12.2009
2 апреля 2010, 20:38
Dvoe:
Ситуация такая: нужно попасть в админку, логина-пароля я не знаю.
Но есть ФТП, соответственно, где-то в конфиге есть доступ в БД.
Пароль вордпресс хранит в базе, я правильно понимаю?
Если он в базе, то хеширован ли он там?
Собственно, подскажите, как его извлечь?
М.б. есть какие-то скрипты по этому поводу.
Или можно в базе создать другого юзера с аналогичными правами?
Если что, сайт мой 🙂
Извиняюсь за глупые вопросы, не дружу я с ВП.
Всем откликнувшимся заранее спасибо!
Если потерян пароль то его никак не узнать так как он храниться в базе в зашифрованном виде с помощью функции md5 которая вычисляет хеш строки и обртной конвертации не имеет
Когда вы вводите свой пароль в форму скрипт не проверяет есть ли такой пароль в базе а всего лишь навсего сверяет его с хешем строки md5 — если есть совпадение то true если нет то false вот и всё — это стандартный вариант.
Это сделано для безопасности чтобы пароль укарасть нельзя было из базы данных. Обычно к паролю ещё и код добавляется — но это другая тема.
Если же вы при регистрации другой eml указали и не можете получить поттверждение на email то его можно поменять зайдя в базу данных в phpmyadmin на хостинге где расположен ваш сайт.
Как узнать логин WordPress и скрыть от хакеров
WP наполнен множеством ненужных и вредных функций. Если бы на свете не было хакеров и злоумышленников, тогда можно оставлять авторизацию в свободном доступе. Но в нашем мире нужно скрывать личную информацию, иначе ей воспользуются, конечно если вы не забыли login. В статье покажу как в WordPress узнать логин администратора и дам способ закрыть такую возможность.
Как узнать логин и пароль в WordPress в браузере
Простейший способ, срабатывающий в 95% случаев – зайти на главную страницу сайта и приписать к url через слеш /?author=1 .
Нажав enter получим перенаправление на страницу автора, в конце будет логин, вводимый в форму панели wp-login.
Так просто узнать имя администратора, а password подбирают перебором чисел и букв.
Чтобы узнать пароль нужно иметь доступ, то есть быть зарегистрированным и иметь почту, указанную в профиле. Все возможные пути как войти в админку, узнать и восстановить данные описал в статье.
Узнать логин в базе данных
Логин от WordPress содержится в не закодированном виде базе данных. Заходим в PHPMyAdmin на хостинге с базой данных Mysql от вашего сайта.
- Находим таблицу wp-users
- Видим столбик user-login
- Определяем необходимого пользователя, это будет логин
Login входа отображается как есть, но пароль в кодировке MD5, выше давал на ссылку на статью где эту кодировку меняем.
Как скрыть настоящее имя автора в WordPress
Команда WPShop не стала мирится с такой ситуацией и сделала свое решение проблемы. В плагине Clearfy PRO есть настройка, посмотрим поподробнее.
После включения и сохранения, запрос к адресу не будет открывать таксономию с именем администратора, а произойдет редирект на главную. Также инструмент умеет прятать подсказки при входе в административную панель. Читателям статьи рекомендую воспользоваться выгодным промокодом на 15% и приобрести клеарфай, жмите кнопку, скидка вычисляется автоматом.
Способ с помощью кода
Альтернативных плагинов для WordPress не нашел, но есть несколько хороших функций, помогающих обезопасить сайт от возможности узнать логин. Первый способ – оставляем урл как есть и выдаем 404 ошибку.
function wpcourses_red_avtor() < if ( is_author() || ( isset( $_GET['author'] ) && $_GET['author'] && !is_admin()) ) < global $wp_query; $wp_query->set_404(); status_header(404); > else < redirect_canonical(); >> remove_filter('template_redirect', 'redirect_canonical'); add_action('template_redirect', 'wpcourses_red_avtor');
- Переходим в Редактор тем
- Открываем файл функций function.php
- Вниз документа вставляем код
- Обновляем
Не советую применять ошибку 404, да и вообще все, что начинается с 4** избегайте. Как альтернатива подойдет, но советую использовать ClearfyPRO.
Правило в .htaccess
Не рекомендую изменять серверный документ .htaccess, на разных хостингах он работает по разному. Но если знаете, что делаете то помещайте в него команды.
RewriteCond % ^/$ RewriteCond % ^/?author=([0-9]*) RewriteRule ^(.*)$ https://test-wp-kurs.ru/? [L,R=301] Redirect 301 /author https://test-wp-kurs.ru/Соответственно доменное имя меняете на свое. Но советую проконсультироваться по этой проблеме в поддержке хостинга, чтобы дали, а лучше сами сделали данную операцию. Читайте запись как правильно настроить .htaccess для WordPress.
