2014-01-28 27 views
0

我想编辑对我的WordPress网站我的PHP登记表,使所有新用户具有以下隐藏的默认密码:WordPress的使用电子邮件作为用户名和注册表格上的所有新用户

  1. 他们只能进入他们的电子邮件地址(user_email)在注册表单中,并且该字段被复制并使用/输入为用户名(user_login)
  2. 将相同的密码分配给所有新用户。从字面上可以在表单上预先输入“密码”的密码。

我知道这听起来像是一个巨大的安全混乱,但对于我的特定网站来说,没有问题,因为我不使用Wordpress作为典型的博客,而只是需要CMS和我的通讯。 新用户无能为力。评论是不允许的,无论如何他们默认为“订阅者”。

我希望他们注册的唯一原因/登录的一切都是那么我可以有:

A.有条件的菜单,将基于那些谁是“登录”和那些谁是不会改变的。 B.用户注册,这样我可以让用户注册我的电子邮件通讯,并通过简单地将他们的电子邮件地址输入到单个注册电子邮件字段来同时注册所有内容。

默认的相同密码只建立,因为我的网站需要登录只用于条件菜单。 因此,如果有人注销,我希望登录菜单的密码字段预先输入默认的“密码”,这样用户甚至不需要记住除电子邮件地址以外的任何内容。

我使用标准的WordPress形式:

<form name="registerform" id="registerform" action="<?php echo esc_url(site_url('wp-login.php?action=register', 'login_post')); ?>" method="post"> 
<p> 
    <label for="user_login"><?php _e('Username') ?><br /> 
    <input type="text" name="user_login" id="user_login" class="input" value="<?php echo esc_attr(wp_unslash($user_login)); ?>" size="20" /></label> 
</p> 
<p> 
    <label for="user_email"><?php _e('E-mail') ?><br /> 
    <input type="text" name="user_email" id="user_email" class="input" value="<?php echo esc_attr(wp_unslash($user_email)); ?>" size="25" /></label> 
</p> 
<?php 
/** 
* Fires following the 'E-mail' field in the user registration form. 
* 
* @since 2.1.0 
*/ 
do_action('register_form'); 
?> 
<p id="reg_passmail"><?php _e('A password will be e-mailed to you.') ?></p> 
<br class="clear" /> 
<input type="hidden" name="redirect_to" value="<?php echo esc_attr($redirect_to); ?>" /> 
<p class="submit"><input type="submit" name="wp-submit" id="wp-submit" class="button button-primary button-large" value="<?php esc_attr_e('Register'); ?>" /></p> 
</form> 

我猜的替代选择是只是为了破解wordpress_logged_in_ [散列]的cookie,所以当用户访问这样,当他们点击“登录”,输入他们的电子邮件地址,它真的只是将它们添加到我的通讯,然后放置一个cookie,就好像他们已登录。 无论哪种方式工作,所以任何帮助表示赞赏,谢谢。

我对此有点新,所以任何帮助表示赞赏,谢谢。

回答

0

请理解我只是想帮助你。无论是作为个人,毫无疑问,他们都将成为有朝一日进行攻击和作为开发人员的目标。最后,当然,要启发未来的用户寻找quick trickseasy hacks

这是在很多方面的一个可怕的想法,让我扩大这一点。首先,Wordpress是世界上最常用的内容管理系统。对于这个星球上每100人,就有1个Wordpress安装。

此外,遍布全球的服务器上还存在成千上万的受感染的WordPress网站,这些网站参与僵尸攻击。通过容易猜到的FTP密码上传的感染性脚本,具有已知漏洞的过时WP安装以及我个人最喜欢的构建不佳的表格,可以对这些网站进行远程控制。 This page has been reported as an attack page存在的原因是因为常见的恶意网站。

这些机器人的目的是测试您的网站的安全性和完整性。获取您想要攻击的网站信息的两种最简单的方法都发生在1页请求中。

  • 解析&评估从GET请求页眉响应。您可以获得PHP版本(4.x,5.x),服务器类型&版本(apache,nginx),CORS头文件(起源补贴)以及其他一些信息,这些信息通常是请求。

  • 在字符串模式中删除令人难以置信的常见事件的DOM;例如,wp-,/templates/system/, /sites/default/。这实际上是说,让我们找到Wordpress,Joomla或Drupal!

截至目前,机器人有目标的,以及是否完全理解继续,或把它浪费的时间,继续前进。一旦决定执行,它将标志远程服务器(也有可能被感染的服务器),即坪等远程脚本他们告诉关注他们的攻击

现在,这是不是有些电影,这是每一天, 365/365/365,这些机器人不休息。一旦你落后于游戏,它会受到伤害。当你受到感染时,他们会回来。一旦他们被删除,他们无法ping脚本,他们会回来,再试一次。

你可能会想,但我已经有3个Wordpress站点2年了,我从来没有遇到任何问题!。这可能是真的,它可能不是现在,它可能不是明天,但它会发生,我可以向你保证这一点。

因此,请重新考虑您为此选择的方法。当涉及到服务器代码执行时(尤其是,它需要解析用户输入的数据),请首先考虑安全性。

旁注

如果你问另一个/编辑这个问题,以更安全的方法请求援助,我将编辑这篇文章,解决公平您的要求。

相关问题