对wordpress采集插件WP-AutoPost pro v3.7.X的一次简单破解(20180512续)

0x00 废话

16年的时候建过一次垃圾站的站群，当时用的是网上下载的WP-AutoPost3.1的破解版。真的很好用啊！
ps：我建垃圾站无非就是图简单，不用管，让他自生自灭，反正空间容量够，域名用的都是.ml，.ga什么的免费域名。。
突然有一天，采集不了了~提示

没有找到文章标题, 请检查[文章抓取设置 => 文章标题匹配规则]

漂亮！当时只是单纯地以为程序有问题，加上工作原因就没去管他~

知道前几天，无聊看了看百度竟然收录了~不更新文章不行啊~得好好搞一搞。。

然后就猛百度+谷歌，搜出来的方法全部失效~除非你是收费用户，使用最新的插件！

0x01 过程

试了好几个版本，只要是老版本的全部提示

没有找到文章标题, 请检查[文章抓取设置 => 文章标题匹配规则]

新版本用了试用版可以采集~也就是说插件在采集的时候验证了，如果版本低的话就报错。。。

刚好有个虚拟机用来考计算机做题用的，就在上面架设了wordpress+wp-autopost插件，进行抓包查看！

抓包后证实了我的猜想~作者把验证文件删了！，访问那个URL提示404

当时走上了解码wp-autopost-function.php的道路。。。。。。。其实这是条弯路。。。。这条路浪费了我好多时间= =

那段时间打算放弃~找新插件用，

后来找到了my-autopost，这是wp-autopost的二次开发版，但作者没提供下载链接，以前用的3.1破解版好像也是那个作者提供的，现在的my-autopost好像收费了！

继续找，就找到了WP-AutoPost pro v3.7.X的破解版。。然后就放到了我的垃圾站！发现域名没被授权！

NMLGB，这算什么破解版！这是收费版好不好！

虚拟机，抓包~发现访问了http://www.手打马赛克.com/verification.php?d=我的域名 返回值是INVALID。。手动访问http://www.手打马赛克.com/verification.php?d=他的域名 返回值是VERIFIED，嘿~简单了！虚拟机修改host文件，再他的验证域名绑定到自己的虚拟机~测试成功采集！

那个“手打马赛克”其实就是my-autopost作者的网址~有兴趣的可以自己百度~其实我下载的这个插件就是wp-autopost的二次开发版。。。。

0x02 升级

老在虚拟机里更新文件也不是办法啊~得去修改掉wp-autopost-function.php才是王道啊！

ctrl+f在wp-autopost-function.php查找他的域名找不到~肯定加密了的

我们另辟蹊径，以前看过不少webshell里藏后门的文章，插后门的人也得想方设法地去藏他自己的接收地址。。我就去翻那些webshell后门分析的文章~有一篇讲的是把域名地址hex编码了~后来发现wp-autopost-function.php还真是！这就简单了~在自己的空间放个验证文件内容就是VERIFIED，再把地址hex，替换掉原来的验证地址~成功

0x03 结束语

不想说什么了~我现在得去找新版本~

0x04 20170731

昨天无聊用非正常手段获取了最新版WP-AutoPost pro v3.7.7。。然后闲着蛋疼把他XXOO了。。。

0x04 20180512

现在最新应该是3.7.8。已提供下载

下载链接：

百度网盘:https://pan.baidu.com/s/1lUEmNYb5blL-xjRtSAviOw 密码:15j6