Egy WordPress weboldal fertőzése esetén előfordulhat, hogy a támadó nemcsak a WordPress fájljait módosítja, hanem a tárhely PHP- vagy webszerver-beállításaiba is elhelyez olyan hivatkozást, amely a fertőzött kódot ismételten betölti.
Ez önmagában nem jelenti azt, hogy a teljes szerver kompromittálódott. A .user.ini fájl könyvtárszintű PHP-beállításokat tartalmazhat, az auto_prepend_file segítségével pedig megadható egy olyan PHP-fájl, amely a normál PHP-fájl futtatása előtt automatikusan betöltődik. Emiatt egy rosszindulatú bejegyzés az adott weboldalon széles körű hatással rendelkezhet.
A PHP hivatalos dokumentációja szerint az auto_prepend_file könyvtárszinten is megadható PHP-beállítás, a .user.ini fájlokat pedig a PHP könyvtáranként dolgozza fel. További információ a PHP hivatalos dokumentációjában található.
A fertőzött fájl egyszerű törlése ezért sok esetben nem elegendő. Meg kell keresned azokat a fájlokat, beállításokat vagy ütemezett feladatokat is, amelyek a rosszindulatú tartalmat ismét létrehozhatják.
Tartalom:
- Biztonsági mentés készítése
- A teljes tárhely ellenőrzése
- .user.ini, php.ini és további konfigurációk ellenőrzése
- WordPress rendszerfájlok tiszta cseréje
- A wp-content könyvtár részletes ellenőrzése
- Bővítmények és sablonok tiszta újratelepítése
- PHP futási idő növelése
- Wordfence teljes ellenőrzés
- Az adatbázis ellenőrzése
- WordPress ütemezett feladatok ellenőrzése
- Jelszavak és hozzáférések biztonságossá tétele
- Utólagos megfigyelés 7–14 napig
- Mi a teendő visszatérő fertőzés esetén?
- Hogyan előzhető meg az újabb fertőzés?
- Gyakori kérdések
Mit érdemes megtenned a tisztítás előtt?
Ha lehetséges, a módosítások előtt készíts biztonsági mentést a weboldal és lehetőség szerint a teljes tárhely jelenlegi állapotáról.
Ez akkor is hasznos lehet, ha a mentés már tartalmazza a fertőzést, mert egy tévesen törölt vagy módosított fájl később visszakereshető belőle.
A fertőzés után készült mentést ne tekintsd tiszta visszaállítási pontnak. Elsősorban biztonsági másolatként őrizd meg a tisztítás idejére.
1. Miért kell a teljes tárhelyet ellenőrizned?
Ne csak azt a WordPress-telepítést vizsgáld át, amelyen a fertőzés először láthatóvá vált.
Ha ugyanazon tárhelyen több weboldal, aldomain, fejlesztői másolat, tesztoldal vagy régi WordPress-telepítés található, mindegyiket ellenőrizned kell.
Egy másik fertőzött vagy hosszú ideje nem frissített weboldal ugyanis a már megtisztított oldal újbóli fertőződését is okozhatja, amennyiben az oldalak ugyanazon tárhelyfiók fájljaihoz hozzáférhetnek.
Különösen ellenőrizd:
- a fődomainhez tartozó weboldalt;
- a kiegészítő domainekhez tartozó weboldalakat;
- az aldomaineket;
- a fejlesztői és tesztoldalakat;
- a régi, már nem használt WordPress-telepítéseket;
- a weboldalak mellett található ismeretlen könyvtárakat és PHP-fájlokat.
A már nem használt teszt- vagy régi weboldalakat érdemes teljesen eltávolítanod, nem csak magukra hagynod a tárhelyen.
2. Hogyan ellenőrizd a .user.ini, php.ini és egyéb konfigurációs fájlokat?
Elsőként ellenőrizd a weboldal könyvtáraiban található .user.ini, illetve amennyiben van ilyen, a php.ini fájlokat.
Keress bennük auto_prepend_file vagy auto_append_file kezdetű bejegyzést.
Például:
auto_prepend_file = "/home/felhasznalo/public_html/wp-content/XXXXXXXXXXXXXXXXXXXXXXXXXX.php"
Ha a bejegyzés egy ismeretlen, véletlenszerű nevű PHP-fájlra mutat – különösen például a wp-content könyvtár valamely részére –, akkor az érintett fájlt és a bejegyzést is vizsgáld meg.
