Зламали WordPress: план дій і пошук бекдорів

WordPress зламують частіше за інші системи — не тому, що він гірший, а тому, що його більше. Автоматизовані сканери щодня перебирають відомі вразливості плагінів на мільйонах сайтів.

Як зазвичай потрапляють усередину

• Вразливий плагін. Найпоширеніший сценарій. Вразливість стає публічною, і сайти з цим плагіном обходять масово протягом кількох днів.
• Занедбані плагіни й теми. Небезпечні навіть вимкнені: код лишається на сервері й може бути виконаний напряму.
• Піратські теми й плагіни з вбудованими закладками.
• Слабкий пароль адміністратора й відсутність обмеження спроб входу.
• Сусідній сайт на тому ж хостингу — на дешевих тарифах зараження переходить між сайтами одного акаунта.

Де ховаються бекдори

Специфіка WordPress у тому, що закладку можна сховати не лише у файлах:

• у теці завантажень — там, де за задумом мають бути лише зображення;
• у файлах теми, найчастіше у функціях;
• у вигляді окремого плагіна з правдоподібною назвою;
• у базі: у налаштуваннях, у запланованих завданнях або як прихований адміністратор;
• у файлі конфігурації та в правилах веб-сервера — звідти беруться редиректи лише для відвідувачів з пошуку.

Чому чистка часто не допомагає

Бо прибирають наслідки. Якщо не знайдено, як саме потрапили всередину, через кілька днів усе повертається. Друга причина — заплановане завдання в базі, яке відновлює шкідливий код за розкладом: файли почистили, а джерело лишилось.

Порядок дій

1. Копія сайту й бази як є — до будь-яких змін.
2. Порівняння файлів ядра з офіційним дистрибутивом тієї ж версії.
3. Перевірка теки завантажень на виконувані файли.
4. Пошук у базі: адміністратори, заплановані завдання, підозрілий вміст у налаштуваннях.
5. Визначення точки входу за логами доступу.
6. Чистка, оновлення, зміна всіх доступів — саме в такому порядку.
7. Перевірка й запит на зняття санкцій, якщо вони були.

Якщо потрібна допомога — відновлення WordPress після злому. Далі логічні аудит безпеки, захист від типових атак і бекапи.