اصلیترین نشانههای هک شدن سایت وردپرسی و روش های مقابله با آن

هک شدن سایت، یکی از بزرگترین کابوسهای مدیران وبسایتهاست. فرقی نمیکند که سایتی نوپا دارید، یا مسئول امنیت یک سایت بسیار بزرگ هستید؛ امنیت اطلاعات و حفاظت از سایت، مسئلهای است که باید در تمامی سایتها با بالاترین اولویت، مورد توجه قرار گیرد.
متاسفانه گاها دیده میشود که برخی از کاربران، با این دیدگاه که سایتشان در نتایج گوگل جایگاه خوبی ندارد، نسبت به مسائل امنیتی بیتوجهی میکنند. همین مسئله موجب میشود که هکرها به راحتی سایت این افراد را مورد نفوذ قرار دهند و از اطلاعات و منابع سایت این گروه از کاربران سواستفاده کنند. در این میان، همواره حملات به سایتهای وردپرسی بیشتر از سایر سایتها میباشد. اما علت این مسئله چیست؟
وردپرس محبوبترین سیستم مدیریت محتوا (CMS) است و بیش از ۳۵% از کل وبسایتهای دنیا، از پلتفرم وردپرس استفاده میکنند. محبوبیت سیستم وردپرس و استفادهی رو به افزایش آن باعث شده است تا این پلتفرم به یک هدف محبوب برای هکرها و اسپمرها تبدیل شود. هکرها ترجیح میدهند وقت خود را برای پلتفرمهایی که افراد کمی از آنها استفاده میکنند، صرف نکنند و با توجه به این که وردپرس نسبت به رقبای خود، از سهم بیشتری در دنیای اینترنت برخوردار است، طبیعی است که توجه هکرها را به خود جلب کند.
ممکن است برخی مدیران وبسایتها چنین تصور کنند که وبسایت آنها جذابیتی برای هکرها ندارد اما متاسفانه تنها زمانی اهمیت امنیت در وردپرس را درک میکنند که وبسایت آنها هک شده باشد.
در این مقاله از نت افراز بلاگ، میخواهیم به سراغ نشانههایی برویم که در اولین مراحل هک شدن سایت، با آنها روبهرو میشویم. این نشانهها برای هر مدیر یک سایت وردپرسی، همانند زنگ خطری است که با مشاهده آنها باید سریعا دست به کار شود و امنیت سایت خود را مورد بررسی قرار دهد. تا انتهای این نوشته با ما همراه باشید.
آیا وردپرس امنیت مناسبی دارد؟
بسیاری از افراد، فکر میکنند که دلیل آمار بالای هک شدن سایتهای وردپرسی به خاطر امنیت ناکافی این سیستم مدیریت محتواست، اما اینطور نیست!
وردپرس که به عنوان یکی از کاربرپسندترین و پر استفادهترین سیستمهای مدیریت محتوا برای راهاندازی کسب و کارهای اینترنتی شناخته شده است، همواره در معرض بیشترین تهدیدات امنیتی قرار دارد.
وردپرس بستری امن برای توسعهی کسب وکارهای اینترنتی است. این سیستم مدیریت محتوا، در طی سالها و با بهرهگیری از متخصصان امنیت، بارها و بارها بروزرسانی شده و امروزه به یک پلتفرم امن تبدیل شده است. چیزی که متخصصان امنیت وردپرس بارها به آن اشاره کردهاند، این است که در اکثر موارد، هک شدن سایتهای وردپرسی به خاطر بیتوجهی مدیران سایتها به مسائل امنیتی است.
در واقع بسیاری از هکرها به دنبال سرقت دادههای سایتها یا حذف پروندههای مهم نیستند. آنچه که آنها خواهان آن هستند، استفاده از منابع هاست شما برای ارسال ایمیلهای اسپم است.
آنها برنامههایی را روی سایت شما نصب میکنند که روزانه هزاران ایمیل اسپم ارسال میکنند و شما حتی آنها را نمیشناسید. عدهای از هکرها با استفاده از سایت شما اقدام به لینک سازی کرده و اصطلاحا سایت شما را تبدیل به یک مزرعه (Farm) بک لینک میکنند. برخی از هکرها نیز ممکن است، با قراردادن قطعه کدهای مخرب در کدهای سایت شما، اقدام به استخراج بیتکوین از طریق مرورگر بازدیدکنندگان کنند.
