這個(gè)看起來更加可疑，其注入了一段加密了代碼。我們進(jìn)行了解密，驚奇的發(fā)現(xiàn)這段代碼也很正常。正如插件作者在開頭備注中所說的一樣，這是進(jìn)行第二次驗(yàn)證。如果登錄名和密碼是有效的，就會(huì)向WP數(shù)據(jù)庫檢索用戶郵箱，將從第三個(gè)字符開始進(jìn)行替換直到@符號(hào)位置，最后要求驗(yàn)證該郵箱。

所以，即使機(jī)器人支持Javascript以及cookies，并且幸運(yùn)的通過了第一層反機(jī)器人保護(hù)，在第二層也是會(huì)失敗的，因?yàn)榈诙颖Ｗo(hù)是需要對(duì)郵箱進(jìn)行驗(yàn)證的。這樣即使是有人盜取了你的WordPress密碼，如果沒有進(jìn)行郵箱確認(rèn)也是無法登錄的。

用戶對(duì)電子郵箱地址進(jìn)行確認(rèn)過后，會(huì)有一個(gè)額外的設(shè)置步驟，對(duì)??WP_FLV_EMAIL_CONFIRMED??cookie設(shè)置為保存1000天，所以他們不需要每次登錄都進(jìn)行郵箱驗(yàn)證。

最后的“bootstrap” 部分，包含了將wp-core.php注入到index.php的代碼（你可以在文章的開頭看到）。它能夠確保?“bruteforce protection” 一直都能夠使用，如果wp-login.php中的代碼被移除，它能夠自己進(jìn)行修復(fù)。

如果我們忘記通過非常規(guī)方式向WordPress添加功能，這段代碼確實(shí)能夠起到強(qiáng)有力的保護(hù)機(jī)制。當(dāng)然，這并非看上去那么完美，對(duì)于那些有針對(duì)性的攻擊起到的作用并不大，特別是當(dāng)攻擊者了解這個(gè)保護(hù)機(jī)制以后。但是無法否認(rèn)的是，這個(gè)保護(hù)機(jī)制確實(shí)會(huì)為站長解決一些不必要的麻煩，至少這個(gè)保護(hù)機(jī)制能夠防止目前95%的自動(dòng)化枚舉攻擊。

講了半天，難道這個(gè)插件真真正正的是一款不可多得的優(yōu)秀插件？我會(huì)告訴你wp-core.php中500多行的代碼中有關(guān)“bootstrap”的代碼不足100行？那么剩下的80%代碼都是做什么的呢？

wp-core.php中的惡意代碼??

那么剩下的那80%代碼都是沒有保護(hù)作用的。

舉個(gè)例子，它可以顯示所有存儲(chǔ)在WordPress數(shù)據(jù)庫中的電子郵箱，如果不需要授權(quán)就可以提取郵箱地址，之前的保護(hù)也就變得毫無意義了。

同時(shí)，還安裝有一個(gè)開放的重定向器。現(xiàn)在黑客就可以向使用了“bruteforce protection” 的網(wǎng)站站長發(fā)送垃圾郵件了，釣魚再或者對(duì)網(wǎng)站訪客進(jìn)行重定向到一個(gè)黑客指定的網(wǎng)站。

實(shí)例演示

??wp-core.php的主要功能就是管理?pharma-spam doorways。如果一個(gè)博客的URL有其特定的參數(shù)（比如“th”，類似?http://www .example .com/?th=doryx+150mg+exclusivity）那么wp-core.php會(huì)將正常的博客內(nèi)容替換成垃圾內(nèi)容。

如果訪問者不是機(jī)器人，而是來自搜索引擎。那么它會(huì)通過單獨(dú)的關(guān)鍵字，重定向到其他網(wǎng)站

在跳轉(zhuǎn)之前，惡意插件會(huì)設(shè)置一個(gè)相同命名的cookies作為URL參數(shù)。在接下來的100天內(nèi)，相同的訪問者如果再次打開網(wǎng)頁依舊會(huì)進(jìn)行跳轉(zhuǎn)到其他頁面。

如果訪問者沒有cookies，也不是從搜索引擎過來的。這樣的訪問者所訪問頁面就會(huì)顯示大量的垃圾內(nèi)容。

這些垃圾內(nèi)容就存儲(chǔ)在wp-admin/update-backup.db文件中

通用性

??必須要提到一點(diǎn)，盡管這是一個(gè)WordPress插件,但是同樣可在其他PHP站點(diǎn)中運(yùn)行。唯一的區(qū)別只是WP-specific函數(shù)無法使用而已。

總結(jié)

??總之這個(gè)插件真的很奇怪。??它試圖將所有類型的PHP站點(diǎn)作為目標(biāo)，并將自身注入到index.php。但主要目標(biāo)還是WordPress站點(diǎn)。

這樣就可以解釋為何以wp-core.php命名了，并且在WordPress根目錄下也不是那么的顯眼，但是這個(gè)文件在Joomla 或者vBulletin搭建的網(wǎng)站下就顯得十分刺眼了。

wp-core.php文件很容易被安全性插件通過檢測(cè)WordPress核心完整性然后查殺。為了分散使用者的注意，該插件包含有一些能優(yōu)化WordPress的功能。

最后，最近經(jīng)常爆出WordPress插件的漏洞，希望各位在使用各種插件的時(shí)候多仔細(xì)審查，免受無妄之災(zāi)。