Если думаете, что плагины затормозят работу, то ошибаетесь, в данном случае кдеарфай затрагивает только один адрес и не распространяет свое действие на сам WordPress. Работу с внедрением инструкций в серверные и внутренние документы не рекомендую практиковать.
Как сбросить пароль от WordPress
Если вы забыли пароль от админки WordPress, есть несколько способов восстановить его: по электронной почте, в установщике скриптов Softaculous и в приложении phpMyAdmin. Подробно о каждом из способов читайте в статье.
Содержание
- Сброс пароля по электронной почте
- Сброс пароля в приложении Softaculous
- Сброс пароля в phpMyAdmin
Как восстановить пароль от WordPress при помощи почты
Откройте страницу входа в панель управления WordPress и кликните по словам «Забыли пароль?» под формой для ввода логин-деталей.
На следующей странице введите электронную почту, которую указывали при создании аккаунта, и нажмите Enter, чтобы запросить смену пароля.
Если не можете вспомнить, какую почту использовали при создании аккаунта, попробуйте один из двух других способов восстановления пароля.
В письме, которое придёт вам на административный почтовый ящик, будет ссылка для восстановления пароля. Если письмо не приходит, проверьте все папки в почтовом ящике. Возможно, письмо по ошибке попало в «Спам», «Промоакции» или «Оповещения».
Перейдя по ссылке, вы попадёте на страницу, где нужно будут указать новый пароль от WordPress. Для надёжности рекомендуем использовать в нём буквы обоих регистров, цифры и специальные символы. Движок подскажет вам, если пароль не достаточно надёжный.
Как поменять пароль от WordPress в Softaculous
На хостинге с панелью управления cPanel изменить пароль от WordPress можно в приложении Softaculous — по умолчанию все установки движков хранятся там. Если у вас на хостинге другая панель управления, этого приложения может и не быть.
Зайдите в cPanel и найдите на её главной странице раздел «Softaculous Apps Installer». Как правило он расположен в самом низу.
На следующей странице перейдите в раздел «Установки» вверху Softaculous.
Прокрутите страницу вниз до таблицы с существующими установками WordPress. В её правой части будут иконки для базовых действий с установкой. Нажмите иконку с карандашом.
В параметрах установки найдите блок «Аккаунт администратора», введите в него новый пароль и сохраните изменения.
Как сбросить пароль от WordPress в phpMyAdmin
Зайдите в phpMyAdmin. На хостинге с панелью управления cPanel это приложение находится на главной странице панели в разделе «Базы данных».
В phpMyAdmin слева будет колонка со списком всех баз данных, которые есть на вашем сервере. Выберите базу данных сайта на WordPress, пароль которого хотите сменить.
Если не уверены, какую базу данных нужно выбрать, посмотрите её название в конфигурационном файле сайта. Для этого вернитесь на главную страницу cPanel, найдите на ней раздел «Домены» и откройте приложение «Домены».
В приложении «Домены» будет таблица со всеми доменными именами на сервере. Найдите в ней колонку «Корневая папка» и кликните по ссылку в строке с доменом, для которого будете менять пароль.
Откроется корневая папка сайта в «Менеджере файлов». Выберите в ней файл wp-config.php и нажмите на верхней панели «Редактировать». Затем нажмите «Edit» в появившемся всплывающем окне.
В файле wp-config.php название базы данных будет указано в строке, которая начинается со слов define( ‘DB_NAME’ .
Вернитесь в phpMyAdmin, откройте нужную базу данных и перейдите в левой колонке в таблицу wp_users . Это таблица с данными каждого пользователя на вашем сайте.
В строке с нужным пользователем нажмите кнопку «Edit».
Введите новый пароль в поле user_pass и обязательно выберите MD5 из выпадающего списка рядом. Это нужно, чтобы к паролю применилось шифрование и его нельзя было прочитать при просмотре базы. Чтобы сохранить изменения, нажмите «Go».
На этом всё. Надеемся, вы смогли восстановить пароль администратора WordPress при помощи этой инструкции. Если что-то не получилось или у вас остались вопросы, задайте их в комментариях, постараемся помочь.
Вход в админку WordPress
Админка WordPress — это административная часть сайта, в которой находятся все настройки сайта. По умолчанию вход в админку Вордпресс находится по адресу . /wp-login.php . Сама админка находится по адресу . /wp-admin/ .
Вход в админку должен быть хорошо защищен.
Если хакер получит доступ к админке, он может делать с сайтом все, что захочет. Скорее всего, он изменит пароль администратора или создаст нового администратора и удалит старого.
