Przewodnik dla początkujących: Jak naprawić zhakowaną stronę WordPress

Twoja strona WordPress została zhakowana. Odwiedzający mogą widzieć ostrzeżenia, strony mogą przekierowywać do spamu, a Twój biznes może tracić ruch i sprzedaż z każdą minutą.

Dobrą wiadomością jest to, że możesz ją odzyskać. Kluczem jest postępowanie we właściwej kolejności: powstrzymaj naruszenie, usuń złośliwe oprogramowanie, przywróć swoją stronę i zabezpiecz ją przed kolejnym atakiem.

Pomogliśmy setkom użytkowników WordPress odzyskać zhakowane strony i sami również zajmowaliśmy się problemami z bezpieczeństwem na naszych stronach.

Dziś atakujący coraz częściej wykorzystują sztuczną inteligencję do znajdowania i wykorzystywania nowo załatanych luk w wtyczkach WordPress, co sprawia, że szybkie działanie jest ważniejsze niż kiedykolwiek.

W tym przewodniku pokażemy Ci, jak krok po kroku naprawić zhakowaną stronę WordPress, nawet jeśli nigdy wcześniej nie czyściłeś zhakowanej strony.

Szybka odpowiedź: Najpierw ogranicz szkody spoza WordPress, a następnie zatrudnij usługę czyszczenia lub wyczyść serwer i odbuduj ze czystych plików.

Oto pełna sekwencja, z wyjaśnieniem każdego kroku poniżej:

Krok 1. Ogranicz szkody

Zanim cokolwiek wyczyścisz, powstrzymaj stronę przed wyrządzaniem dalszych szkód Twoim odwiedzającym i Twojej reputacji.

Umieść swoją stronę za ekranem „wkrótce” spoza WordPress. Najłatwiejszym sposobem jest darmowy tryb Under Attack Mode firmy Cloudflare, który sprawdza każdego odwiedzającego, zanim dotrze on do Twojej strony.

Możesz również użyć trybu konserwacji w panelu sterowania hostingu lub tymczasowo przekierować swoje DNS.

Następnie natychmiast zmień hasło administratora WordPress i hasło do swojego konta hostingowego. Jeśli w ogóle nie możesz się zalogować, zobacz nasz poradnik, co zrobić, gdy zablokowano Ci dostęp do panelu administratora WordPress.

Następnie skontaktuj się ze swoim dostawcą hostingu przed usunięciem plików, przywróceniem kopii zapasowej lub wprowadzeniem innych znaczących zmian na swojej stronie. Twój dostawca hostingu może być w stanie pokazać Ci, jak atakujący uzyskał dostęp i przeskanować Twoją stronę pod kątem złośliwego oprogramowania.

Zadaj im dwa pytania: „Jak myślisz, w jaki sposób atakujący uzyskał dostęp do strony?” i „Czy masz niedawną, czystą kopię zapasową?”. Pierwsze pytanie pomoże Ci zidentyfikować lukę, którą należy naprawić, podczas gdy drugie powie Ci, czy masz bezpieczny punkt przywracania, jeśli strona będzie musiała zostać przywrócona.

Na koniec udokumentuj wszystko. Rób zrzuty ekranu objawów i zanotuj datę, godzinę i dokładnie to, co widzisz.

Będziesz potrzebować tego zapisu dla swojego hosta, dla eksperta ds. bezpieczeństwa, jeśli go zatrudnisz, oraz do potwierdzenia, że ten sam objaw zniknął po oczyszczeniu.

Krok 2. Zdecyduj: Czyścić zhakowaną stronę samodzielnie, czy zatrudnić eksperta ds. bezpieczeństwa?

Nie ma tu złej odpowiedzi.

Zatrudnienie profesjonalisty jest lepszym wyborem, jeśli nie czujesz się komfortowo pracując z plikami i bazami danych, lub chcesz, aby zostało to zrobione poprawnie za pierwszym razem. Hakerzy ukrywają tylne drzwi, tajne punkty wejścia, które pozwalają im wrócić później, w miejscach, o których początkujący rzadko myślą.

Pominięte tylne drzwi oznaczają, że włamanie powraca.

W celu profesjonalnego oczyszczenia, Wordfence i MalCare oferują solidne usługi oczyszczania. Inną opcją, którą polecamy, jest We Watch Your Website, która zapewnia dokładne oczyszczanie bezpieczeństwa WordPress.

Więcej informacji znajdziesz w naszym poradniku jak zatrudnić eksperta ds. bezpieczeństwa WordPress.

