Thread by @tomahock

Por default um site feito em WordPress expõe uma API. É, portanto, possível ver uma listagem de utilizadores registados num site de WordPress.

Vamos então ver a listagem de utilizadores do site do André Ventura: chega.pt/wp-json/wp/v2/…

Conseguimos perceber que há dois utilizadores, um chamado "André Ventura" e outro chamado "Chega".

Este utilizador chega tem o ID 1. Ou seja, foi o primeiro utilizador registado no site, foi a pessoa que fez a instalação do WordPress.

O WordPress utiliza um serviço para ter um avatar dos utilizadores que é o Gravatar.
O Gravatar para gerar endereços dos avatars que possam ser reutilizados em todos os sites usa a função de hashing MD5 do email.

Ou seja, para um input (o email) o output é sempre o mesmo (embora não seja, na teoria, possível fazer o inverso, pegar na hash e saber o email).

Sem saberem isto, muitos de vocês se vissem o avatar do utilizador 'Chega' automaticamente sabiam que ele é :) Ora vejam lá secure.gravatar.com/avatar/bfea1a9… reconhecem este avatar?

Mas para quem não reconhece utilizando a mesma técnica de ir à API do WordPress ver os utilizadores deste site: hugogil.pt/wp-json/wp/v2/… conseguimos perceber que o Avatar do único utilizador do site do Hugo Gil tem a mesma hash, ou seja, o mesmo email do utilizador Chega.

E assim muito facilmente se prova que o Hugo Gil fez o site do André Ventura! :)

Faltou o habitual disclaimer, que toda a esta informação foi adquirira apenas através de páginas públicas que se encontram na internet, através das funcionalidades disponíveis na API do WordPress e através do conhecimento do funcionamento do Gravatar.