آیا میتوان امنیت وردپرس را ارتقا داد؟
بله! با وجود امنیت مناسب وردپرس، همچنان راههای بسیاری وجود دارد که امنیت سایت وردپرسی خود را به سطح بالاتری ببرید. از آنجا که این مسئله به نوشته امروز مرتبط نیست، مقالاتی را در ادامه به شما معرفی خواهیم کرد که پیش از این در نت افراز بلاگ منتشر شده و به شما کمک میکند که امنیت سایت خود را ارتقا دهید.
با استفاده از همین دو راهکار، امنیت سایت شما به شکل قابل توجهی افزایش مییابد. ما در تیم تحریریه نت افراز بلاگ، به صورت مرتب مقالات بسیاری را در زمینه امنیت وردپرس منتشر میکنیم که میتوانید از آنها استفاده کرده و خیال خود را از بابت حمله هکرها راحت کنید.
اما به بحث اصلی بازگردیم؛ یعنی زمانی که احساس میکنید سایت شما هک شده و به دنبال نشانههای آن میگردید.
اصلی ترین نشانههای هک شدن سایت وردپرسی
زمانی که سایت وردپرسی شما هک میشود، اثرات مخرب کارهای هکر، سبب بروز نشانههایی میشود. در ادامه به بررسی رایجترین نشانهها میپردازیم.
افزایش شدید مصرف CPU سرور
این مسئله را میتوان از بارزترین نشانههای هک شدن سایت دانست. از دو طریق متوجه این نشانه خواهید شد، که مورد دوم متداولتر است.
در اولین روش، شما مدیری هستید که به صورت مرتب، وضعیت مصرف منابع سرویس خود را چک میکنید. از تعداد کوئریهای در حال اجرا گرفته تا بررسی Cron Job ها و استفاده از ماژولهای مختلف برای بررسی وضعیت سایت، استفاده میکنید. اگر به صورت گفته شده منابع سایت خود را مورد بررسی قرار میدهید، میتوان امیدوار بود که به محض هک شدن سایت، متوجه این مسئله شوید و با انجام اقدامات لازم که در ادامه به آنها میپردازیم، سایت خود را نجات خواهید داد.
اما مورد دوم که متاسفانه بیشتر اتفاق میافتد، برای زمانیست که سایت شما هک شده و مسئول امنیت ارائه دهنده سرویس، همچون مدیر سرور نت افراز، متوجه مصرف شدید منابع در یکی از هاستها میشود. در اولین قدم، مدیر سرور سایت شما را بررسی میکند و چنانچه مورد مشکوکی مشاهده شود، از طریق تیکت و ایمیل این مورد به اطلاع شما میرسد.
پس از این مرحله باید سریعا نسبت به بررسی سایت خود اقدام نموده و مشکلات موجود را برطرف نمایید. توجه داشته باشید که با توجه به سیاستهای ارائه دهنده سرویس میزبانی، حتی ممکن است سرویس شما از دسترس خارج شود. چراکه در سرویسهای هاستینگ اشتراکی، منابع چندین سایت مشترک بوده، و این مشکل سایت شما، به سایت سایر کاربران حاضر در سرور نیز، ضربه میزند.
ریزش آمار سایت در سرچ کنسول گوگل
این نشانه را نمیتوان از جمله نشانههای اولیه سایت دانست، چراکه بسته به موقعیت سایت در موتور جستجوی گوگل، ممکن است در بازههای زمانی متفاوت اتفاق بیفتد.
درحالی که دارید مثل همیشه محتوا تولید میکنید، محصولات سایت را بروزرسانی میکنید و در سرچ کنسول گوگل به بررسی آمار بازدید سایت خود میپردازید، متوجه میشوید که بازدید سایت شما به شدت رو به کاهش است و نرخ کلیک شما کاهش چشمگیری پیدا کرده است. در این مرحله باید به این آژیر خطر توجه ویژهای کنید و به دنبال علت این مسئله بگردید.
