7 способов проверить сайт на вирусы, вредоносные ссылки и прочую нечисть + 3 полезных плагина для wordpress

Использование терминала (SSH) для поиска уязвимостей

Самым действенным является проверка кода сайта на содержание условно опасных конструкций. Именно в этом нам помогает SSH доступ к сайту и знание консольных команд Linux. Даный способ сработает, если вы знаете зараженные файлы и можете посмотреть их код. Это нужно для того, чтобы обозначить уникальные фрагменты или идинтификаторы переменных. Так как CMS WordPress написана на PHP, нужно хотя бы базовое знание языка и понимание синтаксиса.

В преведенном выше примере рекомендую искать код используя следующую команду:

grep -R ‘@include «\‘

Это команда выведет список всех файлов, которые содержат фрагмент кода @include «\. Таким же образом можно искать и другие фрагменты кода, например:

!defined(‘ALREADY_RUN
$_COOKIE;
«base» . «64_decode»

Для чего взламывают обычные сайты?

Ради забавы

Многие просто так пытаются взломать чужие сайты, так сказать ради забавы, в большинстве случаев это начинающие хакеры, которым просто интересен этот процесс и Ваш сайт им не нужен, он им попался под руку, и они на нем оттачивают свое мастерство, запуская различные инструменты (программы, скрипты). После того как цель будет достигнута, т.е. сайт будет взломан, такие хакеры думают, что они стали более профессиональней, у них повышается самооценка, а Ваш сайт им больше не нужен.

Все остальные причины взломов сайтов более практичны.

Встраивание вредоносного кода для построения сети ботов и рассылки спама

Сайты взламывают с целью включения их в собственную сеть ботов, которая используется для различных хакерских атак или просто рассылки спама, а также других подобных не очень хороших действий. Это делается путем встраивания вредоносного кода на сайт, Вы можете и не сразу узнать о том, что Ваш сайт взломали. Хорошо, что сейчас и поисковые системы, например, Яндекс Вебмастер, и хостинг провайдер (имеется в виду, хороший хостинг провайдер), который периодически сканирует Ваш сайт на наличие угроз, в случае обнаружения угроз отправляют Вам соответствующее сообщение на электронную почту, чтобы Вы предприняли необходимые меры.

Встраивание вредоносного кода для заражения компьютеров пользователей

Также сайты взламывают для того, чтобы заразить компьютеры пользователей, которые посещают Ваш сайт. Иными словами, Ваш сайт будет просто инструментом взлома компьютеров в руках хакера. В данном случае также встраивается вредоносный код, поисковые системы его не любят еще больше, у Вашего сайта в поисковой выдаче даже будет соответствующая отметка, что он заражает компьютеры пользователей.

Черное SEO. Встраивание ссылок, размещение дополнительных страниц

Некоторые используют Ваш сайт как инструмент продвижения своего ресурса, например, встраивают скрытые, а иногда даже и не скрытые ссылки на свой сайт или сайт заказчика. Или даже создают отдельные страницы сайта со своим содержимым, визуально, когда Вы будете пользоваться сайтом, Вы их не увидите, так как они будут в скрытом разделе, о таких страницах Вы узнаете, например, из того же Яндекс Вебмастер, когда в страницах, которые присутствуют в поиске, появится несколько сотен новых непонятных страниц со ссылками и всякого рода подобным контентом.

Получить доступ к серверу на хостинге

В данном случае Ваш сайт снова никому не нужен, он просто служит инструментом, с помощью которого можно получить доступ к серверу, на котором расположен Ваш сайт. Например, хакеру необходимо взломать соседний сайт, который расположен на одном сервере с Вашим сайтом.

Подытожим

Прочитав статью, вы убедились, что борьба с вредоносным ПО вовсе не является чем-то из ряда вон. Благодаря наличию специализированных решений, такие операции, как проверка шаблона WordPress на вирусы, мониторинг ядра CMS и чистка сайта в случае заражения может выполнить даже непрофессионал. Но как и в медицине, в сфере IT ключ к успеху — не лечение, а профилактика. Помните — хакеры представляют угрозу не только для вас и вашего детища, но и для посетителей веб-ресурса. Зачастую именно они оказываются под ударом, посещая зараженные странички. Это чревато утратой самого главного — доверия со стороны пользователей, что неизбежно выльется в потерю постоянных читателей, и даже клиентов

Поэтому очень важно озаботиться вопросами безопасности как можно раньше, сведя к минимуму вероятность взлома

Алгоритм действий

Для тех кто решил самостоятельно обезвредить свой сайт.

