SecuPress Backdoor User

SecuPress Backdoor User est un script PHP (et non un plugin WordPress) qui peut vous être utile lorsque vous avez perdu l’accès à votre panneau administrateur mais que vous avez accès au FTP.

Edit du 21 juillet 2012 : v2.0

Edit du 09 décembre 2016 : v3.0

Edit du 08 août 2017 : v3.1

Vous pouvez le télécharger depuis github : https://github.com/BoiteAWeb/SecuPress-Backdoor-User/

J’en ai parfois besoin quand un client me donne un accès FTP mais pas d’accès au tableau de bord. Plutôt que de lui envoyer un nouveau mail et d’attendre une réponse, je me crée moi même mon compte administrateur.

J’ai utilisé un base de script venant de Kévin (@darklg) ici : Récupérer un compte utilisateur sur WordPress puis modifié en 2016 par Fanchy pour améliorer le design.

Comment l’utiliser, c’est très simple :

• Renommez le fichier
• Envoyez le sur le site WordPress désiré, un sous-dossier est conseillé, le script saura retrouver WordPress.
• Puis 5 possibilités :
  1. Créer un utilisateur
  2. Se logger avec un utilisateur existant (sans connaitre son pass)
  3. Supprimer un utilisateur
  4. Editer le role ou le pass d’un utilisateur
  5. Désactiver des plugins et supprimer des mu-plugins
• Le fichier se supprime de lui même pour les 2 premières actions, pour les autres à vous de le faire.
• Au fait, si vous avez le message “Merci de renommer le fichier avant utilisation !“, relisez le premier point • !

Le script est-il securisé ?

• Premier point sécurité, il n’est pas possible de l’utiliser sans le renommer, cela dans le but de ne pas faciliter la recherche d’existence de ce fichier sur les sites WordPress,
• Deuxième point sécurité, le script sachant retrouver WordPress, vous pouvez vous amuser à l’uploader dans des dossiers comme /kqsdjhqks/erpoikdv/cvjhbqjdv.php, aucun problème. Je vous recommande de le faire d’ailleurs !
• Troisième point sécurité, une fois utilisé le fichier il s’autodétruit (pour les 2 premières actions).

Pourquoi ne pas avoir un 4ème point sécurité en ajoutant un mot de passe dans le code comme par exemple “?access_pass=monpass” ?

Et bien pour ne pas avoir à modifier le contenu du fichier et ainsi pouvoir garantir son intégrité via son hash MD5. Mais libre à vous de le faire si vous le souhaitez (cependant ne refuserais cette pull request).

Dans tous les cas, si vous utiliser ce fichier, c’est dans le but d’une utilisation instantanée, ne l’uploadez pas en pensant “Un jour j’en aurais besoin, je le cache ici” !

Il existe beaucoup de scripts PHP qui ne sont pas des plugins et qui peuvent s’utiliser de cette façon, par contre une fois sur votre site, leur nom de fichier étant celui par défaut, il est dangereux de les utiliser à long terme.

Je vous souhaite une bonne utilisation !

About Julio Potier All of Julio Potier's posts

Créateur de SecuPress et de la Formation LearnWPSecurity, Julio est aussi organisateur du WordCamp Lille.
Orateur compulsif, formateur sénior et ingénieur WordPress, il s’est spécialisé dans la sécurité depuis 2002 et contribue à WordPress sous diverses formes.