Seu site WordPress foi hackeado?
Hackers geralmente instalam um backdoor para garantir que possam voltar mesmo depois que você proteger seu site. A menos que você consiga remover esse backdoor, não há como detê-los.
Neste artigo, mostraremos como encontrar um backdoor em um site WordPress hackeado e corrigi-lo.
Como saber se seu site foi hackeado
Se você tem um site WordPress, precisa levar a segurança a sério. Isso porque os sites são atacados em média 44 vezes por dia.
Você pode aprender as melhores práticas para manter seu site seguro em nosso guia definitivo de segurança do WordPress.
Mas e se o seu site já foi hackeado?
Alguns sinais de que seu site WordPress foi hackeado incluem uma queda no tráfego ou desempenho do site, links ruins adicionados ou arquivos desconhecidos, uma página inicial alterada, incapacidade de fazer login, novas contas de usuário suspeitas e muito mais.
Limpar um site invadido pode ser incrivelmente doloroso e difícil. Nós o guiamos pelo processo passo a passo em nosso guia para iniciantes sobre como corrigir seu site WordPress invadido. Você também deve garantir que escanear seu site em busca de qualquer malware que os hackers deixaram.
E não se esqueça de fechar o backdoor.
Um hacker inteligente sabe que você eventualmente limpará seu site. A primeira coisa que eles podem fazer é instalar um backdoor, para que possam voltar sorrateiramente depois que você proteger a porta da frente do seu site WordPress.
O que é um Backdoor?
Um backdoor é um código adicionado a um site que permite a um hacker acessar o servidor sem ser detectado, e contornando o login normal. Ele permite que um hacker recupere o acesso mesmo depois que você encontrar e remover o plugin explorado ou a vulnerabilidade do seu site.
Backdoors são o próximo passo de um ataque após o usuário ter invadido. Você pode aprender como eles podem ter feito isso em nosso guia sobre como sites WordPress são invadidos e como preveni-lo.
Backdoors frequentemente sobrevivem a atualizações do WordPress. Isso significa que seu site permanecerá vulnerável até que você encontre e corrija todos os backdoors.
Como Funcionam os Backdoors?
Alguns backdoors são simplesmente nomes de usuário de administrador ocultos. Eles permitem que o hacker faça login normalmente, digitando um nome de usuário e senha. Como o nome de usuário está oculto, você nem sequer sabe que outra pessoa tem acesso ao seu site.
Backdoors mais complexos podem permitir que o hacker execute código PHP. Eles enviam manualmente o código para o seu site usando o navegador web.
Outros possuem uma interface de usuário completa que permite enviar e-mails como seu servidor de hospedagem WordPress, executar consultas no banco de dados SQL e muito mais.
Alguns hackers deixarão mais de um arquivo de backdoor. Depois de fazer o upload de um, eles adicionarão outro para garantir seu acesso.
Onde os Backdoors Estão Escondidos?
Em todos os casos que encontramos, o backdoor estava disfarçado para parecer um arquivo do WordPress. O código para backdoors em um site WordPress é mais comumente armazenado nos seguintes locais:
- Um tema do WordPress, mas provavelmente não o que você está usando atualmente. O código em um tema não é sobrescrito quando você atualiza o WordPress, então é um bom lugar para colocar um backdoor. É por isso que recomendamos excluir todos os temas inativos.
- Plugins do WordPress são outro bom lugar para esconder um backdoor. Assim como os temas, eles não são sobrescritos pelas atualizações do WordPress, e muitos usuários relutam em atualizar plugins.
- A pasta uploads pode conter centenas ou milhares de arquivos de mídia, então é outro bom lugar para esconder um backdoor. Blogueiros quase nunca verificam seu conteúdo porque eles apenas fazem o upload de uma imagem e a usam em uma postagem.
- O arquivo wp-config.php contém informações confidenciais usadas para configurar o WordPress. É um dos arquivos mais visados por hackers.
- A pasta wp-includes contém arquivos PHP necessários para o funcionamento correto do WordPress. É outro local onde encontramos backdoors, pois a maioria dos proprietários de sites não verifica o que a pasta contém.
