Повечето хакнати WordPress сайтове не изглеждат хакнати. Собственикът влиза в административния панел, всичко изглежда нормално, сайтът работи. Междувременно хакерът е вмъкнал скрит код, използва сървъра за изпращане на спам имейли или е добавил невидими линкове към фишинг сайтове.
Именно това прави WordPress сигурността толкова сложна тема. Проблемът не е само в очевидните случаи, при които сайтът е заменен с хакерско послание. По-голямата опасност е в невидимото – кодът, работещ на заден план с месеци, без собственикът да подозира нещо.
В тази статия ще разгледам конкретните признаци, по които можете да разберете дали WordPress сайтът ви е компрометиран, как да го проверите технически и какво да направите, ако се окаже, че сайтът наистина е хакнат.
Защо WordPress сайтовете са толкова атакувани?
WordPress захранва 43% от всички сайтове в интернет. Тази популярност го прави основна цел. Хакерите не търсят конкретния ви сайт – те пускат автоматизирани скриптове, сканиращи милиони сайтове едновременно за известни уязвимости в стари версии на плъгини и теми.
Резултатът е, че WordPress сигурността е постоянна тема, не еднократна задача. Над 90% от хакнатите WordPress сайтове са пробити заради остарели плъгини или теми. Не заради уязвимости в ядрото, не заради слаб хостинг – заради пропуснати обновявания.
Видими признаци, че WordPress сайтът ви е хакнат
Някои пробиви са очевидни. Ето признаците, които веднага трябва да вдигнат тревога:
Сайтът показва непознато съдържание
Начална страница, заменена с хакерско послание. Нови страници с непознато съдържание – реклами за лекарства, хазарт, порно. Текст на японски, китайски или арабски в резултатите на Google при търсене на сайта ви. Това е т.нар. Japanese keyword hack – един от най-разпространените типове WordPress атаки, при който хакерът добавя хиляди spam страници, оптимизирани за азиатски ключови думи.
Сайтът пренасочва към друг сайт
Посетителите, идващи от Google, се пренасочват автоматично към непознат сайт. Пренасочването понякога е настроено да работи само за мобилни устройства или само за трафик от търсачки, така че при директно отваряне на сайта всичко изглежда нормално.
Не можете да влезете в wp-admin
Паролата спира да работи без видима причина. Хакерът може да е сменил паролата на администраторския акаунт или да е изтрил акаунта напълно. Друга версия е добавяне на нов администраторски акаунт, за да се поддържа достъп дори ако собственикът смени паролата.
Браузърите показват предупреждение
Google Chrome, Firefox или Safari показват предупреждение „Този сайт съдържа вредоносни програми“ или „Сайтът е отчетен като опасен“. Това означава, че Google вече е засякъл проблема и е добавил сайта в черния си списък. Последствията за SEO са сериозни и незабавни.
Хостингът е спрял акаунта
Хостинг компаниите мониторират сигурността на сайтовете на сървърите си. Ако открият malware, изпращане на спам или необичайно натоварване на сървъра, могат да спрат акаунта автоматично.
Невидими признаци на хакнат WordPress сайт
По-опасните пробиви са тези, при които нищо не изглежда нередно на пръв поглед:
Сайтът е станал необичайно бавен
Драматично влошаване на скоростта без видима причина е сигнален знак. Malware, работещ на сървъра, консумира процесорно време и памет. Ако PageSpeed score е паднал рязко или сайтът зарежда значително по-бавно от обичайното, проверете за зловреден код.
Необичайна активност в Google Search Console
Отворете GSC и проверете за предупреждения в „Security & Manual Actions“. Ако виждате предупреждение за hacked content или manual action за spam, сайтът е компрометиран. Проверете и секцията „Coverage“ за внезапно появили се стотици или хиляди нови индексирани URL-и, каквито не сте създавали.
Непознати администраторски акаунти
Влезте в WordPress и отидете в Users. Ако виждате непознати администраторски акаунти, създадени без ваше знание, сайтът е компрометиран. Хакерите добавят backdoor акаунти, за да поддържат достъп дори след почистване.
