هک شدن سایت وردپرس؛ ۷ مرحله شناسایی و پاکسازی بدافزار

امروز صبح سایتتان شما را به یک سایت ناشناس می‌برد؟ یا گوگل نوشته «این سایت ممکن است هک شده باشد»؟ هک شدن سایت وردپرس هر روز برای صدها سایت اتفاق می‌افتد و خونسردی در ساعت اول، مهم‌ترین عامل نجات است.

در این راهنمای اضطراری، ۷ مرحله مشخص برای شناسایی و پاکسازی بدافزار را قدم‌به‌قدم می‌خوانید. اگر هنوز مطمئن نیستید، اول نشانه‌های هک را بررسی کنید و بعد سراغ پاکسازی بروید.

نشانه‌های هک شدن سایت وردپرس؛ چطور بفهمیم سایت ویروسی شده؟

قبل از هر اقدامی باید مطمئن شوید که هک شدن سایت وردپرس واقعی است. بعضی نشانه‌ها فوری و آشکارند و بعضی پنهان. اگر حتی یکی از موارد زیر را دیدید، مشکوک شوید.

نشانه‌های آشکار

• ریدایرکت ناخواسته؛ بازدیدکننده به سایت قمار، دارو یا فروشگاه جعلی منتقل می‌شود.
• هشدار قرمز مرورگر یا پیام «Deceptive site ahead» هنگام باز کردن سایت.
• تغییر ظاهر صفحه اصلی یا نمایش پیام هکر به‌جای محتوای شما.
• ورود نکردن به پنل مدیریت، با اینکه رمز را درست می‌زنید.
• ساخته شدن کاربر مدیر ناشناس در بخش کاربران.

نشانه‌های پنهان

• افت ناگهانی ترافیک ارگانیک یا ایندکس شدن صفحه‌های عجیب با متن ژاپنی و چینی.
• مصرف غیرعادی منابع هاست یا ارسال ایمیل اسپم از دامنه شما.
• هشدار هاست درباره فایل مشکوک یا تعلیق حساب.
• فایل‌های PHP تازه ساخته‌شده در پوشه uploads.

مرحله ۱؛ سایت را قرنطینه کنید

در لحظه کشف هک شدن سایت وردپرس، هر دقیقه تأخیر یعنی بازدیدکننده بیشتری آلوده می‌شود. پس اول جلوی آسیب را بگیرید.

بهتر است سایت را موقتاً از دسترس خارج کنید. دو راه ساده دارید:

• فعال کردن حالت تعمیر با افزونه یا از طریق هاست.
• محدود کردن دسترسی با رمز در فایل htaccess یا پنل هاست.

در همین مرحله، به هاستینگ خبر دهید. بسیاری از شرکت‌های هاست لاگ دسترسی و اسکنر سرور دارند و دقیق‌تر از شما می‌توانند زمان نفوذ را پیدا کنند.

در هک شدن سایت وردپرس، هر رمزی که روی سایت یا ایمیل مرتبط دارید، از یک دستگاه سالم عوض کنید. اگر رایانه شما هم آلوده باشد، رمز جدید دوباره لو می‌رود.

مرحله ۲؛ از وضعیت فعلی بکاپ بگیرید

شاید عجیب باشد که در هک شدن سایت وردپرس از سایت آلوده بکاپ می‌گیریم. دلیلش ساده است: این نسخه سند ماجراست. اگر پاکسازی به مشکل خورد، به آن برمی‌گردید.

کل فایل‌ها و دیتابیس را جداگانه دانلود کنید و روی سیستم یا فضای امن نگه دارید. این بکاپ را هرگز جایگزین نسخه سالم نکنید.

نسخه سالم قبلی هم کمک بزرگی است. اگر بکاپ تمیز دارید، بازیابی سایت هک‌شده بسیار سریع‌تر می‌شود. روش‌های مطمئن را در راهنمای بکاپ گیری از سایت وردپرس دیده‌ایم؛ همین حالا بررسی کنید آخرین نسخه سالم مربوط به چه تاریخی است.