Jeśli zdecydujesz się na samodzielne oczyszczenie, postępuj zgodnie z resztą tego poradnika.

Krok 3. Znajdź, gdzie ukrywa się złośliwe oprogramowanie

Zacznij od bezpłatnego zdalnego skanowania pod kątem złośliwego oprogramowania, aby szybko zidentyfikować pliki lub kod, które mogą wymagać bliższej inspekcji. Polecamy do tego bezpłatny plugin Wordfence, ale traktuj skaner jako pomocnika, a nie wyrok.

Następnie sprawdź te typowe miejsca, w których może ukrywać się złośliwe oprogramowanie WordPress:

• Fałszywe pliki imitujące rdzeń WordPress. Pojedynczy plik wp-something.php w folderze, w którym go nie powinno być, lub druga kopia wp-load.php.
• Pliki PHP w folderze /wp-content/uploads/. Folder uploads jest normalnie używany do przechowywania obrazów, dokumentów i innych multimediów, więc pliki PHP w tym katalogu wymagają natychmiastowej uwagi.
• Nieznane wtyczki must-use w /wp-content/mu-plugins/. Te wtyczki ładują się automatycznie z WordPress i nie pojawiają się na zwykłej stronie Wtyczki, co czyni je atrakcyjnym miejscem dla atakujących do ukrywania złośliwego kodu.
• Ostatnio zmodyfikowane pliki. Otwórz menedżer plików swojego hosta i posortuj według daty ostatniej modyfikacji. Zwróć szczególną uwagę na pliki, które zostały zmienione w czasie, gdy zaczął się problem, zwłaszcza jeśli sam tych zmian nie dokonałeś.
• Złośliwy kod w bazie danych. Wstrzyknięte wiersze mogą powodować przekierowania, strony spamerskie i powtarzające się infekcje, nawet po oczyszczeniu plików.
• Zmieniony plik .htaccess. Poszukaj reguł przekierowania, których nie dodałeś.
• Nieznani administratorzy lub użytkownicy FTP. Usuń każde konto, którego nie rozpoznajesz. Nieznane konto może dać atakującemu kolejny sposób na dostęp do Twojej witryny po wyczyszczeniu plików.
• Wtyczki narzędziowe, których nie zainstalowałeś. Wtyczki takie jak WPCode, Code Snippets lub File Manager są same w sobie bezpieczne, ale hakerzy czasami je instalują, aby wstrzyknąć kod. Jeśli wtyczka pojawiła się bez Twojej instalacji, jest to sygnał ostrzegawczy.
• Podejrzane zaplanowane zadania. Hakerzy używają zadań cron WordPress do ponownego infekowania witryny w określonym czasie.
• Twoje konto CDN. Wiele witryn przechowuje klucze API CDN w WordPress. Haker może użyć tych kluczy do zmiany plików na poziomie CDN i dodania skimmerów kart lub innego złośliwego kodu, więc sprawdź pulpit nawigacyjny CDN pod kątem zmian, których nie dokonałeś.

Aby głębiej przyjrzeć się najczęstszemu miejscu ukrycia, zobacz nasz przewodnik, jak znaleźć backdoor w WordPress i go naprawić.

Krok 4. Najpierw wykonaj kopię zapasową zhakowanej strony

Zanim zaczniesz usuwać pliki lub wprowadzać inne zmiany, utwórz pełną kopię zapasową zhakowanej witryny, w tym jej plików i bazy danych.

Może się to wydawać sprzeczne z intuicją, ale ta kopia zapasowa daje Ci migawkę witryny przed rozpoczęciem czyszczenia. Jeśli coś pójdzie nie tak podczas procesu, możesz do niej wrócić, aby zidentyfikować, co się zmieniło. Może ona również stanowić przydatny dowód dla Twojego dostawcy hostingu, eksperta ds. bezpieczeństwa lub firmy ubezpieczeniowej, jeśli będziesz musiał udokumentować incydent.

Oznacz tę kopię zapasową wyraźnie jako zainfekowaną kopię i przechowuj ją oddzielnie od wszelkich czystych kopii zapasowych, które planujesz przywrócić. Nie powinieneś jej używać do przywrócenia witryny online.

Podjęcie tego dodatkowego kroku daje Ci siatkę bezpieczeństwa, zanim zaczniesz usuwać złośliwe oprogramowanie.

Krok 5. Usuń złośliwe oprogramowanie: Wyczyść wszystko i odbuduj czystą stronę

Jedynym niezawodnym sposobem na czyszczenie jest całkowite wyczyszczenie. Usuń wszystko z serwera, co oznacza wszystkie pliki WordPress i wszystko inne na koncie hostingowym, a następnie odbuduj z znanych czystych źródeł.