Exemplos de Backdoors que Encontramos
Aqui estão alguns exemplos de onde hackers fizeram upload de backdoors. Em um site que limpamos, o backdoor estava na pasta wp-includes. O arquivo se chamava wp-user.php, o que parece inocente o suficiente, mas esse arquivo não existe em uma instalação normal do WordPress.
Em outra instância, encontramos um arquivo PHP chamado hello.php na pasta de uploads. Ele estava disfarçado como o plugin Hello Dolly. O estranho é que o hacker o colocou na pasta de uploads em vez da pasta de plugins.
Também encontramos backdoors que não usam a extensão de arquivo .php. Um exemplo foi um arquivo chamado wp-content.old.tmp, e também encontramos backdoors em arquivos com extensão .zip.
Como você pode ver, os hackers podem adotar abordagens muito criativas ao esconder um backdoor.
Na maioria dos casos, os arquivos foram codificados com código Base64 que pode realizar todos os tipos de operações. Por exemplo, eles podem adicionar links de spam, adicionar páginas extras, redirecionar o site principal para páginas de spam e muito mais.
Dito isso, vamos dar uma olhada em como encontrar um backdoor em um site WordPress hackeado e corrigi-lo.
Como Encontrar um Backdoor em um Site WordPress Hackeado e Corrigi-lo
Agora você sabe o que é um backdoor e onde ele pode estar escondido. A parte difícil é encontrá-lo! Depois disso, limpá-lo é tão fácil quanto excluir o arquivo ou código.
1. Escanear por Código Potencialmente Malicioso
A maneira mais fácil de verificar seu site em busca de backdoors e vulnerabilidades é com um plugin scanner de malware para WordPress. Recomendamos a Sucuri porque ela nos ajudou a bloquear 450.000 ataques WordPress em 3 meses, incluindo 29.690 ataques relacionados a backdoors.
Eles oferecem um plugin de segurança Sucuri gratuito para WordPress que permite verificar seu site em busca de ameaças comuns e fortalecer a segurança do seu WordPress. A versão paga inclui um scanner do lado do servidor que é executado uma vez por dia e procura por backdoors e outros problemas de segurança.
Uma ótima alternativa à Sucuri é o MalCare, que possui um recurso automatizado de remoção de malware. Isso removerá todos os arquivos de malware, incluindo backdoors, do seu site.
Saiba mais em nosso guia sobre como verificar seu site WordPress em busca de código potencialmente malicioso.
2. Exclua sua pasta de plugins
Pesquisar em suas pastas de plugins em busca de arquivos e códigos suspeitos consome tempo. E como os hackers são muito sorrateiros, não há garantia de que você encontrará um backdoor.
A melhor coisa que você pode fazer é excluir seu diretório de plugins e, em seguida, reinstalar seus plugins do zero. Esta é a única maneira de ter certeza de que não há backdoors em seus plugins.
Você pode acessar seu diretório de plugins usando um cliente FTP ou o gerenciador de arquivos do seu hospedeiro WordPress. Se você nunca usou FTP antes, talvez queira ver nosso guia sobre como usar FTP para fazer upload de arquivos para o WordPress.
Você precisará usar o software para navegar até a pasta wp-content do seu site. Uma vez lá, você deve clicar com o botão direito na pasta plugins e selecionar 'Excluir'.
3. Exclua Sua Pasta de Temas
Da mesma forma, em vez de gastar tempo procurando por um backdoor entre os arquivos do seu tema, é melhor simplesmente excluí-los.
Depois de excluir sua pasta plugin, basta destacar a pasta themes e excluí-la da mesma forma.
Você não sabe se havia um backdoor naquela pasta, mas se havia, ele se foi agora. Você acabou de economizar tempo e eliminou um ponto de ataque extra.
Agora você pode reinstalar quaisquer temas que precisar.
4. Procure por Arquivos PHP na Pasta de Uploads
Em seguida, você deve dar uma olhada na pasta uploads e garantir que não haja arquivos PHP dentro.
Não há motivo para um arquivo PHP estar nesta pasta, pois ela foi projetada para armazenar arquivos de mídia, como imagens. Se você encontrar um arquivo PHP lá, ele deve ser excluído.
