OAuth和OpenID Connect圖解指南
在頂部有一個條件語句，排除了來自搜索引擎爬蟲的用戶代理的Cookies。這確保了發送給攻擊者的數據更有可能立即可用。
在確保數據屬于真實用戶后，腳本收集活動Cookie數據并將其傳遞給惡意網站，供攻擊者使用。
在腳本中，您可能注意到了虛假域名——code.wordprssapi[.]com——那是Cookie數據被發送的地方。
通過購買一個與合法網站平臺或服務非常相似的域名，一些網站管理員可能會在他們的代碼中忽視這一點，并假設它是一個官方WordPress域名（它不是）。
順便說一下，code.wordpressapi[.]com（正確拼寫）也與WordPress無關。
我們已經看到過拼寫錯誤。它繼續是一種幫助黑客逃避網站所有者檢測的策略。這是所有網站管理員在審計自己的代碼時應該意識到的事情。要小心，始終檢查域名是否合法，特別是如果它涉及收集或向第三方網站發送信息。
即使它是一個官方WordPress域名，發送Cookies始終是一個危險信號。Cookies包含大量不應共享的私人信息。
由于攻擊者越來越擅長隱藏他們的蹤跡，核心文件完整性檢查或網站監控服務將提醒用戶有關問題。
更多API相關內容，請查看冪簡！