Подключиться по ФТП, посмотреть в файловом менеджере даты изменений файлов, скачать и проанализировать логи (access.log, error.log). На виртуальном хостинге они могут быть недоступны, но можно попробовать запросить их в службе поддержки. Провести самостоятельно полное расследование вряд ли удастся, но иногда даты, время изменения файлов, IP-адреса, ОС, браузеры и другие метаданные могут рассказать многое о взломщике. Даты изменений файлов дадут понять на какой бэкап откатываться. Нужно учитывать, иногда даты изменений файлов даже после их изменений могут оставаться не тронутыми. Корневой каталог Вордпресс выглядит примерно так. С ним мы и будем работать.
Cкачать с официального сайта wordpress.org чистую копию Вордпресс той же версии, что установлена у вас. Удалить (именно удалить, а не заменить) файлы ядра и загрузить на их место чистые. Файлы с вредоносным кодом часто маскируются под системные файлы Вордпресс и носят имена типа wp-home.php, wp-system.php и т.п. Внимательно сравниваем их с файлами из дистрибутива Вордпресс и удаляем, если таких там нет.
Удалить полностью директории /wp-includes/ и /wp-admin/, заменив их скачанными.
Удалить все файлы из корня кроме wp-config.php и .htaccess, заменив их так же чистыми.
Сохраненные wp-config.php и .htaccess открыть в редакторе, визуально проверить на наличие постороннего или обфусцированного кода. Удалить все лишнее.
Очень часто эпицентр проблем находится в директории /wp-content/. Внутри нее есть директории /plugins/ и /themes/, в которых расположены плагины и темы соответственно. Все публичные плагины и темы нужно как и файлы ядра вручную удалить и заменить на заведомо чистые версии. Просто скачать их из каталога Вордпресс и залить вместо имеющихся. Коммерческие плагины скачать там, где они приобретались. Желательно те же версии. Обновляться лучше потом, когда попадем в админку.
Еще внутри /wp-content/ есть директория /languages/, в которых размещаются файлы локализаций. Ее тоже нужно обязательно проверить, там не должно быть никаких исполняемых файлов с расширением php. Именно в ней я много раз встречал загруженные бэкдоры.
В /wp-content/upgrade/ можно все удалить, если вдруг там что-то есть.
Затем нужно проверить все оставшиеся файлы в /wp-content/. Директорию /cache/ и все что касается кеша можно удалить. С особым пристрастием проверяем директорию /uploads/. Именно там в куче изображений часто прячутся бэкдоры. Если сайт большой, файлов там может быть очень много и проверить вручную все их невозможно. Потребуется специальный софт.

Плагин Exploit Scanner

И, наконец, расскажу про самый мощный способ, который уже для продвинутых пользователей. Если Вы не разбираетесь в тонкостях PHP (как я), то лучше с ним не связываться.

Это настоящая мечта параноика, так как этот плагин настолько подозрителен, что ставит все под сомнение : – ). Например, он считает опасным код роликов от YouTube, Vime, комментарии…

Но, если есть проблема, то он действительно поможет разобраться что к чему.

Когда у меня возникла проблема с первым моим бложиком (мир его праху), то простым сравнением кода с чистой установкой WP, я довольно быстро нашел вредоносный код в одном из плагинов. Пришлось повозиться, конечно и глаза покраснели, но нашел заразу.

Профилактические советы, чтобы убедиться, что тема WordPress безопасна

Никогда не загружайте бесплатные темы с сайта не авторов, потому что это может сделать ваш сайт уязвимым. Устанавливайте темы из авторитетных мест, таких как WordPress Theme Directory, WooThemes или templatemonster
Сканируйте ваш сайт регулярно на наличие вредоносный код в темах WordPress таких, как вредоносные перенаправления, вредоносные инъекции, бэкдоры, черный список Google, японский SEO-спам.
Используйте инструменты для проверки ваших тем, такие как Themecheck.info, Theme Check или Exploit Scanner
Всегда делайте резервную копию вашего сайта.
Убедитесь, что у вас безопасный хостинг.
Всегда используйте последнюю версию WordPress.
Держите плагины и темы в курсе последних версий. Всегда покупайте премиальные темы из официального репозитория тем WordPress.