Fontos: ha egy php.ini vagy .user.ini fájlban a sor pontosvesszővel kezdődik, például:
;auto_prepend_file = "/home/felhasznalo/public_html/wp-content/XXXXXXXXXXXXXXXXXXXXXXXXXX.php"
akkor a sor megjegyzésként szerepel a konfigurációban, tehát ebben a formában nem aktív. A hivatkozott ismeretlen PHP-fájlt azonban ilyenkor is érdemes ellenőrizned, mert korábbi fertőzés maradványa lehet.
Ne csak a gyökérkönyvtárat ellenőrizd
Ne csak a weboldal gyökérkönyvtárában található .user.ini fájlt ellenőrizd. A PHP könyvtáranként értelmezheti ezeket a beállításokat, ezért az alkönyvtárakban található további .user.ini vagy php.ini fájl is fenntarthatja a fertőzést.
Ellenőrizd különösen:
- a további .user.ini fájlokat;
- a php.ini fájlokat;
- az auto_prepend_file bejegyzéseket;
- az auto_append_file bejegyzéseket;
- a .htaccess fájlokat;
- az ismeretlen átirányítási szabályokat;
- a gyanús FilesMatch bejegyzéseket;
- a szokatlan ErrorDocument beállításokat.
Ne törölj automatikusan minden ilyen bejegyzést. A .htaccess, FilesMatch, ErrorDocument, auto_prepend_file és auto_append_file szabályok megfelelő weboldal-konfiguráció részei is lehetnek. Elsősorban az ismeretlen, korábban nem használt vagy egyértelműen rosszindulatú fájlokra mutató bejegyzések gyanúsak.
Ha igazolhatóan a fertőzéshez tartozó bejegyzést találsz:
- készíts mentést az érintett konfigurációs fájlról;
- távolítsd el a rosszindulatú bejegyzést;
- keresd meg a bejegyzésben megadott PHP-fájlt;
- ellenőrizd, hogy valóban fertőzött fájlról van-e szó;
- az igazoltan fertőzött fájlt távolítsd el.
Nem minden auto_prepend_file bejegyzés fertőzés
Az auto_prepend_file önmagában szabályos PHP-beállítás. Biztonsági megoldások is használhatják.
Például a Wordfence optimalizált tűzfala is használhat wordfence-waf.php fájlra mutató bejegyzést. Ilyen sort ne törölj automatikusan csak azért, mert auto_prepend_file szerepel benne.
A .user.ini fájl módosítása nem feltétlenül lép azonnal életbe. A PHP ezeket a fájlokat időszakosan olvassa újra, ezért a módosítás hatása néhány perces késéssel is jelentkezhet.
3. Hogyan cseréld le biztonságosan a WordPress rendszerfájljait?
Fertőzés esetén a WordPress rendszerfájljait érdemes hivatalos, tiszta példányokra cserélned.
A meglévő wp-admin és wp-includes könyvtárak egyszerű felülírása azonban nem minden esetben elegendő. Ha a támadó új, idegen fájlt helyezett valamelyik könyvtárba, a felülírás ezt a fájlt nem feltétlenül törli.
Megfelelő biztonsági mentés után ezért biztonságosabb, ha:
- ellenőrzöd a jelenleg használt WordPress-verziót;
- letöltöd ugyanennek a verziónak a hivatalos WordPress-csomagját;
- a meglévő wp-admin könyvtárat eltávolítod, majd tiszta példánnyal helyettesíted;
- a meglévő wp-includes könyvtárat eltávolítod, majd tiszta példánnyal helyettesíted;
- a WordPress gyökérkönyvtárában található rendszerfájlokat tiszta példányokkal cseréled.
Fontos: a wp-config.php fájlt ne írd felül!
A wp-config.php többek között a weboldal adatbázis-kapcsolatához és az adott WordPress-telepítés egyedi beállításaihoz szükséges adatokat tartalmazza.
Szintén ne töröld vagy írd felül teljes egészében a wp-content könyvtárat, mivel itt találhatók a weboldal bővítményei, sablonjai, feltöltött médiafájljai és egyéb egyedi tartalmai. Ezt a könyvtárat külön vizsgáld át.
A tisztítás után frissítsd a WordPress rendszert az aktuálisan támogatott verzióra.
A WordPress rendszerfájlok frissítéséről további információ a WordPress hivatalos dokumentációjában található.