Непознати файлове в директориите
Файлове с имена като r00t.php, shell.php, backdoor.php или произволни низове от символи в директориите wp-content/uploads, wp-includes или wp-admin са сигурен признак за пробив. Тези файлове са backdoor-и, позволяващи на хакера отдалечен достъп до сървъра.
Имейл акаунтите изпращат спам
Хостинг компанията ви е изпратила предупреждение, че от сървъра се изпращат масови имейли. Или получавате оплаквания от хора, получили спам от ваш имейл адрес. Компрометираният WordPress сайт много често се използва за изпращане на спам кампании.
Необичайни пикове в трафика
Рязко увеличение на трафика без маркетингова кампания, дошло от непознати географски региони, е знак за абнормална активност. Хакнатият сайт може да се използва като relay за атаки срещу трети сайтове.
Как технически да проверите дали WordPress сайтът е хакнат?
Визуалните признаци не са достатъчни. Ето конкретните инструменти и стъпки за техническа проверка:
Google Safe Browsing
Отидете на transparencyreport.google.com/safe-browsing/search и въведете URL на сайта. Google Safe Browsing показва дали сайтът е в черния списък и за какъв тип заплаха. Безплатен и бърз.
Sucuri SiteCheck
sitecheck.sucuri.net е безплатен онлайн скенер, проверяващ сайта за известен malware, blacklist статус и видими признаци на хакване. Не може да открие всичко – не вижда файловете на сървъра – но е добра първа стъпка.
Wordfence Security плъгин
Wordfence е най-разпространеният плъгин за WordPress сигурност. Безплатната версия включва malware скенер, сравняващ файловете на сайта с оригиналните файлове от WordPress.org хранилището. Всяка разлика се маркира за проверка. Показва непознати файлове, модифицирани ядрени файлове и известни malware сигнатури.
При стартиране на пълно сканиране с Wordfence, резултатите показват конкретните файлове с проблеми и дават опция за сравнение на кода с оригинала.
Google Search Console
Проверете „Security & Manual Actions“ за предупреждения. Проверете „Coverage“ за внезапно появили се нови URL-и. Проверете „Links“ за внезапно появили се хиляди нови входящи линкове – признак за SEO spam атака.
Ръчна проверка на бази данни
В phpMyAdmin проверете таблицата wp_users за непознати администраторски акаунти. Потърсете в таблицата wp_options за подозрителни стойности в полетата siteurl и home – хакерите понякога ги сменят за redirect атаки. Потърсете за base64_decode, eval и gzinflate в съдържанието – тези функции се използват за обфускиране на зловреден код.
Какво да направите, ако WordPress сайтът е хакнат?
Пробивът е установен. Ето реалистичният план за действие:
Стъпка 1: Не паникувайте, действайте бързо
Паниката води до грешки. Хакнатият сайт е поправим проблем в по-голямата част от случаите. Важно е да действате систематично, а не хаотично.
Стъпка 2: Направете бекъп на текущото състояние
Преди да промените каквото и да е, направете пълен бекъп на файловете и базата данни. Дори хакнатото копие. Може да ви потрябва за анализ или за сравнение.
Стъпка 3: Сменете всички пароли
Смените паролата на WordPress администратора, на FTP/SFTP достъпа, на базата данни, на хостинг контролния панел и на имейлите, свързани с домейна. Всичко. Дори да изглежда несвързано.
Стъпка 4: Почистете malware-а
С Wordfence стартирайте пълно сканиране. За всеки маркиран файл – сравнете с оригинала и решете дали да го поправите или изтриете. Изтрийте всички непознати файлове. При по-сложни случаи почистването изисква ръчен преглед на кода, за да се открие скрит backdoor.
Стъпка 5: Затворете вратата
Почистването без затваряне на уязвимостта е безсмислено. Обновете всички плъгини, теми и WordPress ядрото. Изтрийте неизползваните теми и плъгини. Изтрийте непознатите администраторски акаунти. Конфигурирайте двуфакторна автентикация за wp-admin.
Стъпка 6: Поискайте преглед от Google
Ако сайтът е в черния списък на Google, след почистването поискайте преглед от Google Search Console в секция „Security & Manual Actions“. Процесът отнема 24 до 72 часа и след одобрение предупреждението се премахва.