Убираем вредоносный код из WordPress через базу данных

Очень частым случаем бывает, что вредоносным кодом заражены базы данных и он будет загружаться вместе с постами, страницами и комментариями пользователей, а также прочим контентом сайта. Мы уже с вами экспортировали бэкап базы данных .SQL WordPress. Есть разные способы как убрать вредоносный код из базы данных WordPress.

11.1. Ищем подозрительный контент прямо в забэкапленной базе данных

Вы можете напрямую открыть базу данных SQL с помощью Sublime. Затем воспользуйтесь ctrl + f для того, чтобы найти подозрительное содержимое.

Ищите iFrame: <iframe
Ищите base64: base64_decode
Ищите eval():eval()
Ищите скрипты: <script

Найдите все подозрительное и попробуйте понять где что расположено. Не удаляйте их напрямую из бэкапа своей базы данных – вместо этого перейдите к шагу 11.3.

11.2. Ищем подозрительный контент через PhpMyAdmin

Если у вас есть доступ к PhpMyAdmin, то вы можете напрямую искать с помощью опции поиска. Если вы уверены, что наткнулись на подозрительный код, то попытайтесь понять откуда он взят и переходите к шагу 11.3.

11.3. Вручную разбираем Pages, Posts, Comments и Revisions

Загляните в посты, страницы и их ревизии. Найдите подозрительные посты с помощью шагов 10.1 и 10.2 и откройте их один за одним в редакторе в текстовом режиме. Удалите весь подозрительный код и переформатируйте контент

Не забудьте при этом зайти в раздел Revisions и обратите внимание на комментарии, чтобы удалить возможный спам

Попросите убрать вас из черных списков

Лучший способ проверить наличие вашего сайта в чьих-либо черных списках (например, в поисковиках), это использовать VirusTotal. Например, если вы были занесены в ЧС Google, то вы можете просто зайти в Google Webmaster Tools и запросить повторное сканирование. На это может потребоваться несколько дней, но если Google не обнаружит на вашем сайте вредоносный код, то он удалит его из своего черного списка. Если же вы оказались в черных списках других поисковых систем, то зайдите к ним на сайт и также запросите повторное сканирование. В большинстве случаев вам потребуется вручную заполнить форму, чтобы запросить повторное сканирование и процесс может разниться в зависимости от разных черных списков.

Дополнительная шлифовка WordPress

Есть несколько вещей, которые вам стоит сделать в дополнение ко всему перечисленному выше. Есть несколько простеньких твиков, которые позволят вам с легкостью предотвратить самые распространенные заражения.

15.1. Отключите выполнение PHP в папках /uploads/ и /cache/

Вы запросто можете добавить несколько строк кода в свою конфигурацию Apache или Nginx, которые предотвратят использование PHP внутри папок upload и cache. Во многих сценариях это может вырубить бэкдор, поскольку вредоносный код попросту не сможет запуститься.

Nginx:
# Deny access to PHP files in any /uploads/ or /cache/ directories
location ~ /uploads/(.+)\.php$ { access_log off; log_not_found off; deny all; }
location ~ /cache/(.+)\.php$ { access_log off; log_not_found off; deny all; }

Apache:

Создайте файл .htaccess в папках upload и cache и запишите туда следующие строки кода:

# Kill PHP Execution

deny from all

15.2. Уберите правку файлов из админпанели

Неплохой мыслью будет отключить возможность редактирования файлов напрямую из админки WordPress. Для этого просто добавьте следующую строку в файл wp-config.php:

## Disable Editing in Dashboard
define(‘DISALLOW_FILE_EDIT’, true);

15.3. Скройте админпанель по умолчанию

Сайты на WordPress нередко брутфорсятся за счет ботнетов и хакерских скриптов. Одной из причин этого является то, что большинство сайтов используют в качестве расположения админки /wp-admin/ и тот факт, что многие владельцы сайтов используют стандартные имя пользователя администратора и слабый пароль. Таким образом для злоумышленников не составит никакого труда получить доступ к множеству сайтов на WordPress и заразить их желаемым вредоносным кодом, установить бэкдоры, заняться рассылкой спама и перенаправлением трафика. Вручную может быть сложно поменять расположение папки wp-admin, чтобы все работало как надо. Поэтому для этой цели лучше использовать сторонние плагины по типу WebARX.

