0

我正在测试一个 sql 查询，并且我正在正确输入用户名和密码，但它并没有给我匹配。

这是查询的输出：

SELECT * FROM wp_users where user_login='User' and user_pass='pass'

我可以看到我输入正确但仍然返回错误。

我知道密码在数据库中的 md5 中。

我需要解码查询中的变量吗？如果有怎么办？

我已经尝试过了，但没有奏效：

$SQL =   "SELECT * FROM wp_users where user_login='".$username."' and user_pass='".md5($password)."'";

更新：

这是 md5($password) - 3fc0a7acf087f549ac2b266baf94b8b1 的内容

这就是数据库中的内容：$P$BfzHHqBF88q4RHJsAiVf4m7.ulbgCZ1

它们都应该是相同的：o/

4

4 回答 4

1

最简单的方法是调用 Wordpress 函数 wp_hash_password(password)。在这种情况下，您的查询将如下所示：

require_once '/path/to/wp-config.php';  //will load up wordpress, such as if you're doing this from a script
$SQL =   "SELECT * FROM wp_users where user_login='".$username."' and user_pass='".wp_hash_password($password)."'";

Wordpress 不使用标准 MD5，而是使用phpass库来散列用户密码。因此，如果您尝试从 Wordpress 之外执行此操作，那么您将需要查看该库。这是使用 phpass 实现 wp_hash_password() 方法的代码：

if ( !function_exists('wp_hash_password') ) :
/**
 * Create a hash (encrypt) of a plain text password.
 *
 * For integration with other applications, this function can be overwritten to
 * instead use the other package password checking algorithm.
 *
 * @since 2.5
 * @global object $wp_hasher PHPass object
 * @uses PasswordHash::HashPassword
 *
 * @param string $password Plain text user password to hash
 * @return string The hash string of the password
 */
function wp_hash_password($password) {
    global $wp_hasher;

    if ( empty($wp_hasher) ) {
            require_once( ABSPATH . 'wp-includes/class-phpass.php');
            // By default, use the portable hash from phpass
            $wp_hasher = new PasswordHash(8, TRUE);
    }

    return $wp_hasher->HashPassword($password);
}
endif;

您可能可以通过遵循相同的模式获得相同的内容：

require_once '/path/to/wp-includes/class-phpass.php';
$my_hasher = new PasswordHash(8, TRUE);
$SQL =   "SELECT * FROM wp_users where user_login='".$username."' and user_pass='". $my_hasher->HashPassword($password)."'";
于 2012-06-27T19:32:51.940 回答
0

您确定密码在存储到数据库之前没有加盐吗？如果是，您将需要执行以下操作：

$SQL =   sprintf("SELECT * FROM wp_users where user_login='%s' and user_pass='%s'", $username, md5($salt.$password));

我还会研究 mysql_real_escape_string 和 PDO 准备好的语句，而不是直接的 mysql

于 2012-06-27T19:08:13.287 回答
0

检查 INSERT/UPDATE wp_users 命令中使用的加密功能。在 MySQL 中有一堆加密函数。看看这里。

用于登录目的，Password(string)经常使用。

于 2012-06-27T19:58:27.693 回答
0

看起来数据库中的密码是用Crypt函数存储的。看：

$pw="thisismypassword";
echo crypt($pw);    // $1$lmJBSDCp$AcU45N45sUhdglYn28T4X/
echo md5($pw);  //31435008693ce6976f45dedc5532e2c1

尝试在查询中使用 crypt。Crypt 还使用我相信 wp_config.php 文件中的“盐”。

于 2012-06-27T19:32:43.530 回答