Assim como as pastas plugins e themes, você encontrará a pasta uploads na pasta wp-content . Dentro da pasta, você encontrará várias pastas para cada ano e mês em que você fez upload de arquivos. Você precisará verificar cada pasta em busca de arquivos PHP.
Alguns clientes FTP oferecem ferramentas que pesquisam a pasta recursivamente. Por exemplo, se você usa o FileZilla, pode clicar com o botão direito na pasta e selecionar 'Adicionar arquivos à fila'. Quaisquer arquivos encontrados em subdiretórios da pasta serão adicionados à fila no painel inferior.
Agora você pode percorrer a lista procurando por arquivos com a extensão .php.
Alternativamente, usuários avançados que estão familiarizados com SSH podem digitar o seguinte comando:
find uploads -name "*.php" -print
5. Exclua o Arquivo .htaccess
Alguns hackers podem adicionar códigos de redirecionamento ao seu arquivo .htaccess que enviarão seus visitantes para um site diferente.
Usando um cliente FTP ou gerenciador de arquivos, simplesmente exclua o arquivo do diretório raiz do seu site, e ele será recriado automaticamente.
Se por algum motivo ele não for recriado, você deve ir para Configurações » Links Permanentes no seu painel de administração do WordPress. Clicar no botão ‘Salvar alterações’ salvará um novo arquivo .htaccess.
6. Verifique o Arquivo wp-config.php
O arquivo wp-config.php é um arquivo principal do WordPress que contém informações que permitem ao WordPress se comunicar com o banco de dados, as chaves de segurança para sua instalação do WordPress e opções de desenvolvedor.
O arquivo é encontrado na pasta raiz do seu site. Você pode visualizar o conteúdo do arquivo selecionando as opções Abrir ou Editar em seu cliente FTP.
Agora você deve examinar o conteúdo do arquivo cuidadosamente para ver se há algo que pareça fora do lugar. Pode ser útil comparar o arquivo com o arquivo padrão wp-config-sample.php, que está localizado na mesma pasta.
Você deve excluir qualquer código que tenha certeza de que não pertence.
7. Restaure um Backup do Site
Se você tem feito backups regulares do seu site e ainda está preocupado que seu site não esteja completamente limpo, então restaurar um backup é uma boa solução.
Você precisará excluir completamente seu site e, em seguida, restaurar um backup que foi feito antes que seu site fosse hackeado. Esta não é uma opção para todos, mas deixará você 100% confiante de que seu site está seguro.
Para mais informações, consulte nosso guia para iniciantes sobre como restaurar o WordPress a partir de um backup.
Como Prevenir Hackeamentos no Futuro?
Agora que você limpou seu site, é hora de melhorar a segurança do seu site para prevenir hackeamentos no futuro. Não vale a pena ser barato ou apático quando se trata de segurança de sites.
1. Faça Backup Regularmente do Seu Site
Se você ainda não faz backups regulares do seu site, então hoje é o dia de começar.
O WordPress não vem com uma solução de backup integrada. No entanto, existem vários ótimos plugins de backup do WordPress que permitem fazer backup e restaurar seu site WordPress automaticamente.
Duplicator é um dos melhores plugins de backup do WordPress. Ele permite configurar agendamentos de backup automáticos e ajudará você a restaurar seu site WordPress se algo der errado.
Existe também uma versão gratuita do Duplicator que você pode usar para criar backups manuais.
Para instruções passo a passo, veja nosso guia sobre como fazer backup do seu site WordPress com o Duplicator.
2. Instale um Plugin de Segurança
Você não pode monitorar tudo o que acontece em seu site quando está ocupado trabalhando em seu negócio. É por isso que recomendamos que você use um plugin de segurança como o Sucuri.
Recomendamos a Sucuri porque eles são bons no que fazem. Grandes publicações como CNN, USA Today, PC World, TechCrunch, The Next Web e outras concordam. Além disso, nós mesmos confiamos nele para manter o WPBeginner seguro.
3. Torne o Login do WordPress Mais Seguro
Também é importante que você torne seu login do WordPress mais seguro. A melhor maneira de começar é exigir o uso de senhas fortes quando os usuários criarem uma conta em seu site. Também recomendamos que você comece a usar um utilitário de gerenciamento de senhas como o 1Password.
