Как wordpress хранит и шифрует пароли?

Question

[Максим Ростовщик]

Добрый день,

Хочу перенести пользователей со своего WP сайта на Django. Соответственно вопрос: как перенести базу пользователей и как вообще хэшируются пароли в wp? Я так понял, что использует phpass, но не разобрался, как мне это может помочь. + вопрос: каким образов wp солит пароли? Ну и где они хранятся (соль к каждому паролю)

UPD: Меня удивляет зачем люди, которые не знают правильного ответа, пытаются помочь, но ладно.

Вот тут явно говорится, что wp не использует MD5, а использует phpass, но не могу понять каким образом происходит хэширование. Откуда эта библиотека берет соль - непонятно

Comments

[Одиночка Айс]

Соль хранится в wp-config.php, а используется вроде md5 обычный, по крайней мере, на это наталкивают всякие мануалы по восстановлению/обновлению пароля от админки. Но юзеров обычных может быть по другому все.

[Максим Ростовщик]

Одиночка Айс, ну, что-то не похоже на то, что вы правы. Например, почему тогда по этому мануалу я могу пользоваться этим хэшем ($P$BLIwZyiB0J2XvUAsNyKQI1hyEMox0A0), который был создан не на моем сайте. Следовательно, соль не уникальна или ее вообще нет?

[Одиночка Айс]

maksrostovshik, для админов да, соль не используется, там просто md5 прям в базе делаешь и все ок. А соль я просто указал где она находится, используется ли она или нет, я сам хз, опыта на wp мало.

Answer 1

[Александр Токмаков]

md5, соли хранятся wp-config.php
Перенести не проблема. Если что например пароль забыли, то через phpMyAdmin можно поменять прямо в бд. 1000 раз так делал

Comments

[Максим Ростовщик]

У меня больше 500 разных пользователей (небольшой сервис). Поэтому и проблема. А насчет соли, там четыре разных, ну и их можно менять. Не совсем понимаю, при изменении соли в конфиге я все-равно могу заходить в аккаунты.

[Александр Токмаков]

maksrostovshik, не сразу заметил "Django" . Не имею опыта с ней. Возможно, стоит посмотреть сюда:
Как перенести БД пользователей из WordPress в 1С Битрикс?
https://code.google.com/archive/p/django-wordpress...
https://github.com/istrategylabs/django-wordpress

[Максим Ростовщик]

Не в Django дело. Конкретный же вопрос задаю, потому что хочу понять как работает процесс хеширования паролей, а не просто как перенести с помощью чужого кода и забыть.

[Александр Токмаков]

Для хеширования паролей используется phpass. Смотрите файл class-phpass.php.

При создании пароля вызывается функция wp_set_password(), которая вызывает wp_hash_password(). Та хеширует его с помощью phpass и возвращает, далее wp_set_password() пишет хеш в базу. Все что вам нужно находится в упомянутом выше файле. Соли находятся в wp-config.php

[Максим Ростовщик]

Александр Токмаков, какая же соль из четырех предназначна для паролей-то?

[Александр Токмаков]

Максим Ростовщик, По умолчанию AUTH_SALT

[Максим Ростовщик]

Не совсем понимаю, при изменении соли в конфиге я все-равно могу заходить в аккаунты.

Вы вообще понимаете суть вопроса или это догадки? Я сменил соль и все-равно успешная авторизация, мне кажется или так не должно быть?)

[Максим Ростовщик]

В общем, фигню вы полную сморозили. AUTH SALT нужна только для авторизационных кук и все. Я не понимаю, зачем писать что-то, не разбираясь?