Существует несколько способов попасть в админку Вордпресс:
- Через wp-login.php
- Через xmlrpc.php
- Через почту администратора
- Через хостинг
- Через базу данных
В этой статье вы узнаете все основные способы защиты админки Вордпресс от взлома и несколько способов зайти в админку, если восстановление пароля не работает, или если хакер захватил контроль над сайтом.
- Вход в админку через wp-login.php
- Используйте сложный логин и пароль
- Отключите ошибки
- Измените адрес страницы входа в админку Вордпресс
- Ограничьте количество попыток авторизации
- Добавьте двух-факторную авторизацию или дополнительные вопросы
- Установите пароль на страницу авторизации
- Вход в админку через xmlrpc.php
- Доступ к админке через почту администратора
- Доступ к админке через хостинг или FTP
- Доступ к админке через базу данных
- Бонус. Как изменить картинку на странице авторизации
- Измените пароль администратора в базе данных
- Измените е-мейл администратора в базе данных
- Как изменить пароль администратора Вордпресс без доступа к базе данных
- Как создать нового администратора Вордпресс без доступа к админке и базе данных
Вход в админку через wp-login.php
У каждого зарегистрированного пользователя есть доступ к админке. Каждому пользователю при регистрации назначается роль, которая определяет, что пользователь может или не может делать. По умолчанию в Вордпрессе существует 5 ролей:
- Администратор
- Редактор
- Автор
- Участник
- Подписчик
Некоторые плагины добавляют новые роли, например, WooCommerce создает роли Клиента и Менеджера магазина, плагин Yoast SEO создает роли SEO редактора и SEO менеджера. Вы можете добавить новые роли вручную или с помощью плагинов, и дать им нужные права.
У администратора есть полный доступ ко всем настройкам в меню админки. У других пользователей меньше прав на управление админкой. Подписчики имеют самые ограниченные права, у них есть доступ только к своему профилю на сайте.
Проверьте, что для роли пользователя по умолчанию установлено значение «Подписчик». Проверить роль по умолчанию можно в Настройки — Общие — Роль нового пользователя.
Несмотря на то, что у подписчика минимальные права в админке, используйте сложные логины и пароли для подписчиков и всех остальных пользователей на сайте.
Используйте сложный логин и пароль
При установке Вордпресс администратору сайта дается имя admin по умолчанию.
Логин admin — первый, который пробуется хакерами при попытке подобрать логин и пароль к сайту. Хакеры используют ботов, которые автоматически обходят тысячи сайтов и используют списки популярных логинов и паролей, которые находятся в свободном доступе.
Не используйте имена admin, administrator, test, demo, домен сайта и аналогичные в качестве логина. Также не используйте простые / распространенные пароли qwerty, password, 12345, 1q2w3e, йцукен и так далее.
Еще одна вещь, на которую нужно обратить внимание — не используете тот же логин, что и имя пользователя, которое можно найти на Страницах или Постах в мета-тегах Автора.
Если ваш логин такой же, как имя пользователя, то хакеры уже знают половину информации для входа на сайт.
Зайдите в Пользователи — Ваш профиль. Выберите другое имя в выпадающем списке Отображать как и нажмите Обновить информацию.
Вместо Very-strong-username у вас должен быть ваш уникальный сложный логин.
В Вордпрессе есть встроенный генератор паролей. Перейдите Пользователи — Ваш профиль — Управление учетной записью.
Вы можете хранить пароли в хранителе паролей, например lastpass.com или браузере, или придумайте собственный сложный пароль, например, У меня есть собака породы пудель, который родился в 2018: UmespP,krv2018.
Отключите ошибки
По умолчанию при неудачной попытке авторизации Вордпресс показывает ошибку, в которой говорится, что именно введено неправильно, — логин или пароль.
Когда хакер найдет верный логин, ему останется только подобрать пароль. Чтобы не давать хакеру подсказку, измените сообщение на нейтральное, например, Введенный вами логин или пароль неверен.
Измените адрес страницы входа в админку Вордпресс
Чтобы усложнить задачу хакерам по подбору логина и пароля, перенесите страницу авторизации со стандартной . /wp-login.php на что-нибудь уникальное, например . /entry-page .
Перед тем, как они начнут перебор паролей, им придется найти страницу, где можно это делать.
- 2 Способа изменить страницу входа в админку без плагина
- Как изменить страницу входа Вордпресс: 5 плагинов
Ограничьте количество неудачных попыток авторизации
По умолчанию Вордпресс не ограничивает количество неудачных попыток авторизации, и хакер может пробовать столько комбинаций логина и пароля, сколько захочет.
Это опасно, потому что есть некоторая вероятность, что хакер в итоге найдет правильную комбинацию и зайдет на сайт. Во-вторых, многократные попытки зайти на сайт расходуют ресурсы сервера, особенно если выполняются хакботами автоматически.
Current Version: 2.25.26
Last Updated: 14.11.2023