A próxima coisa que você deve fazer é adicionar autenticação de dois fatores. Isso protegerá seu site contra senhas roubadas e ataques de força bruta. Isso significa que, mesmo que um hacker saiba seu nome de usuário e senha, ele ainda não conseguirá fazer login em seu site.
Finalmente, você deve limitar as tentativas de login no WordPress. O WordPress permite que os usuários insiram senhas quantas vezes quiserem. Bloquear um usuário após cinco tentativas de login falhas reduzirá significativamente a chance de um hacker descobrir seus detalhes de login.
4. Proteja sua área de administração do WordPress
Proteger a área de administração contra acesso não autorizado permite bloquear muitas ameaças de segurança comuns. Temos uma longa lista de dicas sobre como manter o admin do WordPress seguro.
Por exemplo, você pode proteger por senha o diretório wp-admin. Isso adiciona outra camada de proteção ao ponto de entrada mais importante do seu site.
Você também pode limitar o acesso à área de administração aos endereços IP usados pela sua equipe. Esta é outra maneira de impedir hackers que descobrem seu nome de usuário e senha.
5. Desativar Editores de Tema e Plugin
Você sabia que o WordPress vem com um editor de temas e plugins integrado? Este editor de texto simples permite editar seus arquivos de tema e plugin diretamente do painel do WordPress.
Embora isso seja útil, pode levar a potenciais problemas de segurança. Por exemplo, se um hacker invadir sua área de administração do WordPress, ele poderá usar o editor integrado para obter acesso a todos os seus dados do WordPress.
Depois disso, eles poderão distribuir malware ou lançar ataques DDoS a partir do seu site WordPress.
Para melhorar a segurança do WordPress, recomendamos remover completamente os editores de arquivos integrados.
6. Desativar a Execução de PHP em Certas Pastas do WordPress
Por padrão, scripts PHP podem ser executados em qualquer pasta do seu site. Você pode tornar seu site mais seguro desativando a execução de PHP em pastas que não precisam dela.
Por exemplo, o WordPress nunca precisa executar código armazenado na sua pasta uploads. Se você desativar a execução de PHP para essa pasta, um hacker não poderá executar um backdoor, mesmo que consiga fazer o upload de um lá.
7. Mantenha seu Site Atualizado
Cada nova versão do WordPress é mais segura que a anterior. Sempre que uma vulnerabilidade de segurança é relatada, a equipe principal do WordPress trabalha diligentemente para lançar uma atualização que corrija o problema.
Isso significa que, se você não mantiver o WordPress atualizado, estará usando um software com vulnerabilidades de segurança conhecidas. Hackers podem procurar por sites que executam versões mais antigas e usar a vulnerabilidade para obter acesso.
É por isso que você deve sempre usar a versão mais recente do WordPress.
Não se limite a manter o WordPress atualizado. Você precisa garantir que também mantenha seus plugins e temas do WordPress atualizados.
Esperamos que este tutorial tenha ajudado você a aprender como encontrar e corrigir um backdoor em um site WordPress invadido. Você também pode querer aprender como mover o WordPress de HTTP para HTTPS, ou conferir nossa lista de erros do WordPress e como corrigi-los.
Se você gostou deste artigo, por favor, inscreva-se em nosso Canal do YouTube para tutoriais em vídeo do WordPress. Você também pode nos encontrar no Twitter e no Facebook.
Jiří Vaněk
Também é uma ótima prática entrar em contato com o provedor do servidor web. Eles geralmente possuem ferramentas sofisticadas de detecção de malware e são capazes de escanear toda a web e enviar um dump de arquivos infectados. É isso que eu possivelmente recomendaria fazer sempre que um problema de hacking de site se mostrar verdadeiro. Um provedor pode ajudar muito com isso se tiverem um bom suporte ao cliente.
Dayo Olobayo
Esta é uma dica fantástica, especialmente para usuários que podem não se sentir confiantes em lidar com os aspectos técnicos da limpeza de um site invadido. No entanto, para aqueles que se sentem confortáveis com código, os métodos do artigo podem ser um bom primeiro passo antes de contatar o provedor.