این مشکل دلایل متفاوتی میتواند داشته باشد، که هک شدن سایت شما یکی از این موارد است. با یک کارشناش SEO و امنیت این مسئله را در میان بگذارید و ببینید که مشکل از کجاست. مطمئن باشید که مشکلات به صورت خودکار حل نخواهند شد و نیاز به اقدام دارند!
تغییر محتوای سایت و یا تغییر صفحه اصلی
امروزه این نشانه بسیار کمتر از قبل مشاهده میشود، اما همچنان نمیتوان آن را نادیده گرفت. در برخی موارد، هکر پس از هک کردن سایت کاربر، نسبت به تغییر صفحه اصلی (خانه) کاربر اقدام کرده و آن را تغییر میدهد. در اکثر موارد، هکر این کار را برای خودنمایی انجام میدهد که این مورد بیشتر در زمان هک شدن سایتهای معروف دیده میشود.
این اتفاق در میان طراحان سایت و هکرها با عنوان دیفِیس (Deface) مشهور است. این نشانه، سند محکمی بر هک شدن سایتهاست. با توجه به همین مسئله، اگز زمانی شنیدید که سایتی Deface شده است، حتما نسبت به تغییر اطلاعات حساب کاربری خود، در آن سایت اقدام نموده و یا در صورت امکان، حساب کاربری خود را در آن سایت، پاک کنید.
مشاهده عبارات چینی و نامفهوم در نتایج سرچ گوگل
روشی برای بررسی اولیه تعداد لینکهای ایندکس شده در موتور جستجوی گوگل وجود دارد که اکثر مدیران سایتها به آن آشنا هستند. برای این کار، تنها کافیست که در صفحه سرچ گول، آدرس سایت خود را پس از عبارت “:site” وارد کنید.
مثلا اگر بخواهیم تعداد لینکهای ایندکس شده از سایت نت افراز را مشاهده کنیم، عبارت زیر را در گوگل سرچ میکنیم:
site:netafraz.com
در بالای صفحه میتوانیم مقدار تقریبی لینکهای ایندکس شده از سایت خودمان را مشاهده کنیم. اما اگر یک روز همین کار را برای سایت خودتان انجام دادید، و با نتیجهای همچون تصویر زیر روبهرو شدید، بدانید که درگیر مشکلات بزرگی شدهاید.
متاسفانه در سالهای اخیر، هکرهای آسیای شرقی به سایتهای وردپرسی بسیاری حمله کرده و سایت را به کلی آلوده کردهاند. این نوع از هک، بر پایه هدف قرار دادن فایلهای سورس سایت شما، فایل index.php، و همچنین نقشه سایت ایجاد شده است. با این کارها، کلیه لینکهایی که از سایت مبدا در گوگل ایندکس شده است، به مرور زمان و با هربار ایندکس شدن سایت، به سایت دیگری (سایت مقصد) ریدایرکت میشوند که هکر، برای سایت مبدا تعریف کرده است. متاسفانه این اتفاق، بسیار برای سئو سایت هک شده مضر است و میتواند موجب حذف کلی دامنه از نتایج موتور جستجوی گوگل شود.
شما موفق به ورود به مدیریت سایت وردپرسی خود نخواهید شد
اگر نمیتوانید وارد وبسایت وردپرسی خود شوید، این احتمال وجود دارد که هکرها حساب مدیریت شما را از وردپرس حذف کرده باشند یا پسورد اکانت را تغییر داده باشند.
پس از آنجایی که حساب کاربری وجود ندارد، نمیتوانید رمز عبور خود را از صفحه ورود به سیستم بازنشانی کنید یا پسورد را ریست کنید.
البته راههای دیگری برای اضافه کردن یک حساب کاربری با استفاده از قابلیت “WP Quick Fix در نت افراز” یا phpMyAdmin یا از طریق FTP برای سایت وردپرسی نیز وجود دارد. اما با این حال، تا زمانی که متوجه نشوید هکرها چگونه وارد وب سایت شما شدهاند، سایت شما ناامن خواهد ماند و ابتدا باید مشکل امنیتی بوجود آمده را حل نمایید تا این اتفاق، مجددا تکرار نشود.
