دیدن صفحه ناشناس یا هشدار بدافزار لحظه مناسبی برای حذف تصادفی فایلها نیست. اقدام شتابزده میتواند شواهد را از بین ببرد و Backdoor را باقی بگذارد. پاسخ درست چهار هدف دارد: محدودکردن آسیب، حفظ اطلاعات لازم، بازگرداندن سرویس سالم و بستن مسیر ورود.
نشانه را تأیید و دامنه را مشخص کنید
تغییر صفحه، Redirect، کاربر مدیر ناشناس، فایل PHP در uploads، ارسال Spam و هشدار میزبان نشانههای مهماند. زمان نخستین مشاهده و مسیر درگیر را ثبت کنید. از وضعیت فعلی فایل و دیتابیس یک Snapshot محافظتشده بگیرید؛ این نسخه برای انتشار نیست، برای بررسی و مقایسه است.
مهار حادثه
- اگر خطر برای کاربر وجود دارد، سایت را با صفحه نگهداری امن محدود کنید.
- نشستهای فعال را لغو و کلیدهای امنیتی وردپرس را تغییر دهید.
- رمز مدیریت، هاست، دیتابیس، FTP، ایمیل و سرویسهای متصل را از دستگاه سالم عوض کنید.
- کلید API و درگاه مشکوک را لغو کنید.
- با میزبان برای بررسی حسابهای همسایه و لاگ سرور هماهنگ شوید.
پاکسازی با منبع قابل اعتماد
هسته وردپرس را از بسته رسمی، قالب و افزونهها را از منبع اصلی و فایل اختصاصی را از مخزن سالم جایگزین کنید. فقط حذف فایل علامتگذاریشده کافی نیست؛ مهاجم ممکن است چند نقطه ماندگاری ساخته باشد. uploads، mu-plugins، cron، کاربرها، wp-config و گزینههای دارای کد را بررسی کنید.
دیتابیس را فراموش نکنید
کاربر مدیر، محتوای تزریقشده، لینک Spam، وظیفه زمانبندی و گزینه ناشناخته را جستوجو کنید. داده را با Dump سالم و تاریخ رخداد مقایسه کنید. Query پاکسازی گسترده بدون Backup ممکن است سفارش و محتوای واقعی را حذف کند.
مسیر ورود را پیدا کنید
نسخه آسیبپذیر افزونه، رمز استفادهشده در چند سرویس، حساب قدیمی، دسترسی نوشتن نادرست یا آلودگی دستگاه مدیر از احتمالها هستند. زمان تغییر فایل را با لاگ ورود و درخواست تطبیق دهید. اگر علت اصلاح نشود، سایت پاکشده دوباره آلوده میشود.
بازگشت کنترلشده به سرویس
- نسخه پاک را در محیط جدا اجرا کنید.
- اسکن و مقایسه فایل انجام دهید.
- ورود، فرم، خرید و ایمیل را آزمایش کنید.
- HTTPS، Headerها و مجوز فایل را بررسی کنید.
- سایت را منتشر و لاگها را در روزهای بعد زیر نظر بگیرید.
ارتباط شفاف
اگر داده شخصی یا پرداخت در معرض خطر بوده، دامنه اثر و تعهدهای قانونی را با متخصص بررسی کنید. پیام به مشتری باید واقعیت شناختهشده، اقدام انجامشده و توصیه لازم را بدون حدس و کوچکنمایی بیان کند.
پاکشدن هشدار پایان حادثه نیست؛ پایان زمانی است که مسیر ورود شناخته و کنترلهای جلوگیری از تکرار اجرا شده باشند.