4. Mit ellenőrizz a wp-content könyvtárban?
A wp-content könyvtárat nem szabad automatikusan tiszta WordPress-csomaggal felülírnod, ezért annak tartalmát különösen alaposan vizsgáld át.
Ellenőrizd többek között:
- a wp-content/mu-plugins könyvtárat;
- a wp-content/uploads könyvtárat;
- a wp-content/cache könyvtárat;
- a wp-content/languages könyvtárat;
- a plugins könyvtár teljes tartalmát;
- a themes könyvtár teljes tartalmát;
- az advanced-cache.php fájlt;
- a db.php fájlt;
- az object-cache.php fájlt;
- a sunrise.php fájlt;
- az ismeretlen PHP-fájlokat;
- az ismeretlen ZIP- vagy más archív fájlokat.
Miért fontos a mu-plugins könyvtár?
A mu-plugins könyvtár tartalmát minden esetben ellenőrizd.
Az itt található úgynevezett must-use bővítmények automatikusan betöltődnek a WordPress működése során, és nem kapcsolhatók ki ugyanúgy a hagyományos Bővítmények oldalon, mint a normál WordPress-bővítmények.
Ezért egy ide helyezett rosszindulatú PHP-fájl könnyen rejtve maradhat akkor is, ha a WordPress adminisztrációs felületén első ránézésre minden bővítmény rendben van.
PHP-fájl az uploads könyvtárban
A wp-content/uploads könyvtár jellemzően képeket, dokumentumokat és egyéb feltöltött médiafájlokat tartalmaz.
Az itt található ismeretlen PHP-fájl ezért különösen gyanús lehet. A fájlt azonban törlés előtt ellenőrizd, mert egyes egyedi rendszerek eltérő működést használhatnak.
5. Elég frissítened a bővítményeket és sablonokat?
Fertőzés esetén a bővítmények és sablonok egyszerű frissítése nem minden esetben elegendő.
Ha a támadó egy bővítmény vagy sablon könyvtárába egy teljesen új fájlt helyezett el, előfordulhat, hogy a normál frissítés ezt az idegen fájlt nem távolítja el.
A használt bővítményeket és sablonokat ezért lehetőség szerint:
- azonosítsd;
- ellenőrizd, hogy továbbra is szükséged van-e rájuk;
- szerezd be őket hivatalos vagy más megbízható, ellenőrzött forrásból;
- telepítsd újra a tiszta példányokat.
Az inaktív, nem használt bővítményeket és sablonokat teljesen töröld. Az, hogy egy bővítmény nincs aktiválva, nem jelenti azt, hogy a könyvtárában található sérülékeny vagy rosszindulatú fájlok nem jelenthetnek kockázatot.
Ismeretlen, módosított, tört vagy nem ellenőrizhető eredetű bővítményt és sablont ne helyezz vissza a megtisztított weboldalra.
6. Miért érdemes ideiglenesen növelned a PHP futási időt?
A fertőzés keresése során a Wordfence-nek sok fájlt kell átvizsgálnia. Nagyobb weboldal esetén előfordulhat, hogy a vizsgálat a PHP futási időkorlátja miatt nem tud megfelelően befejeződni.
A vizsgálat idejére ezért érdemes a max_execution_time értékét ideiglenesen 300 másodpercre állítanod.
Ezután indítsd el a teljes Wordfence ellenőrzést.
A tisztítás és ellenőrzés befejezése után az ideiglenesen megemelt PHP-limitet érdemes visszaállítanod a korábban használt értékre.
7. Hogyan ellenőrizd a weboldalt Wordfence segítségével?
Ha a Wordfence nincs telepítve, először telepítsd a WordPress adminisztrációs felületén.
Ezután:
- nyisd meg a Wordfence > Scan menüpontot;
- keresd meg a vizsgálati beállításokat;
- fertőzés gyanúja esetén válassz érzékenyebb vizsgálati beállítást;
- indítsd el a teljes ellenőrzést;
- várd meg, amíg a vizsgálat teljesen befejeződik;
- nézd át egyenként a talált problémákat;
- a biztonságosan javítható rendszerfájlokat javítsd;
- az igazoltan rosszindulatú és biztonságosan eltávolítható fájlokat töröld.
Ne törölj automatikusan minden olyan fájlt, amelyet a Wordfence problémásnak jelez. Egyedi fejlesztésű sablon vagy bővítmény esetén először ellenőrizd, hogy valóban fertőzött fájlról van-e szó.