مشاهده حساب های کاربری مشکوک در وردپرس
اگر وب سایت شما امکان ثبت نام برای کاربران را داشته و از هیچگونه روش برای افزایش امنیت و حفاظت ثبت نام و جلوگیری از اسپمرها (مانند استفاده از Captcha) استفاده نمیکنید، این احتمال وجود دارد که طعمه اسپمرها شوید. بدین صورت که اسپمرها اقدام به ایجاد اکانت جدید روی سایت وردپرسی شما کنند. البته شما میتوانید آنها را شناسایی و به راحتی حذف کنید.
پس اگر اکانتهای مشکوکی در بخش مدیریت اکانتهای سایت وردپرسی خوب مشاهده کردید که قبلا توسط شما ایجاد نشدهاند بدانید که احتمالا وب سایت شما هک شده است.
مشاهده فایل ها و اسکریپت های ناشناخته روی سرور شما
معمولا هنگامی که هکرها موفق به نفوذ به یک وبسایت میشوند، جهت ایجاد دسترسیهای بیشتر اقدام به آپلود فایلهای آلوده و تزریق کدهای مخرب در برخی فایلها کرده تا بتوانند به اهداف خود برسند. البته افزونههای امنیتی مختلفی برای وردپرس مانند Sucuri WordPress Security Scanner وجود دارند که در صورت مشاهده یک فایل مخرب و غیر معمول در هاست سایت وردپرسی تان به شما اطلاع رسانی خواهند کرد. شما میتوانید جهت افزایش امنیت وبسایت وردپرسی خود از این افزونه بسیار کارامد امنیتی استفاده نمایید.
البته باید توجه داشته باشید این افزونهها هیچ کدام بصورت کامل مورد اعتماد نیستند. زیرا روشهای کدنویسی و Encryption فایلهای مخرب که هکرها از آن استفاده میکنند، دائما بروزرسانی شده و از متدهای جدیدتری برای ناشناختهتر شدن استفاده میشود. بنابراین براحتی توسط ابزارهای امنیتی، قابل شناسایی نخواهند بود.
برای یافتن فایلهای مخرب، میتوانید با استفاده از یک سرویس FTP به سایت وردپرس خود متصل شوید. معمولا رایجترین جایی که فایلها و اسکریپتهای مخرب را در آن پیدا میکنید شاخهی /wp-content/ است. معمولا هکرها در این مسیر که شامل پلاگینهای وردپرس نیز هستند، فایلهای آلوده و کدهای مخرب خود را آپلود و اجرا میکنند.
هکرها معمولاً این فایلها را مشابه فایلهای وردپرس نامگذاری میکنند تا بتوانند در معرض دید پنهان شوند. برای شناسایی آنها، باید ساختار فایل و دایرکتوری را بررسی کنید. با این حال دقت داشته باشید که حذف این فایلها تضمینی بر عدم بازگشتشان نیست و اگر روش نفوذ شناسایی نشود، هکر مجدد میتواند نسبت به آپلود مجدد فایلهای مخرب اقدام کند.
وبسایت شما کند تر از همیشه کار کرده یا با خطاهای مختلفی در لود مواجه میشود
معمولا وقتی وبسایتی هک میشود، بدلیل اینکه هکر در سورس سایت کدهای مخربی را تزریق میکند، لود اولیه سایت با کندی و خطاهایی مواجه میگردد و این یکی از علائم شناسایی سایت وردپرسی هک شده است.
عدم ارسال یا دریافت ایمیل های عجیب و نامربوط در وردپرس
سرورهایی که هک میشوند معمولا برای ارسال اسپم استفاده میشوند. اکثر شرکتهای میزبان وردپرس اکانتهای ایمیل رایگان را به همراه سرویس هاست به شما ارائه میدهند. بسیاری از صاحبان سایتهای وردپرس از سرورهای ایمیل هاست خود برای ارسال ایمیلهای وردپرس استفاده میکنند.
پس اگر نمیتوانید ایمیلهای وردپرس را ارسال یا دریافت کنید، این احتمال وجود دارد که سرور ایمیل شما برای ارسال ایمیلهای اسپم هک شده باشد و وردپرس شما مورد نفوذ و هک قرار گرفته باشد.
