Как да възстановите хакнат WordPress сайт: стъпка по стъпка

Откриването, че WordPress сайтът ви е хакнат, е стресиращо, но ясният план го прави управляемо. Целта е да ограничите щетите, да премахнете зловредния код, да затворите дупката, през която е влязъл нападателят, и после да потвърдите, че сайтът е чист. Прескачането на третата стъпка е най-честата причина сайтовете да бъдат хакнати отново в рамките на дни.

Признаци, че сайтът ви може да е компрометиран

• Посетителите се пренасочват към несвързани или съмнителни сайтове, особено на мобилни устройства или от резултатите от търсенето.
• Резултатите от търсенето показват спам страници на японски или за лекарства под вашия домейн.
• Браузърът ви или Google предупреждава, че сайтът е опасен.
• Нови администраторски акаунти, които не сте създавали.
• Хостингът ви спира акаунта или съобщава за изходящ спам.
• Файлове със случайни имена или наскоро променени файлове, до които не сте се докосвали.

Някои от тях имат безобидни обяснения, затова потвърдете, преди да предположите най-лошото, но действайте бързо, ако намерите реални доказателства.

Незабавни стъпки: копие и ограничаване

Преди да промените каквото и да е, направете пълно копие на файловете и базата данни, макар и заразени. То запазва доказателствата, за да разберете как е влязъл нападателят, и ви дава резерва, ако някоя стъпка при почистването се обърка. Съхранявайте го офлайн и не го възстановявайте по-късно по погрешка.

Ограничете проблема

Ако сайтът сервира зловреден код или спам, поставете проста страница за поддръжка или ограничете достъпа, докато работите. Свържете се с вашия хостинг доставчик; често той може да види какво се случва на сървъра и да помогне да се изолира акаунтът. Същевременно сменете важните пароли: контролния панел на хостинга, FTP или SFTP акаунтите, потребителя на базата данни и администраторските акаунти на WordPress. Правете това от чист компютър.

Възстановяване или почистване

Имате две основни възможности.

• Възстановяване от чист архив. Ако имате архив отпреди компрометирането, това обикновено е най-бързо. Възстановете, после веднага обновете всичко и поправете входната точка, иначе нападателят ще се върне.
• Ръчно почистване. Ако няма чист архив, ще трябва да премахнете зловредните файлове и записите в базата данни на ръка или със скенери.

Внимавайте колко назад да отидете. Нападателите понякога стоят тихо седмици, преди да действат.

Списък за ръчно почистване

1. Заменете файловете на ядрото на WordPress със свежо изтегляне на същата или по-нова версия. Засега не пипайте wp-config.php и wp-content.
2. Изтрийте всяка добавка и тема, после ги инсталирайте наново от доверени източници. Захвърлете тези, които не ви трябват.
3. Прегледайте папката wp-content/uploads. Тя трябва да съдържа медия, не PHP файлове.
4. Проверете wp-config.php и .htaccess за код, който не разпознавате.
5. Прегледайте потребителите и премахнете непознатите администратори.
6. Потърсете в базата данни вмъкнати скриптове в публикации, опции и джаджи.
7. Генерирайте нови секретни ключове и salts в wp-config.php, което отписва всички.
8. Проверете планираните задачи за непознати записи, тъй като нападателите често ги ползват за повторно заразяване.

Намерете входната точка и проверете

Чести входни точки са остаряла добавка или тема, пиратско разширение, слаба или повторно използвана парола или друг компрометиран сайт в същия акаунт. Проверете логовете за достъп за съмнителни заявки около времето на първата промяна. Обновете всичко, премахнете изоставеното и включете двуфакторно удостоверяване. Ако хоствате няколко сайта в един акаунт, проверете всеки от тях, защото зловредният код може да се разпространи встрани.

Проверете и поискайте преглед

Сканирайте сайта отново със скенер за зловреден код, разгледайте го от различни устройства и проверете дали пренасочванията и спам страниците са изчезнали. Ако Google или браузър е маркирал сайта, използвайте Google Search Console, за да поискате преглед, щом сте уверени, че е чист. Проверете и дали имейл домейнът ви не е бил използван за изпращане на спам.

Заздравете, за да не се повтори

Преминете през списък за заздравяване: поддържайте софтуера актуален, ползвайте роли с минимални права, ограничете опитите за вход, изключете редактирането на файлове от таблото и пазете тествани архиви извън сървъра. Нашият списък за заздравяване на сигурността на WordPress обхваща всяко от тях. Обмислете и защитна стена за уеб приложения, тъй като тя може да блокира много опити за експлоатация, преди да стигнат до WordPress.

Грешки, които да избягвате, и кога да потърсите помощ

• Не изтривайте просто видимия симптом с надеждата, че е минало. Задните вратички обикновено са скрити другаде.
• Не преинсталирайте върху заразените файлове, без да премахнете старите.
• Не плащайте на никого, който ви се обади изневиделица и предлага да поправи сайта ви.
• Не пренебрегвайте другите сайтове в същия хостинг акаунт.

Кога да потърсите професионална помощ

Ако сайтът е критичен за бизнеса ви, ако обработвате данни на клиенти или ако почистването продължава да се проваля, потърсете професионалист. Обмислете и дали са били изложени лични данни; в зависимост от това къде работите, може да има задължения за уведомяване. Проверете правилата, които важат за вас, или попитайте квалифициран консултант.

След възстановяването следете сайта няколко седмици. Наблюдавайте за нови файлове, неочаквани потребители и странен трафик и пазете логовете си. Повторните заразявания обикновено се появяват в рамките на дни, ако е пропусната задна вратичка, така че ранният мониторинг си струва.

Как можем да помогнем

Хостингът с Plesk, Cloudflare CDN и безплатен SSL ви дава по-силна начална позиция, а екипът ни може да отговаря на въпроси за възстановяването и защитата на сайт. Ако ви трябва свеж, чист старт, нашата услуга за миграция на WordPress може да премести почистения ви сайт на WordPress хостинг безплатно.