مرحله ۳؛ فایل‌های وردپرس را برای یافتن بدافزار اسکن کنید

حالا نوبت شناسایی است. بدافزار در هک شدن سایت وردپرس معمولاً در چند جای مشخص پنهان می‌شود. این مکان‌ها را اول وارسی کنید:

• پوشه wp-content/uploads؛ در این پوشه نباید فایل PHP وجود داشته باشد.
• فایل wp-config.php و .htaccess؛ دنبال کدهای ناآشنا و خطوط طولانی رمزگذاری‌شده بگردید.
• پوشه mu-plugins؛ هکرها دوست دارند افزونه مخفی را آنجا بگذارند، چون در فهرست افزونه‌ها دیده نمی‌شود.
• افزونه‌ها و قالب‌های غیرفعال و رهاشده، به‌ویژه نسخه‌های کرک‌شده.

برای بررسی هسته وردپرس می‌توانید از ابزار WP-CLI استفاده کنید. دستور wp core verify-checksums فایل‌های هسته را با نسخه رسمی مقایسه می‌کند و فایل‌های دست‌خورده را نشان می‌دهد. دستور مشابه برای افزونه‌های مخزن رسمی هم هست.

برای تشخیص هک شدن سایت وردپرس، اسکنر افزونه‌ای هم کمک می‌کند، اما فقط به آن تکیه نکنید. بدافزار حرفه‌ای گاهی از اسکنر فرار می‌کند. بررسی دستی فایل‌های تازه‌تغییرکرده با تاریخ ویرایش، سرنخ خوبی است.

مرحله ۴؛ دیتابیس و کاربران را بررسی کنید

بدافزار فقط در فایل‌ها نیست. در بسیاری از موارد هک شدن سایت وردپرس با تزریق کد به دیتابیس انجام می‌شود و حتی بعد از پاک کردن فایل‌ها برمی‌گردد.

این چند مورد را در phpMyAdmin یا با افزونه بررسی کنید:

• جدول wp_users؛ هر کاربر مدیر ناشناس را حذف کنید.
• جدول wp_options؛ مقدارهای siteurl و home باید آدرس خودتان باشد.
• جدول wp_posts؛ دنبال تگ‌های script و iframe یا لینک‌های مخفی بگردید.
• ابزارک‌ها و گزینه‌های قالب؛ بدافزار گاهی کد را آنجا می‌گذارد.

در پاکسازی هک شدن سایت وردپرس، قبل از ویرایش دیتابیس یک نسخه جداگانه از آن بگیرید. حذف اشتباه رکورد می‌تواند سایت را از کار بیندازد.

مرحله ۵؛ پاکسازی و جایگزینی فایل‌های آلوده

پاک کردن تکه‌های کد از میان فایل‌ها خطرناک است، چون ممکن است یک دریچه پشتی جا بماند. بهترین روش برای رفع هک شدن سایت وردپرس، جایگزینی فایل‌های تمیز است.

مراحل را این‌طور پیش ببرید:

1. نسخه تازه وردپرس را از سایت رسمی دانلود و پوشه‌های wp-admin و wp-includes را با آن جایگزین کنید.
2. افزونه‌ها و قالب را حذف و از منبع معتبر دوباره نصب کنید. افزونه‌های بلااستفاده را کلاً کنار بگذارید.
3. فایل‌های ناآشنا در uploads و ریشه سایت را پاک کنید.
4. فایل htaccess را با نسخه پیش‌فرض عوض کنید.
5. هسته، قالب و همه افزونه‌ها را به آخرین نسخه برسانید.

اگر پس از این مراحل ویروس برگشت، خودِ هاست یا یک حساب دیگر روی همان سرور هم آلوده است. در این حالت، پاکسازی دستی کافی نیست و بهتر است از یک تیم امنیتی کمک بگیرید. ما در خدمات امنیت سایت وردپرسی همین کار را انجام می‌دهیم.

مرحله ۶؛ همه رمزها و کلیدهای امنیتی را عوض کنید

پاکسازی هک شدن سایت وردپرس بدون تعویض رمز مثل عوض کردن قفل بدون گرفتن کلید قبلی است. هکر هنوز می‌تواند وارد شود.