Ponowna instalacja tylko WordPress nie wystarczy. Większość ludzi instaluje WordPress w głównym folderze swojego konta hostingowego, ale backdoory często znajdują się całkowicie poza nim, gdzie indziej na koncie, w katalogu głównym sieci lub w zadaniu cron.

Jeśli ponownie zainstalujesz WordPress i pozostawisz resztę serwera nietkniętą, ten backdoor ponownie zainfekuje Twój świeży instalację.

Odbuduj w czysty sposób:

• Pobierz świeże pliki rdzenia WordPress z WordPress.org.
• Pobierz świeże kopie swoich wtyczek i motywu z ich oficjalnych źródeł. Nigdy nie używaj ponownie starych plików.
• Utwórz nowy plik wp-config.php od podstaw.

Dopiero po całkowitym wyczyszczeniu powinieneś przywrócić dane z kopii zapasowej, i to tylko takiej, co do której masz pewność, że pochodzi sprzed włamania. Nawet wtedy przywróć tylko swoje treści i bazę danych, a nie stare pliki wykonywalne.

Zobacz nasz samouczek, jak przywrócić WordPress z kopii zapasowej, aby uzyskać szczegółowe informacje.

Przywróć swoje treści ostrożnie. Dodaj przesłane pliki i multimedia dopiero po sprawdzeniu ich pod kątem przypadkowych plików PHP i ręcznie wyczyść wszelkie wstrzyknięte wiersze, jeśli przywracasz bazę danych.

Funkcja automatycznego czyszczenia wtyczki zabezpieczeń może pomóc i dobrze usuwa znane infekcje na poziomie WordPress. Ale może nie wykryć backdoor na poziomie serwera znajdującego się poza WordPress, dlatego domyślnym bezpiecznym rozwiązaniem jest wyczyszczenie i odbudowa.

Nie uruchamiaj skanera i nie uznawaj sprawy za zakończoną.

Krok 6. Zresetuj wszystkie hasła, klucze i tokeny API

Tak, zmieniłeś hasła w Kroku 1. Teraz, gdy strona jest czysta, zrób to ponownie i rozszerz zakres, ponieważ haker mógł obserwować wszystko, co wpisywałeś, gdy strona była jeszcze zainfekowana.

Zresetuj wszystkie hasła: konta administratora WordPress, hosting, FTP lub SFTP, bazę danych i każde konto e-mail powiązane ze stroną. Użyj menedżera haseł, aby każde z nich było silne i unikalne.

Nasz przewodnik po najlepszym sposobie zarządzania hasłami może pomóc. Jeśli Twoja strona ma wielu użytkowników, możesz wymusić reset hasła dla wszystkich z nich.

Następnie wygeneruj ponownie klucze tajne WordPress. Te klucze, zwane również solami, znajdują się w pliku wp-config.php i zabezpieczają pliki cookie logowania.

Zresetowanie ich wylogowuje każdego, kto nadal posiada przejęty plik cookie, nawet po zmianie haseł. Wygeneruj nowy zestaw kluczy i wklej je do swojego wp-config.php, a nasz artykuł o kluczach bezpieczeństwa WordPress wyjaśnia, gdzie się znajdują.

Na koniec obróć każdy klucz API i token używany przez stronę. Zapewnia to, że żadne dane uwierzytelniające, do których atakujący mógł uzyskać dostęp, nie będą już mogły być używane do połączenia z Twoimi usługami.

Krok 7. Usuń ostrzeżenia „Ta strona może być zhakowana”

Twoja strona jest czysta, ale Google może nadal ostrzegać przed nią użytkowników. To ostrzeżenie nie znika samoistnie szybko, dlatego musisz poprosić o przegląd.

Otwórz Google Search Console i przejdź do raportu Problemy z bezpieczeństwem. Po naprawieniu każdego oznaczonego problemu zaznacz problemy i kliknij przycisk Poproś o przegląd.

Opisz, co było nie tak i co zrobiłeś, aby to naprawić. Przeglądy zazwyczaj trwają kilka dni, a czasem dłużej.

Podczas oczekiwania sprawdź swoją stronę w Google Safe Browsing, aby zobaczyć jej aktualny stan, i utrzymuj stronę online i czystą. Wielokrotne prośby o przegląd zainfekowanej strony spowalniają ten proces.

Krok 8. Wzmocnij WordPress, aby nigdy więcej się to nie powtórzyło

Teraz wykonaj kilka dodatkowych kroków, aby zapobiec ponownemu dostaniu się hakera na Twoją stronę. Wykonaj je w kolejności, zaczynając od środków, które blokują niektóre z najczęstszych sposobów, w jakie atakujący odzyskują dostęp.