Jiří Vaněk
Com certeza, Dayo Olobayo. Você está certo de que as instruções no artigo são ótimas e definitivamente valem a pena implementar imediatamente. Mencionei mais como uma alternativa adicional, e darei um exemplo. Tenho um site com um provedor que usa o software Trend Micro e inteligência artificial para encontrar arquivos infectados. Quando pedi ajuda, eles encontraram arquivos infectados que eu não conseguia encontrar, mesmo com vários plugins de segurança. O software que eles usam é muito caro, mas também muito sofisticado. É por isso que às vezes é uma boa ideia trabalhar simultaneamente com todos os pontos do artigo e com o provedor que, se tiverem tal solução, podem realmente acelerar todo o processo de limpeza do site.
Paul Booker
Se você tiver controle de versão instalado em seu servidor web – é possível determinar muito rapidamente se algum de seus arquivos foi alterado, ou se arquivos adicionais foram adicionados, executando um comando simples em seu terminal shell.
Se você estiver usando Git para controle de versão, basta digitar “git status” em seu terminal shell para descobrir o que foi hackeado. Você pode então excluir todas as alterações com um comando “git checkout — .”
Se você não tem controle de versão, você pode basicamente escrever um comando simples como “listar todos os arquivos modificados nos últimos 7 dias”, que seria “find ./ -type f -mtime -7” e novamente você pode descobrir o que foi hackeado. Você pode então excluir manualmente as alterações.
WPBeginner Support
Embora possível, esse não é um método amigável para iniciantes, então não o recomendamos para a maioria dos usuários.
Admin
Vivek Tripathi
Olá Senhor, em nossos sites máximos foram injetados códigos maliciosos, mas não encontrei nada no banco de dados. Em todos os meus sites, páginas maliciosas foram geradas automaticamente e apareceram no Google, e essas páginas não eram exibidas no meu painel do WordPress e nas seções de posts.
Por favor, ajude-me a encontrar os códigos e a me proteger desse hacking. Perdi muito tráfego do meu site WordPress.
Por favor, ajude-me!
WPBeginner Support
Olá, Vivek,
Por favor, veja nosso artigo sobre como limpar um site WordPress hackeado.
Admin
Abraham
Este é realmente o MELHOR post que existe sobre “deshackear” seu site, não sei se funcionou completamente com meu site, mas realmente espero que sim.
Muito obrigado, pessoal!!
Azwan Abdullah
Olá! Preciso de uma opinião. Ativei o registro aberto e defini a função padrão como assinante. Pelo que entendi, essa função só pode ter capacidades de leitura. Significa que eles só podem ler posts no meu blog e comentários. Estou certo?
O propósito de fazer isso é porque quero permitir que apenas pessoas registradas comentem. Ironicamente, estou usando um registrador de tráfego em tempo real, que pode rastrear requisições para dentro ou para fora do meu site. Notei que o usuário registrado está usando um IP anônimo da rede TOR. Eles parecem se registrar acessando a página de registro diretamente, não pelos meios usuais.
Portanto, é geralmente seguro deixá-los? Eles (o assinante) têm a capacidade de fazer upload de algo em uploads ou em qualquer pasta do sistema? Como eles também podem ter acesso limitado ao painel de administração, podem ver a versão do wp, é consideravelmente seguro?
Espero que alguém e a equipe do wpbeginner possam responder a isso. Agradeço antecipadamente.
WPBeginner Support
Olá Azwan,
Você precisa proteger seu site contra registros de usuários de spam.
Admin
Pradeep Gauda
Olá,
Encontrei o título do meu site WordPress alterado por um grupo de hackers, como eles mencionaram. Então verifiquei meus plugins de segurança, o Wordfence, fiz o escaneamento, mas nada foi encontrado. Como eles podem continuar afetando o título da página e o que devo fazer a respeito?
Colin
Olá
Sucuri e WP Clone usam a pasta Uploads, então o que devemos fazer lá?
Além disso, o Exploit Scanner está apresentando muitos arquivos que ele não reconhece e o plugin está atualizado. Talvez o algoritmo não esteja atualizado com a versão mais recente do WordPress, então o excluí.
