Zdarza się dość często, że nagle tracimy hasło do WordPressa, a to przychodzi klient żeby zaktualizować mu stronę i ktoś kto kiedyś się nią zajmował nie daje znaku życia. Albo po prostu mamy pecha i nasz zeszycik z hasłami ulega samoistnej dezintegracji, lub co gorsza ktoś nam się włamał na stronę i szantażuje, że da dostęp po otrzymaniu przelewu 🙂 No dobra ale co zrobić?
Zachowaj spokój
W przypadku braku dostępu do strony, obojętnie z jakiej przyczyny należy spokojnie w pierwszej kolejności wykonać kopie zapasowe plików z hostingu, oraz kopię zapasową bazy danych np. poprzez narzędzie phpMyAdmin. W jaki sposób zrobić kopię bazy danych, trzy proste sposoby opisuję w tym poradniku. Gdy już wszystko zostanie zabezpieczone na jakimś pewnym nośniku można zacząć się bawić w hakera.
Odzyskanie hasła WordPress przez email
W pierwszej kolejności należałoby sprawdzić odzyskanie hasła na email. Wbijamy w tym celu na nasze zaplecze i próbujemy wyklikać przypomnienie hasła na email, oczywiście tylko wtedy jeśli mamy dostęp do tego emaila, lub nie został on przez kogoś „złego” zmieniony – w takim przypadku najlepiej żeby nikt nie widział, że coś akurat próbujemy robić przy stronie. W przypadku takiego ataku procedura jest bardzo podobna, ale musimy w pierwszej kolejności zrobić kilka innych rzeczy żeby utrudnić atakującemu dostęp do przejętej strony, ale to temat na inny wpis. W każdym razie klikamy w „Nie pamiętasz hasła?” wypełniamy formularz i to już koniec naszego stresu.
Odzyskanie hasła bez dostępu do email
W przypadku gdy nie mamy dostępu do poczty, na którą przyjdzie hasło, lub wszystko zostało zmienione przez kogoś niepożądanego, przychodzi z pomocą baza danych. Jeżeli jest sytuacja, że nie znamy loginu ani hasła do bazy danych, lub ktoś je zmienił trzeba je wyciągnąć z pliku konfiguracyjnego. Można do tego celu wykorzystać dopiero co utworzony backup lub po prostu zalogować się na hostingu i przejść do plików witryny. Odwiedzamy główny katalog, w którym jest zainstalowany WordPress i szukamy pliku o nazwie wp-config.php. Otwieramy go czymkolwiek, można użyć do tego nawet notatnika. I szukamy w górnych liniach coś takiego:
Cyferki z lewej to numeracja linii, więc te informacje są na samym początku. DB_NAME – to nazwa naszej bazy danych, DB_USER – specjalny login do bazy, czasem może być taki sam jak do WordPressa, ale nie jest to dobre i bezpieczne rozwiązanie. DB_PASSWORD – hasło, którym zalogujemy się w phpMyAdmin. Tu potrzebujemy tylko nazwę użytkownika i hasła i przechodzimy do bazy danych. Z naszego hostingu z pewnością dowiemy się pod jakim linkiem znajduje się narzędzie phpMyAdmin, na pewno w sekcji z bazami danych będzie od razu gotowy do kliknięcia link. Przechodzimy do strony logowania do phpMyAdmin i wpisujemy nasze dane. Po zalogowaniu się widzimy coś takiego:
W kolumnie po lewej stronie szukamy tabeli o nazwie wp_users, wszystkie rekordy lecą alfabetycznie, więc jest to łatwe do znalezienia z ręki. Gdy już znajdziemy klikamy i widzimy wszystkich użytkowników oraz ich dane:
Wszystkie dane użytkowników, nazwy, adresy email, oraz login, który będzie nam potrzebny jeśli nie znamy. Hasło nie jest wpisanie jawnie, jest zaszyfrowane, więc kopiowanie go nic nam nie da. Powyżej widzimy tylko jednego użytkownika, ale gdy będzie ich więcej szukamy szukamy gościa, który w kolumnie user_nicename będzie miał wpis admin. Klikamy z lewej strony edytuj i teraz zaczyna się najprzyjemniejsze. Zmieniamy typowi hasło:
Tu należy pamiętać żeby nowe hasło zapisać w formacie MD5, samo hasło wpisujemy zwykłym tekstem, oczywiście zapamiętujemy je, oraz login. Po całej akcji zapisujemy rekord i wylogowujemy się z bazy danych. Wszystkie dane, którymi teraz dysponujemy, login użytkownika, oraz nasze nowo utworzone hasło pozwolą nam na swobodne zalogowanie się w WordPress. To wszystko 😉