15.4. Фаерволл для веб-приложений, мониторинг аптайма и оповещения об уязвимостях

Неплохо было бы обзавестись фаерволлом веб-приложений, который постоянно обновлен. Фаерволл для сайтов сейчас мастхэв, как и антивирусы для компьютеров. Есть множество плагинов, которые позволят вам упростить жизнь и избежать добавления скриптов вручную. Например, WordFence, iThemes Security и SecuPress. Если вы хотите позаботиться о безопасности и быть полностью уверенными, то я советую вам подписаться на WebARX Free Trial. WebARX позволяет вам настроить все на полный автомат и позволяет управлять сразу несколькими сайтами с одной админки. Также вы получите мониторинг аптайма и сможете автоматически обновлять устаревшие приложения через соответствующую админпанель.

15.5. Используйте безопасный хостинг и своевременно обновляйте приложения

Ваш хостинг должен обновляться (удостоверьтесь, что он вообще поддерживает PHP 7.2), должно настроенным и безопасным. Если вы экономите деньги, выбирая дешевый хостинг от непроверенной компании, то возникновение проблем лишь вопрос времени. Вы можете обезопасить свой сайт как только можете, однако если взломают хостинг, то все ваши старания пойдут в трубу. Ищите сервисы, которые предназначены именно для WordPress

У них как правило, есть встроенные WP CLI, чтобы все ваши сайты и меры предосторожности на них были постоянно обновленными. Одной из самых популярных является WP Engine

Как не разместить вредоносный код случайно

Перед тем как установить программное обеспечение, убедитесь в его безопасности.
Все виджеты, библиотеки и дистрибутивы CMS загружайте из официальных ресурсов или сайтов, которым можно доверять.
Если вы вынуждены взять дистрибутив из сомнительного источника, первым делом сделайте проверку на вредоносный код.
Если вы собираетесь установить для CMS дополнения, также проверьте их код.

Внимательно отнеситесь к блокам с рекламой

На страницах своего веб-ресурса размещайте лишь те блоки, которые вам предоставили надежные рекламные системы.
Перед тем как присоединиться к партнерской сети, почитайте о ней отзывы и посмотрите варианты контента, которые она распространяет.
С осторожностью отнеситесь к чересчур заманчивым предложениям, например, слишком высокой плате за блоки и счетчики.
Лучше всего размещать на сайте статичные материалы, то есть картинки и ссылки. Воздержитесь от элементов

Если предлагают установить Flash, Java и ActiveX, то просите передать вам исходный код. Его можно будет проанализировать и собрать самостоятельно.
Не участвуйте в программах, имеющих скрытые блоки.

Ограничьте доступ к служебным интерфейсам. Он должен быть только у тех лиц, которым в данный момент это требуется.

Закройте доступ сотрудникам, которые выполняли разовые работы, а также бывшим владельцам сайта и всем тем, кто не несет ответственность за функционирование сайта. В этом списке может быть отдел маркетинга и руководство.
Прежде чем нанять для работы над сайтом кого-то со стороны, заручитесь рекомендациями. После того как работа будет выполнена, закрывайте им доступ и меняйте пароли.
Партнерские системы иногда хотят получить доступ по FTP, чтобы самостоятельно делать замену баннера на сайте, если он статический. Такой доступ лучше не предоставлять, поскольку хакеры могут взломать базу данных партнеров и воспользоваться файлами вашего веб-ресурса.

Приобретайте хостинг только у надежных компаний, которые могут гарантировать безопасность серверов. Некоторые хостеры умышленно запускают на сайты вредоносный код.