O Sucuri não encontrou problemas, mas é a versão gratuita, o Wordfence também não encontrou erros, então não confio no Exploit Scanner no momento.
Colin
Jo
Obrigado por um artigo muito informativo e útil. Finalmente consegui entender o que aconteceu com meu site (milhares de arquivos index.php maliciosos).
Evitei ter que pagar um preço de extorsão para o Sitelock para reparar meu site, simplesmente instalando um backup (limpo).
E agora, vou garantir a instalação de centenas de plugins antivírus. Não tinha percebido que meu provedor de hospedagem bluehost não incluía nenhum nível básico de segurança.
Mehreen
Olá,
Eu entendo que este artigo é bem antigo agora, mas vou comentar e tentar se obtiver uma resposta.
Meu site foi comprometido recentemente e, após usar o Sucuri gratuito, mudei para o Wordfence. Este último me ajudou a rastrear todos os meus arquivos contendo código malicioso. Nenhuma razão específica para não usar o Sucuri, eu estava apenas experimentando opções diferentes.
Quais são suas opiniões sobre Wordfence vs Sucuri? Versões pagas.
Obrigado.
WPBeginner Support
Olá Mehreen,
Ambos oferecem boa segurança. Recomendamos o Sucuri porque eles oferecem um firewall de aplicação web baseado em nuvem, que não só protege seu site, mas também melhora o desempenho. O Wordfence oferece um firewall no nível da aplicação que roda no seu servidor. Veja nosso artigo sobre os melhores plugins de firewall para WordPress para mais detalhes.
Admin
Mohammed Jaid Ansari
Olá
Quando digito o endereço do meu site, ele abre e depois de um tempo redireciona para outro site. e no celular, quando digito o endereço do meu site diretamente, ele redireciona para a loja Google Play. e o Google também mostra que este site pode ter sido hackeado. como posso resolver este problema.
WPBeginner Support
Olá,
Veja nosso guia sobre como limpar um site WordPress hackeado.
Admin
Christine
Não consigo acessar meu site WordPress. Falei com o suporte técnico do servidor e eles disseram que o problema não é com eles, e suspeitam que o site foi comprometido por malware. No entanto, não consigo fazer login no site para verificar nada. Algum conselho?
WPBeginner Support
Olá Christine,
Você já tentou redefinir a senha? Veja também nosso guia sobre o que fazer quando você estiver bloqueado da área de administração.
Admin
greekouzina
Olá a todos,
meu site foi hackeado e encontrei muitos arquivos .php como kebin.php, kevin.php com código eval e base64 dentro.
O pior é que meu site foi colocado na lista negra e as referências externas ao link são muitas!
Notei cerca de 5 IPs estrangeiros que investigam esses arquivos de referência!
O que posso fazer para cortar essas referências?
Tenho a versão gratuita do Sucuri porque meu blog é amador e não tenho dinheiro para gastar.
Obrigado antecipadamente
WPBeginner Support
Limpar um site infectado pode ser um pouco difícil para a maioria dos iniciantes. Você pode tentar os passos mencionados em nosso guia sobre corrigir seu site WordPress hackeado.
Admin
Sandy
alguém hackeando meu painel de administração repetidamente. Eu recuperei, mas ele ainda está hackeando meu painel de administração. Não sei como resolver. Por favor, entre em contato comigo para uma solução.
Leo Dimilo
Acabei de terminar de limpar o site de um cliente. Uma das coisas que este artigo não aborda é o fato de que você pode ter que subir um nível na pasta do seu servidor para encontrar o backdoor. Em outras palavras, você pode excluir tudo no seu arquivo /html no seu servidor e reiniciar com uma nova instalação e ainda ter um backdoor porque ele está em uma pasta diferente no seu servidor, um nível acima....
Saad Amir
Caro,
Meu site foi hackeado por alguém. Apenas hackeie minhas postagens, quando clico na postagem para pré-visualizar, ela não abre, abre como uma página em branco.
Por favor, me ajude, qual é o problema principal e como posso resolvê-lo
WPBeginner Support
Tente mudar para um tema padrão do WordPress como o twenty sixteen e desative todos os seus plugins do WordPress. Tente pré-visualizar uma postagem, se ela abrir bem, então seu tema ou um dos plugins em seu site está causando o problema. Se o problema persistir, siga as etapas descritas acima.
