wordpress2.8.4无法升级,手动解除安全危机

WP紧急发布了2.8.4版,为的是修复一个安全漏洞,这个漏洞可以使攻击者通过伪造一个请求到一个特别的网址，从而绕过安全检查，直接验证用户并重设密码。其结果是，可以重设第一个帐户（通常是管理员帐户）的密码，并将其通过邮件发送给该帐户的拥有者。

但直到现在,WP的官方2.8.4版都无法正常更新,那么我们只有手动解决这个安全隐患.

这次漏洞的具体问题在于攻击者可以滥用密码重置功能，并绕过用户名(电子邮箱地址)验证,然后直接重设代表管理密码的$key 关键变量。(具体的可以看看这篇文章)

那么解决的方法就是判断KEY是不是数组,如果是就终止执行或者提示,修复方法:

搜索wp-login.php文件

require( dirname(__FILE__) . ‘/wp-load.php’ );
下面增加
if (is_Array($_GET["key"])){
exit();
}

这就OK了.

如果你不幸中招怎么办？
登陆你的phpadmin,输入SQL查询语句

UPDATE `你的数据库名`.`wp_users` SET `user_pass` = ‘32位的MD5加密’
WHERE `wp_users`.`ID` =1 LIMIT 1 ;

你可以到一些提供MD5在线加密的网站把你的密码加密后 在复制到查询器查询更新。然后你就可以用你的新密码登陆了.