برای بستن راه نفوذ، این فهرست را یکی‌یکی انجام دهید:

• رمز همه کاربران مدیر و ویرایشگر وردپرس.
• رمز دیتابیس؛ بعد از تغییر، فایل wp-config.php را هم به‌روز کنید.
• رمز پنل هاست، FTP، SSH و ایمیل‌های مدیریتی.
• کلیدهای امنیتی (Salts) در wp-config.php؛ با ساخت کلید جدید، همه نشست‌های ورود قبلی باطل می‌شود. وردپرس مولد رسمی این کلیدها را دارد.
• کلیدهای API سرویس‌های متصل مثل درگاه پرداخت و ایمیل.

برای جلوگیری از هک شدن سایت وردپرس، رمزها را قوی و یکتا بسازید و ورود دومرحله‌ای را فعال کنید. بدین ترتیب حتی اگر رمز لو برود، ورود هکر سخت‌تر می‌شود.

مرحله ۷؛ از گوگل درخواست بازبینی بدهید

بعد از پایان پاکسازی، هنوز برچسب هشدار روی سایت شما مانده است. برای اینکه هک شدن سایت وردپرس از نتایج جستجو پاک شود، باید به گوگل بگویید سایت تمیز است.

این کار از طریق Google Search Console انجام می‌شود:

1. وارد Search Console شوید و بخش «Security & Manual Actions» را باز کنید.
2. روی «Security issues» بزنید و مشکل گزارش‌شده را ببینید.
3. مطمئن شوید همه صفحه‌های آلوده پاک شده‌اند.
4. گزینه «Request review» را انتخاب کنید و توضیح دهید چه کارهایی انجام داده‌اید.

بازبینی بعد از هک شدن سایت وردپرس معمولاً چند روز زمان می‌برد. تا آن موقع، سایت را زیر نظر داشته باشید. اگر گوگل درخواست را رد کرد، دلیلش را بخوانید و مشکل باقی‌مانده را رفع کنید.

راهنمای رسمی وردپرس هم درباره اقدام‌های بعد از هک توضیح داده است. می‌توانید راهنمای وردپرس برای سایت هک‌شده را بخوانید.

بعد از پاکسازی؛ جلوگیری از تکرار هک شدن سایت وردپرس

پاکسازی تمام ماجرا نیست. اگر علت نفوذ بسته نشود، هک شدن سایت وردپرس دوباره تکرار می‌شود. علت‌های رایج، افزونه قدیمی، رمز ضعیف و قالب کرک‌شده است.

برای پیشگیری، فهرست کامل اقدام‌ها را در مقاله امنیت سایت وردپرس ببینید. این مقاله روی واکنش بعد از حادثه تمرکز دارد و آن مقاله روی پیشگیری قبل از آن.

چند عادت ساده ریسک هک شدن سایت وردپرس را به‌شدت کم می‌کند:

• به‌روزرسانی منظم هسته، افزونه و قالب.
• بکاپ خودکار و آزمایش بازیابی.
• محدود کردن تعداد تلاش ورود و فعال‌سازی ورود دومرحله‌ای.
• نظارت مداوم؛ در پلن‌های پشتیبانی سایت بررسی دوره‌ای امنیت و به‌روزرسانی‌ها انجام می‌شود.

سوالات متداول درباره هک شدن سایت وردپرس

جمع‌بندی

هک شدن سایت وردپرس ترسناک است، اما با برنامه قابل مهار است: قرنطینه، بکاپ، اسکن فایل و دیتابیس، پاکسازی، تعویض رمزها و بازبینی گوگل. ترتیب را رعایت کنید و هیچ مرحله‌ای را جا نیندازید.

اگر وقت یا تخصص لازم برای مقابله با هک شدن سایت وردپرس را ندارید، بهتر است پاکسازی را به تیم امنیتی بسپارید تا ریشه نفوذ بسته شود و سایت دوباره آلوده نشود.