Сегодня разработчики вредоносных программ развиваются быстрее, чем программисты, создающие антивирусное ПО. По этой причине нельзя надеяться, что автоматизированные инструменты будут эффективными в поиске и лечении вредоносного кода. Лучше всего использовать комплексный подход, включающий в себя различные инструменты операционной системы, разнообразный функционал CMS и ручной метод. Только так можно гарантированно избавиться от зараженных файлов, размещенных на сайте злоумышленниками.

Что такое вредоносный код

Вредоносный код наносит непоправимый вред ПК, поэтому программы с его использованием считаются противозаконными. От вредоносного следует отличать ошибочный код. Последствия, конечно, будут схожими, но в последнем случае нет злого умысла, так как ошибка в коде была допущена случайно. Если это повлечет за собой правовую ответственность, то будет квалифицировано как причинение ущерба по причине некомпетентности.

Такие ошибки могут сделать недостаточно квалифицированные специалисты, поэтому органам власти стоит задуматься над тем, как не допустить распространения программного обеспечения, неумелые манипуляции с которым влекут за собой серьезные последствия для социума. Такие ситуации нередко происходили еще до того, как мир узнал о существовании вредоносного кода.

Вредоносная программа выглядит как некий шифр из букв и символов, прописанных на латинице. За ним скрывается закодированное действие, которое выполняется при атаке на сайт. Например, весь новый контент, который вы создаете для своего ресурса, будет размещаться на другой площадке. Или же на вашем сайте опубликуют исходящие ссылки. Кроме кражи материалов, хакеры могут совершить самые коварные действия. Поэтому вредоносный программный код необходимо найти и ликвидировать.

Плагины для бэкапов сайта на WordPress

BackWPup – WordPress Backup Plugin

Плагин для создания резервных копий и восстановления прежних версий сайта.

Что делает плагин:

делает бэкапы полного сайта с контентом;
экспортирует XML WordPress;
собирает установленные плагины в файл;
проверяет и восстанавливает базы данных;
отсылает копии на внешние облачные хранилища, email или передает по FTP.

Платная PRO-версия шифрует архивы с бэкапами и восстанавливает резервные копии за пару кликов.

Управление архивами резервных копий

Доступен бесплатно, есть платная PRO-версия, не переведен на русский.

UpdraftPlus WordPress Backup Plugin

Что делает плагин:

копирует и восстанавливает данные в один клик;
делает автоматические резервные копии по расписанию;
проверяет и восстанавливает базы данных;
отправляет бэкапы в облако, на Google-диск и в другие места хранения по выбору.

Расширенная версия дает больший выбор мест для хранения копий и другие дополнительные функции.

Настройка хранения резервных копий

Не переведен на русский, доступен бесплатно.

VaultPress

Еще один плагин для резервного копирования и надежного хранения копий.

Что делает плагин:

ежедневно автоматически копирует все файлы сайта с контентом и комментариями;
восстанавливает сайт из копии по клику;
защищает сайт от атак и вредоносного ПО.

Работает бесплатно для одного сайта, хранит данные 30 дней. За дополнительную плату можно наблюдать за несколькими сайтами из одной панели и хранить данные дольше.

Рабочая панель

Плагин не переведен на русский язык, доступен для установки бесплатно.

Сайтам необходима защита от злоумышленников, чтобы они не смогли получить доступ к секретной информации, использовать ваш ресурс для атак на другие сайты, рассылать письма клиентам и нарушать стабильную работу ресурса. Плагины ставят мошенникам препятствия, защищают пользовательские данные и код сайта, а системы резервного копирования откатят сайт до прежнего состояния, если злоумышленникам все-таки удалось навредить.

Как защитить сайт от вредоносного кода

Что необходимо сделать, чтобы хакеры не могли инжектировать вредоносный код?

Устанавливайте ПО, которому можно доверять.

Скачивайте расширения, плагины для CMS и дистрибутивы веб-приложений из надежных ресурсов.
Время от времени загружайте обновления для CMS и серверного ПО. Будьте в курсе новостей, которые могут сообщать о появлении уязвимых мест той версии CMS, которую вы используете.
Постоянно проверяйте сервер на безопасность.
После того как вы установите CMS, сотрите файлы, которые использовались для загрузки и отладки.