Admin
Joy Healey
Olá,
Isso parece ser realmente útil, mas estou com dificuldades (no site deles) para encontrar a opção que você menciona:
"Eles monitorarão seu site e o limparão se você for hackeado. Fica em torno de US$ 3 por mês por site se você adquirir o plano de 5 sites."
Você poderia me indicar a direção certa, por favor – com seu link de afiliado, é claro?
Or perhaps it’s no longer available, which would be a shame – because that’s affordable, whereas all I’ve found at the moment is about $17 per month which is a bit of an ouch for more than one site
Obrigado por um artigo útil, Joy
Joy Healey
Respondendo à minha própria pergunta acima…. Verifiquei com a Sucuri e, infelizmente, o plano de 5 sites mencionado neste post não existe mais.
Robin Jennings
Ótimo artigo – a Sucuri é um programa fantástico. Não é a opção mais barata, mas eles resolvem os problemas em horas e a correção logo depois.
Encontrei algumas explorações no site de clientes no arquivo public_html/images ultimamente.
Thomas
Olá,
para quem está familiarizado com ssh: o que eu faço se houver problemas de hack é ter backups prontos dos meus sites completos e apenas comparar o backup completo com o estado atual do projeto ativo.
Ainda assim, os arquivos corrompidos podem ficar "dormindo" lá por semanas ou meses, então não é 100% seguro que se encontre todos os arquivos hackeados, mas geralmente é um bom indicador de onde procurar. Dessa forma, notei 3 novos arquivos em um projeto avada (tema) que não era atualizado há muito tempo, dentro do plugin revolution slider.
Apenas minha opinião :). Tenha um bom dia,
Thomas
Jon Schear
Você pode usar o scanner Sucuri gratuitamente, mas é muito complexo com os resultados que você obtém.
Rodney Wild
Encontrei outra assinatura: if(!isset($GLOBALS[“”\x61\156\x75\156\x61″”]
se você encontrar a declaração acima, remova do "if" até o final da linha e isso corrigirá esse arquivo. Eu encontrei isso em quase todos os arquivos, então você terá que usar um programa de busca e substituição global. Eu uso FNR.EXE, mas existem outros. Este também infectará vários sites na mesma árvore.
Kushal Jayswal
Alguém notou um ataque recente antes de um fim de semana em servidores importantes. Estou usando os serviços de hospedagem da Hostgator. Meus sites ficaram fora do ar por um dia. Um amigo meu está usando Bluehost e os sites dele ficaram fora do ar por 4-5 dias.
Não consegui encontrar notícias sobre isso no Google.
Alguém notou?
Michael
Ótimo post, ainda relevante. Peguei malware outro dia e baixei meu site para o meu computador. Ordenei os arquivos por "última modificação", o que me mostrou as páginas que haviam sido comprometidas.
Comparei esses arquivos com os arquivos de backup e consegui rastrear o malware!
Azman
Belo post, recentemente executei um scanner de exploits e ele encontrou muitos códigos maliciosos ou suspeitos no meu site, como eval e base64_decode. O que devo fazer neste caso, preciso configurar todo o meu banco de dados do zero? Posso fazer isso porque meu site não está cheio de conteúdo.
Mas não sou muito familiarizado com PHP, então me ajude.
WPBeginner Support
O scanner de exploits informa onde encontrou o código malicioso. Se estiver em um arquivo de tema ou plugin, você pode simplesmente excluir esses arquivos de tema e plugin. Depois disso, você pode baixar e fazer upload de cópias novas desses arquivos para o seu site. Se estiver no banco de dados e você puder começar do zero, faça isso. Caso contrário, existem maneiras de limpar o código do banco de dados também.
