wordpress密码解密

WordPress密码不是密码解密加密，是密码解密哈希。这事儿得先说清楚，密码解密因为太多人搞混了。密码解密你数据库里wp_users表那串像乱码一样的密码解密东西，比如$P$B1234567890abcdefghijklmnopqrstuv，密码解密它不是密码解密能解开的密码，是密码解密密码经过单向算法后的指纹。你没法把指纹还原成手指，密码解密但你可以拿另一根手指去比对。密码解密

很多人问我“能不能帮我解一下WordPress密码”，密码解密我第一反应是密码解密反问：你是站长忘了密码，还是密码解密拿到了别人的数据库？如果是前者，别费劲解密了——直接在phpMyAdmin里跑一句UPDATE wp_users SET user_pass = MD5('新密码') WHERE ID = 1;，密码解密或者用wp-cli执行wp user update 1 --user_pass=新密码，密码解密十秒钟搞定。WordPress系统看到MD5格式的哈希会自动识别，下次登录时它会用新的哈希算法重新处理你的密码。这招简单粗暴，但确实管用。

如果非要“解密”别人的哈希，那就得聊聊WordPress的哈希机制了。从4.4版本开始，它默认用Portable PHP Password Hashing Framework，也就是那个$P$开头的格式。这玩意儿基于MD5迭代了8192次，还加了随机盐。什么意思？就是同一个密码“admin123”，每次生成的哈希都不一样，因为盐是随机的。想用彩虹表？没戏。想暴力破解？每秒能试几万次的话，碰上强密码你得算到宇宙热寂。

但有个例外——老版本网站。2015年以前的WordPress用的是纯MD5，不带盐。这种哈希在今天的GPU集群面前跟纸糊的一样。我见过一个案例，某外包公司给客户做迁移，数据库里全是21232f297a57a5a743894a0e4a801fc3这种32位MD5，拿hashcat跑字典，不到半小时就出了十几个弱密码。客户脸都绿了，因为好几个管理员共用“password123”。

还有一种情况，你得小心。有些“破解工具”其实是钓鱼。你输入目标哈希，它后台偷偷记录，然后给你返回一个假密码。等你兴冲冲去登录，对方早就用你的查询记录反向入侵了。真要想测自己网站的密码强度，用官方推荐的wp_password_hash函数生成哈希，再本地跑字典测试，别把哈希发给任何在线服务。

所以你看，WordPress密码这事儿，本质不是解密，是重置或碰撞。忘了密码就走重置流程，拿到别人哈希就别动歪心思——真碰上了，你该做的是通知站长改密码，而不是炫耀自己能跑出“iloveyou”。技术本身没善恶，但用技术的人得有边界。这行干久了你会发现，大部分所谓“解密需求”，最后都变成了提醒对方改密码的尴尬对话。挺好。