مشاهده پاپ آپ یا تبلیغات در وب سایت وردپرسی شما
اگر وب سایت خود را لود کردید و مشاهده کردید که همراه وب سایت شما، صفحهی دیگری نیز لود میشود یا تبلیغات عجیبی در وب سایت خود مشاهده کردید به احتمال زیاد وب سایت وردپرسی شما هک شده است و هکر اقدام به تزریق کدهای مخفی تبلیغات در سورس وب سایت شما نموده است.
ریدایرکت کاربران و برخی صفحات به آدرس های غیر معمول
اگر وب سایت شما بازدیدکنندگان را به یک وبسایت غیر معمول و غیر مرتبط ریدایرکت و هدایت میکند، احتمال زیادی وجود دارد که وب سایت وردپرسی شما هک شده باشد. پس در صورت مشاهده این مورد نیز حتما موارد امنیتی لازم را بررسی کنید.
این نوع هکها اغلب توسط یک backdoor یا بدافزار نصب شده در وب سایت شما انجام میشوند.
چطور مشکل هک شدن سایت وردپرسی را برطرف کنیم؟
اگر با خواندن قسمت قبلی یا پیدا کردن نشانههایی دیگر، مطمئن شدید که سایت وردپرسی شما مورد نفوذ قرار گرفته است، میتوانید از راهکارهایی که در ادامه به آنها اشاره میکنیم، استفاده کنید.
به دنبال یک بکاپ سالم بگردید
تاکنون بسیار به اهمیت بکاپ و بکاپ گرفتن از سایت اشاره کردهایم. اما این بار مسئله بکاپگیری مرتب، بسیار قویتر از قبل، اهمیت خود را نشان میدهد. چرا انقدر بر روی “بکاپ گیری مرتب” تاکید داریم؟
چراکه در اکثر موارد نهتنها کاربران نمیتوانند متوجه زمان هک شدن سایت خود شوند، بلکه پیدا کردن جواب این مسئله برای متخصصان امنیت شبکه نیز، دشوار است!
بنابراین نمیدانیم که آیا بکاپی که در اختیار داریم، مربوط به قبل از هک شدن سایت است، یا پس از آن. پس چنانچه بکاپ ما پس از هک شدن سایت ایجاد شده باشد، متاسفانه بازگردانی آن هیچ فایدهای نخواهد داشت. بنابراین هرچه بکاپهای ما مرتبتر باشد و به بکاپهایی قدیمیتر دسترسی داشته باشیم، شانس بازیابی سایت، بیشتر است.
اطلاعات دسترسی به دیتابیس را تغییر دهید
بهتر است که به محض اطلاع از هک شدن سایت خود، نسبت به ایجاد یک دسترسی جدید، و حذف دسترسیهای قبلی به دیتابیس اقدام کنید. شاید بتوان دیتابیس را ستون اصلی هر سایت دانست. ارسال پاسخ هر درخواست، مبتنی بر سلامت دیتابیس است و چنانچه دیتابیس شما آلوده شده باشد، بازیابی آن به این راحتیها نخواهد بود.
برای راحتی بیشتر شما کاربران گرامی، آموزش مدیریت دیتابیس را آماده کردهایم، که با کلیک بر روی آن، میتوانید نسبت به ایجاد دسترسی جدید به دیتابیس و حذف دسترسی پیشین اقدام کنید.
آموزش ایجاد دسترسی جدید به دیتابیس وردپرس
اما این پایان کار نخواهد بود. پس از ایجاد دسترسی جدید، باید اطلاعات این دسترسی را در فایل wp-config.php، جایگزین اطلاعات پیشین نمایید. توجه داشته باشید که این فایل، وظیفه برقراری ارتباط صحیح وردپرس، با دیتابیس شما را بر عهده دارد.
تنها مولفههایی که لازم است در این فایل تغییر دهید، رشته کدهای زیر هستند:
define('DB_USER','USERNAME');
define('DB_PASSWORD','PASSWORD');
با توجه به کدی که در بالا میبینید، نام کاربری جدید را باید جایگزین عبارت USERNAME کرده و رمز عبور دسترسی دیتابیس را نیز، جایگزین عبارت PASSWORD کنید. با این کار اتصال وردپرس با یک دسترسی جدید، به دیتابیس سایت شما برقرار خواهد شد. پیش از این مقالهای در نت افراز منتشر کردهایم، که به شما کمک میکند بتوانید بهتر با فایل wp-config.php و نحوه مدیریت آن آشنا شوید.