Admin
Dionisis Karampinis
Artigo muito bom, muito obrigado! Usei o Exploit Scanner e atualmente estou com o BPS Security
Matthew Baya
Bom artigo. Descobri em sites WP infectados que eles consistentemente parecem colocar um arquivo chamado https.php na pasta wp-includes. Também descobri em meu servidor de hospedagem compartilhada que eles pulam de uma conta infectada para encontrar outros arquivos wp-config.php legíveis pelo mundo em outras instalações do WP e usarão as informações do banco de dados lá para criar contas de administrador em outras instalações do WP. Assim, eu adicionaria que qualquer pessoa que tenha sido hackeada deve alterar suas credenciais de banco de dados e também proteger o wp-config.php o máximo possível, idealmente limitando-o para que apenas o usuário do servidor web (e o proprietário) possam acessá-lo.
Tenho usado o wordfence para limpar sites infectados e tenho ficado muito feliz com ele, embora recentemente tenha descoberto que ele não está mais notando o arquivo /wo-includes/https.php que mencionei anteriormente. Entrei em contato com eles sobre isso, pois sei que no passado eles notavam isso
Nora McDougall-Collins
Uma infecção recente que tive que lidar infectou todos os arquivos index.php.
qammar
Artigo muito útil e informativo.
um dos sites/blogs de um cliente meu foi infectado com malware e foi ‘página anexada relatada’ pelo Google. Primeiro, tentei a ferramenta sucuri sitecheck para identificar os arquivos infectados/badware, mas eles só mostram este resultado de varredura
site: blog.myclientwebsite.com/
status: Site na lista negra, malware não identificado
confiança do site: Site na lista negra.
Isso não ajuda em nada, pois já sabemos que o site está na lista negra e então escaneei todos os dados do domínio e encontrei os dois arquivos a seguir infectados
wp-includes\js\js\cnn.php
wp-includes\js\js\rconfig.php
Estou postando isso para que outras pessoas procurem por esses arquivos, se o site delas estiver infectado e relatado como página de ataque.
Abraços,
qammar feroz
Equipe Editorial
O scanner gratuito da Sucuri não faz varredura do lado do servidor. Se você realmente pagar pela Sucuri, não só ela te protege, mas eles farão a limpeza para você se algo acontecer.
Admin
Nora McDougall-Collins
Obrigado pelo excelente artigo! Compartilhei com meus alunos de desenvolvimento web pelo Facebook!
Além disso, o site de um dos meus alunos foi hackeado e desativado pelo provedor de hospedagem pela segunda vez. Parece que ele estava fazendo seus backups de banco de dados. Então, parece que teremos que copiar e colar as postagens dele diretamente no Painel a partir do dump do banco de dados. Que diversão!
Nora McDougall-Collins
Desculpe pela informação incompleta – ele NÃO estava fazendo backups do banco de dados. Portanto, teremos que descarregar o banco de dados e copiar e colar na nova instalação.
Patricio Proaño
Excelente! Obrigado pelas informações, muito úteis!!
Pat Fortino
Você não precisa pagar nada para escanear seu site. Você pode escanear quantos sites quiser gratuitamente. Esse escaneamento dirá onde estão os hacks.
Equipe Editorial
Não está totalmente correto. Sim, eles têm um scanner gratuito, mas ele apenas verifica se os hacks têm impacto no front-end. Por exemplo, ele dirá que você tem injeções de malware no seu front-end, mas NÃO dirá onde o backdoor está escondido e coisas do tipo. Há momentos em que você pode limpar os resultados dos hacks, mas o backdoor ainda permanece mesmo após a limpeza. Então, quando ele volta, você fica se perguntando por quê.
Admin
Andrew
Bom guia. Você já viu o Wordfence (http://www.wordfence.com/)? Eu indiquei para muitos clientes e eles adoram.
Abraços,
Andrew
Equipe Editorial
Nunca precisei tentar. A Sucuri é altamente recomendada por muitas grandes marcas. Tendo usado-os por um tempo, podemos dizer que eles são muito bons.
Admin
Gautam Doddmani
thanks i am already using the plugin, eliminated many plugins because of it. real time scans are great and so is its firewall
Harry Candelario
isso era EXATAMENTE o que eu precisava!! Eu estava tentando descobrir como um hacker continuava invadindo um dos sites que eu mantenho… era apenas este site, nenhum dos meus outros sites estava sendo invadido. Eu o encontrei com a sua ajuda. Estava escondido em um plugin do Pinterest.
valeu de novo