1. Wyłącz wbudowany edytor plików. Dodaj tę linię do swojego wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Zapobiega to edytowaniu plików motywów i wtyczek bezpośrednio przez każdego, kto ma dostęp do panelu administracyjnego WordPress. Zapewnia to dodatkową warstwę ochrony, jeśli konto administratora zostanie kiedykolwiek naruszone.

Możesz również skorzystać z naszego przewodnika, jak wyłączyć edytory motywów i wtyczek w WordPress.

2. Zatrzymaj wykonywanie PHP w folderze przesyłania. Nawet jeśli haker przemyci złośliwy plik .php do /wp-content/uploads/, ta zasada sprawi, że serwer odmówi jego uruchomienia.

W Apache dodaj to do nowego pliku .htaccess w folderze przesyłania:

<Files *.php>
deny from all
</Files>

W Nginx poproś swojego hosta o dodanie pasującej reguły lokalizacji. Nasz poradnik, jak wyłączyć wykonywanie PHP w określonych katalogach WordPress, przeprowadzi Cię przez ten proces.

3. Całkowicie usuń instalacje wtyczek z pulpitu. To zaawansowana kontrola, której używamy na własnych stronach.

Jeśli Twoje zmiany przechodzą przez potok wdrażania, taki jak Git, w ogóle nie musisz instalować wtyczek z poziomu wp-admin. Zablokuj to, dodając define('DISALLOW_FILE_MODS', true); do wp-config.php i przesyłaj wszystkie zmiany kodu przez potok.

Następnie dokończ listę:

• Skonfiguruj zautomatyzowane, zewnętrzne kopie zapasowe za pomocą wtyczki takiej jak Duplicator. Jeśli miałeś czystą kopię zapasową w Kroku 5, odbudowa zajęła minuty zamiast dni, więc skonfiguruj to dzisiaj. Oto jak wykonać kopię zapasową witryny WordPress.
• Zainstaluj zaporę sieciową lub wtyczkę zabezpieczającą z ciągłym skanowaniem złośliwego oprogramowania.
• Włącz silne hasła i uwierzytelnianie dwuskładnikowe dla każdego konta.
• Ogranicz próby logowania i chroń obszar wp-admin.
• Ustaw prawidłowe uprawnienia plików i folderów.
• Aktualizuj rdzeń WordPress, wtyczki i motywy w właściwej kolejności aktualizacji i usuń wszystko, czego nie używasz.
• Uruchamiaj wtyczki i motywy tylko z zaufanych źródeł. Nigdy nie używaj wersji nulled lub pirackich, ponieważ często zawierają ukryte złośliwe oprogramowanie.

Najczęściej zadawane pytania

Jak poznać, że moja strona WordPress została zhakowana?

Typowe oznaki to ostrzeżenie przeglądarki lub Google na Twojej stronie, przekierowanie odwiedzających na dziwne strony internetowe, spamujące linki lub strony, których nie utworzyłeś, nierozpoznani użytkownicy administracyjni, nagły spadek ruchu lub zawieszenie konta przez hosta.

Jak wyczyścić moją stronę WordPress?

Najpierw wykonaj kopię zapasową zainfekowanej strony, a następnie usuń wszystko z konta hostingowego, nie tylko folder WordPress. Odbuduj stronę z czystych plików rdzenia WordPress, wtyczek i motywów z oficjalnych źródeł, dodając nowy plik wp-config.php, i przywróć tylko zawartość z kopii zapasowej sprzed włamania.

Czy Wordfence usuwa złośliwe oprogramowanie?

Darmowa wtyczka Wordfence skanuje w poszukiwaniu złośliwego oprogramowania i może naprawić zmienione pliki rdzenia, a płatna usługa obejmuje ręczne czyszczenie. Jak każdy skaner, działa na poziomie WordPress, więc backdoor gdzie indziej na serwerze może go przeżyć, i dlatego nadal zalecamy pełne wyczyszczenie w przypadku poważnych infekcji.

Mamy nadzieję, że ten przewodnik pomógł Ci naprawić zhakowaną witrynę WordPress i zabezpieczyć ją na stałe. Aby kontynuować, zapoznaj się z naszym kompletnym przewodnikiem po zabezpieczeniach WordPress, lub jeśli czyszczenie wydaje się zbyt trudne, oto nasze wskazówki dotyczące zatrudnienia eksperta ds. zabezpieczeń WordPress.