Ако не сте сигурни как да изпълните тези стъпки без риск за сайта, свържете се с нас. Почистването на хакнат WordPress сайт е специализирана услуга, изискваща технически опит и систематичен подход.
Как да защитите WordPress сайта си след почистването?
Почистването е само половината от работата. WordPress сигурността изисква и превенция:
Редовни ъпдейти
Обновявайте WordPress ядрото, темата и всички плъгини редовно. Пропуснатите ъпдейти са основната причина за пробиви. При обновявания тествайте в staging среда преди прилагане на живия сайт.
Ограничение на login опитите
Инсталирайте плъгин, ограничаващ броя на неуспешните login опити – Limit Login Attempts Reloaded или Wordfence. Brute force атаките правят хиляди опити за влизане автоматично. Ограничението ги спира.
Двуфакторна автентикация
2FA за wp-admin е една от най-ефективните защити срещу компрометирани пароли. Дори хакерът да разбере паролата, без физическия достъп до телефона или имейла не може да влезе.
Промяна на wp-admin URL
WordPress по подразбиране е достъпен на example.com/wp-admin. Смяната на URL-а с плъгин като WPS Hide Login намалява значително автоматизираните атаки, защото скриптовете търсят стандартната локация.
Firewall на ниво приложение
Wordfence или Sucuri Firewall блокират познати атаки преди да достигнат до WordPress. Cloudflare безплатният план добавя допълнителен слой защита на ниво DNS.
Редовен бекъп на отделна локация
При пробив добрият бекъп е разликата между часове за възстановяване и дни за изграждане от нулата. Ежедневен бекъп с UpdraftPlus, съхранен на Google Drive или Amazon S3, е минималният стандарт.
Редовната поддръжка на WordPress сайт включва всички тези дейности като стандартна защита, без да се налага да мислите за тях.
FAQ: Въпроси за сигурността на WordPress сайт
Как да разбера дали WordPress сайтът ми е хакнат без технически познания?
Проверете sitecheck.sucuri.net с URL на сайта – дава бърз резултат без технически познания. Проверете Google Search Console за предупреждения в „Security & Manual Actions“. Потърсете в Google site:вашиясайт.bg и прегледайте резултатите за непознато съдържание.
Мога ли сам да почистя хакнат WordPress сайт?
При прост случай – добавен backdoor файл или spam линкове – да, с Wordfence и систематичен подход. При по-сложен пробив с obfuscated код в множество файлове, препоръчвам специалист. Непълното почистване е по-лошо от непочистването – дава фалшиво усещане за сигурност, докато backdoor-ът остава активен.
Колко бързо Google премахва предупреждението след почистването?
След подаден Request Review в GSC обикновено 24 до 72 часа. При повтарящи се пробиви процесът може да е по-дълъг, тъй като Google е по-предпазлив към сайтове с история на компрометиране.
WordPress ядрото ли е несигурно?
Не. WordPress ядрото е добре поддържано и уязвимостите се затварят бързо. Проблемите идват от плъгини и теми с лош код или от остарели версии. Сайт само с ядрото и без плъгини би бил значително по-сигурен, но и практически безполезен.
Може ли хостингът да предотврати хакването?
Качественият хостинг добавя server-level защита – firewall, malware сканиране, изолация между акаунтите. Но не може да компенсира остарели плъгини или слаби пароли на ниво WordPress. Отговорността е споделена.
Как да предотвратя повторно хакване след почистването?
Обновете всичко, смените всички пароли, инсталирайте firewall плъгин, активирайте 2FA за wp-admin, изтрийте неизползваните плъгини и теми, и настройте редовен мониторинг. Почистването без затваряне на уязвимостта почти сигурно ще доведе до повторен пробив.
Виновен ли е хостингът, ако сайтът е хакнат?
Рядко. В по-голямата част от случаите пробивът е на ниво WordPress – остарял плъгин, слаба парола, некриптирана FTP връзка. Хостингът е виновен само ако пробивът е дошъл от сървърна уязвимост или от друг сайт на същия споделен хостинг сървър.