A WordPress egy nagyon népszerű tartalomkezelő rendszer, azonban a biztonságos üzemeltetéséhez fontos, hogy az időközönként az alaprendszert, a témákat és pluginokat is frissíteni kell, megbízható forrásból származó plugineket, theme-ket szabad csak használni, és lehetőleg alkalmazzunk biztonsági pluginokat, megoldásokat is.
Mi a jele, ha feltörték a WordPress oldalam?
- a holnap ismeretlen oldalakra irányít át (kaszinó, sportfogadás, testépítés...)
- ismeretlen admin felhasználók jelennek meg
- ismeretlen bejegyzések kerülnek az oldalba
- de más, addig ismeretlen funkciók bekerülése is gyanús lehet
Mit tegyek, ha már megtörtént a baj? Hogyan tisztíthatom meg a hackelt WordPress oldalamat?
Sok féle hackelési típus van, és ezek forrását, a behatolás módját nem mindig lehet teljesen bizonyosan feltárni, emiatt érdemes minden lehetséges biztonsági hibaforrást elhárítani.
Mi az alábbi lépéseket javasoljuk:
-
Készítsen biztonsági mentést:
A folyamat elkezdése előtt készítsen egy teljes biztonsági mentést a jelenlegi állapotról.
Erre több módszer is van. Elvégezheti a mentést kézzel is az alábbi leírásunk alapján, de a cPanel Softaculous menüpontja alatt is készíthet mentést a tárhelyére.
Tipp: a Softaculous menüpont Telepítések pontja alatt a domain sorában levő zöld mentési ikonnal egyszerűen készíthet olyan mentést, amit szükség esetén pár gombnyomással visszatölthet: -
Törölje a nem használt vagy nem szükséges pluginokat, témákat.
A pluginokat a WP admin felületén a Bővítmények / Telepített bővítmények, amíg a kinézetet a Megjelenés / Sablonok alatt, a sablon képére, majd alul a Törlés gombra kattintva tudja letiszítani.
A kikapcsolt pluginek mellett javasoljuk a már nem használt vagy felesleges kiegészítők törlését is. -
Tisztítsuk meg az oldalt a hackelt tartalomtól.
A hackelés sok formában valósulhat meg, így a típusától függően szükséges törölni a hacker által létrehozott cikkeket, hozzászólásokat, admin felhasználókat.
⚠️ Fontos:
- Javasolt az oldalhoz tartozó adatbázist is alaposan megvizsgálni (fokozott alapossággal a wp_options, wp_usermeta, wp_users, wp_posts és wp_postmeta táblákat), mert abba is kerülhet be kártékony adatok (akár kódolt formában).
- Illetve javasolt összevetni a domain wp-content/plugins könyvtára alatt látható mappákat a WP-adminon belül megjelenő pluginek listájával. Ha eltérés van, az is árulkodó lehet és szükség esetén törölni kell a rejtett plugint.
-
Frissítsük az admin jelszavakat.
A WordPress admin felhasználójának jelszava mellett kérjük a WP által használt adatbázis felhasználójának jelszavát is frissítse. Emellett az FTP felhasználók, cPanel és egyéb jelszavakat is javasolt frissíteni.
Adatbázis felhasználó jelszavának cseréje: A domain könyvtárában levő wp-config.php fájlban tudja visszakeresni, hogy az oldal melyik adatbázist / felhasználót használja. Az alábbi bekezdést kell keresnie:
// ** Database settings - You can get this info from your web host ** // /** The name of the database for WordPress */ define( 'DB_NAME', 'usernev_*adatbazis*' ); /** Database username */ define( 'DB_USER', 'usernev_*felhasznalo*' ); /** Database password */ define( 'DB_PASSWORD', '***jelszo***' );
Ez alapján a cPanel felület MySQL®-adatbázisok menüpontban a Jelenlegi felhasználók alatt keresse ki a konfig fájlban levő felhasználót, és Jelszó módosítása alatt frissítse a jelszavát.
Ezen friss jelszót utána szükséges utána az előbbi wp-config.php fájlban is frissíteni az újra (define( 'DB_PASSWORD', '***jelszo***' ); részben). -
Írjuk felül vagy cseréljük a WordPress fájljait.
Javasoljuk a wp-admin és wp-includes mappák törlését, és egy frissen letöltött WordPress telepítő csomagból ezen könyvtárak visszamásolását FTP-n keresztül. A domain kezdőkönyvtárában levő fájlokat szintén javasolt felülírni a WordPress alap fájljaival (kivétel lehet ez alól a .htaccess fájl, amiben szükséges beállításai lehetnek). Amennyiben a főkönyvtárban a felüleírás után a módosítás dátuma szerint talál még régi fájlokat, ami az alap telepítő fájlai közöt nem szerepel, javasolt megvizsgálni és szükség szerint törölni azokat.
A wp-content mappán belül lehetőség szerint próbáljuk a pluginek és témák fájljait frissíteni. -
Telepítsünk biztonsági bővítményt, és szkenneljük át vele az oldalt.
Jó megoldás lehet erre a WordFence pluginja. Telepítés után egy regisztráció és API kulcs beállításával ingyenesen aktiválható.
Wordfence / Scan menüpontjában a Scan Type / Manage Scan gombjára kattintva állítsa át az ellenőrzés típusát High Sensitivity-re, és a Start New Scan gombbal indítjon el egy ellenőrzést. -
Állítson be automatikus frissítést, hogy minden naprakész maradjon.
A WordPress admin felületén állítsa be, hogy az alaprendszer, a pluginok és a témák is automatikusan frissüljenek.
Ugyanezt a cPanel felületen a WordPress Manager by Softaculous menüpontja alatt is egyszerűen be tudja kapcsolni: -
Készítsen mentést a tiszta állapotról!
A fent említett egyes pont szerint ismét készítsen egy mentést a már takarított, helyes állapotról.