آموزش تنظیم فایل wp-config.php
با کلیک بر روی لینک بالا، میتوانید نسبت به مطالعه این مقاله اقدام کنید.
نصب مجدد وردپرس
در بسیاری از موارد، هکر با نفوذ به سایت، اقدام به اضافه کردن تعدادی فایل، اسکریپت و… به سایت میکند. این فایلها میتوانند در جهت اجرای برخی فرآیندها مورد استفاده قرار بگیرند، یا هکر از آنها برای دسترسی مجدد به سایت استفاده میکند. با این کار، حتی اگر مشکل هک شدن سایت خود را نیز بتوانید حل کنید، هکر با استفاده از این فایلها میتواند دوباره به سایت شما دسترسی پیدا کند. هکرها سعی میکنند که این فایلها را در پوشههای مختلف بارگذاری کنند؛ آن هم با نامهایی که اصلا به آنها شک نمیکنید!
بهترین کار برای مقابله با این ترفند، نصب مجدد وردپرس است. با این کار، کلیه فایلهای اضافی از پوشههای اصلی وردپرس پاک خواهند شد و چنانچه تغییری در کدهای یک فایل هسته وردپرس اعمال شده باشد، بیاثر میشود.
برای این کار، پس از ورود به پیشخوان، از قسمت بهروزرسانیها، مطابق با تصویر، بر روی کلید نصب دوباره کلیک نمایید.
توجه داشته باشید که با این کار، تنها فایلهای هسته وردپرس به حالت عادی خود بازمیگردند و اگر هکر، فایلهای خود را در پوشه افزونهها یا تمها مخفی کرده باشد، همچنان این فایلهای مخرب قابلیت اجرا دارند.
کلیه پسوردها را تغییر دهید!
زمانی که سایت شما هک میشود، نمیتوانید به این راحتیها بفهمید که نفوذ از چه طریق صورت گرفته است.
- آیا پسورد پیشخوان وردپرس هک شده است؟
- دسترسی به دیتابیس ایجاد شده است؟
- پسورد پنل سرویس میزبانی لو رفته است؟
وقت خود را در ابتدا صرف این موارد نکنید. اولویت اول خود را به بستن دسترسیهای هکر اختصاص دهید. همانطور که از گذشته گفتهاند، جلوی ضرر را از هر طرف که بگیرید، منفعت است!
بنابراین دستبهکار شوید و کلیه رمزعبورهایی که منتهی به اعمال تغییر در سایت شما میشود را تغییر دهید.
از یک متخصص کمک بگیرید
پس از اینکه توانستید به صورت موقتی دسترسی هکر را به سایت خودتان ببندید و یا حداقل آن را برای مدتی محدود کنید، حتما و حتما از یک مشاور امنیت خبره کمک بگیرید. همانطور که بارها در این مقاله اشاره کردیم، هرچه سریعتر دسترسی هکر را به سایت خود محدود کنید، بهتر است. در حقیقت مراحل آسیب شناسی، بررسی و احیای سایت، تازه پس از قطع دسترسی هکر شروع میشوند.
سخن پایانی
در این مقاله از نت افراز بلاگ، به بررسی نشانههای هک شدن سایتهای وردپرسی و راهکارهای اولیه مقابله با این مسئله پرداختیم. توجه داشته باشید که همواره، پیشگیری از هک شدن سایت، بسیار راحتتر از برطرف کردن اثرات هک شدن سایت است.
نهایتا امیدواریم که از این نوشته بهره کافی را برده باشید. هدف ما در تیم نت افراز، پاسخگویی به سوالات و برطرف کردن مشکلات اولیه شماست. پس چنانچه سوالی در رابطه با این نوشته دارید، از طریق بخش ارسال نظرات در پایین این برگه با ما در ارتباط باشید.
موفقیت همراه راهتان باد.
بازدیدها: ۰