Придумайте для веб-серверного ПО (FTP, SSH, административные панели хостинга и CMS) пароль высокого уровня сложности:

Он должен состоять из 11 или более знаков, включать цифры, буквы в обоих регистрах и специальные символы.
К разным сервисам придумайте разные пароли.
Раз в три месяца необходимо менять пароль, даже если он очень надежный.
Никогда не сохраняйте такие пароли в файловых менеджерах, браузерах, SSH-, FTP- и иных клиентах.

Проверяйте систему безопасности офисных компьютеров.

Все ПК, подключенные к серверу (обычно это компьютеры администраторов, веб-мастеров, контент-менеджеров, менеджеров по продажам), должны быть оснащены антивирусником, который постоянно обновляется. На ОС и рабочие программы также нужно время от времени устанавливать обновления.

Проверяйте информацию, которая вводится пользователями.

Контролируйте HTML-разметку данных, которые вносятся пользователями и могут встраиваться в код страниц веб-ресурса.
Проверяйте на сервере данные, полученные от пользователей: попадают ли они в разрешенные интервалы и списки, соответствует ли их размер установленным нормам.
Не вставляйте пользовательские данные сразу в SQL-запросы, вызовы eval(), в преобразование типов. Сначала просматривайте информацию на наличие опасных кодов и очищайте её.
В рабочую версию кода не стоит помещать параметры, которые вы ввели для отладки, а также тесты с новой или отключенной функциональностью.
Применяйте Web Application Firewall (WAF).

Права доступа пользователей должны контролироваться. Обязательно продумайте, как защититься от межсайтовой подделки запросов (CSRF).

Доступ к базе данных, панели администрирования CMS, а также к конфигурационным файлам, резервным копиям кода, к метаданным систем контроля версий должен быть у ограниченного круга лиц.

Желательно держать от посторонних глаз версии серверного ПО, то есть веб-сервера, CMS, БД, интерпретатора сценариев.
Настройка сетевой инфраструктуры и файрволов должна быть такой, чтобы допускались лишь соединения, нужные для работы.
Сведите к минимуму кликджекинг. Это можно проверить с помощью:

JavaScript-конструкции вида

if (top.location != window.location) top.location = window.location

или top.location = http://example.com

HTTP-заголовкаX-FRAME-OPTIONS SAMEORIGIN или X-FRAME-OPTIONS DENY.

Хостингам стоит постоянно проводить мониторинг своих сайтов, используя API Яндекс.Вебмастера или SafeBrowsing API «Яндекса».

Как не дать пользователям сайта разместить вредоносный код

Вредоносный код может случайно (или умышленно!) попасть на сайт через материалы, которые загружают пользователи.

Защищайтесь от роботов-взломщиков.

Есть специальные программные модули к CMS, которые защищают сайт от ботов. Можно отслеживать роботов через IP-адреса в черных списках.

Проверяйте контент, который вводят пользователи.

Запретите вставлять JavaScript-код внутри <script>, в ссылках и тегах.
Не помещайте код в тегах <iframe>, <object>, <embed> сразу на страницы веб-ресурса. Также не загружайте файлы .jar, .swf и .pdf, так как с их помощью такие теги будут создаваться автоматически.
Сгенерируйте whitelist разрешенных HTML-тегов. В будущем это позволит быстро исключать запрещенные теги.
Делайте проверку ссылок, которые вставляют пользователи. Это можно осуществлять через SafeBrowsing API Яндекса.

Основные меры по защите WordPress

Защитить WordPress от базовых угроз не сложно, для этого достаточно предпринять некоторые меры. Для того, чтобы упростить поставленный задачи, я рекомендую воспользоваться плагином «Better WP Security».

После установки и активации плагина на WordPress, пройдите в админку сайта на страницу настроек «Better WP Security», и создайте резервную копию базы данных, на всякий случай.

Затем, для того чтобы позволить плагину производить изменения в файлах вашего сайта и движка, вы должны дать разрешение, нажатием на соответствующую кнопку.

На следующей станице, для того чтобы защитить сайт от базовых атак
, необходимо включить эту опцию нажатием на соответствующую кнопку.

Но то еще не все. После того как вы выполните первые требования плагина, перед вами откроется таблица, в которой будут указаны все потенциальные точки уязвимости вашего сайта. Для защиты вашего WordPress сайта необходимо исправить все недочеты в защите.