Mit jelent, ha a Wordfence nem talál semmit?
A találat nélkül befejeződött Wordfence-vizsgálat önmagában nem igazolja, hogy a weboldal teljesen tiszta.
A fertőzés jelen lehet például:
- PHP-konfigurációs fájlban;
- .htaccess fájlban;
- az adatbázisban;
- mu-plugin fájlban;
- gyorsítótárban;
- ütemezett feladatban;
- vagy egy másik, ugyanazon tárhelyen található weboldalon.
8. Az adatbázist is ellenőrizned kell?
Igen. Egyes fertőzések nemcsak fájlokban, hanem a WordPress adatbázisában is elhelyezhetnek rosszindulatú kódot, átirányítást vagy a fertőzés későbbi visszaállítására használható adatokat.
Ellenőrizd többek között:
- a WordPress adminisztrátori felhasználókat;
- az ismeretlen vagy indokolatlanul magas jogosultságú felhasználókat;
- az aktív bővítmények listáját;
- a wp_options tábla gyanús bejegyzéseit;
- az oldalakba és bejegyzésekbe került ismeretlen JavaScript-kódokat;
- a widgetekbe vagy egyéb tartalmi mezőkbe került idegen kódot;
- az ismeretlen külső domainekre mutató hivatkozásokat és átirányításokat.
Az adatbázis módosítása előtt minden esetben készíts adatbázis-mentést.
Ne törölj ismeretlen wp_options bejegyzést kizárólag a neve alapján, mert bővítmények és sablonok is tárolhatnak itt szükséges adatokat.
9. Miért kell ellenőrizned a WordPress cronfeladatokat?
A WordPress ütemezett feladatait, azaz cronfeladatait is érdemes ellenőrizned.
Egy rosszindulatú vagy manipulált cronfeladat időszakosan:
- újra létrehozhat egy korábban törölt PHP-fájlt;
- módosíthatja a weboldal fájljait;
- visszaírhat egy adatbázis-bejegyzést;
- külső szerverről újabb rosszindulatú tartalmat tölthet le.
Ha ismeretlen ütemezett feladatot találsz, először próbáld azonosítani, hogy melyik bővítmény vagy sablon hozta létre.
Ne töröld automatikusan az összes ismeretlen nevű cronfeladatot, mert számos WordPress-bővítmény használ saját ütemezett feladatokat.
10. Mit kell még megtenned a fertőzés eltávolítása után?
A fájlok megtisztítása önmagában nem elegendő. Ha a támadó hozzáférési adatokat szerzett, ugyanazzal a hozzáféréssel később ismét módosíthatja a weboldalt.
A tisztítás után ezért javasolt:
- az összes WordPress adminisztrátori jelszó cseréje;
- a tárhelyhez tartozó jelszó cseréje;
- az FTP- és egyéb fájlhozzáférések jelszavának cseréje;
- az adatbázis-felhasználó jelszavának cseréje, amennyiben indokolt;
- a kapcsolódó egyéb hozzáférések ellenőrzése;
- kétlépcsős hitelesítés, azaz 2FA bekapcsolása, ahol erre lehetőség van;
- a WordPress frissítése;
- a használt bővítmények és sablonok frissítése vagy tiszta újratelepítése.
Ellenőrizd azt is, hogy nem jelent-e meg ismeretlen WordPress adminisztrátori felhasználó.
11. Mit ellenőrizz a tisztítás utáni 7–14 napban?
A weboldal megtisztítása után érdemes legalább 7–14 napig rendszeresen ellenőrizned, hogy a fertőzés valamely eleme nem jelenik-e meg újra.
Ellenőrizd különösen:
- újra megjelenik-e egy korábban eltávolított .user.ini fájl vagy bejegyzés;
- megváltozik-e váratlanul a .htaccess fájl;
- megváltozik-e váratlanul a wp-config.php fájl;
- létrejön-e új, ismeretlen WordPress adminisztrátor;
- megjelenik-e ismeretlen PHP-fájl a wp-content/uploads könyvtárban;
- keletkezik-e új, ismeretlen cronfeladat;
- ismét módosulnak-e a korábban megtisztított rendszerfájlok;
- tapasztalható-e ismeretlen weboldal-átirányítás;
- megjelenik-e idegen tartalom vagy reklám a weboldalon;
- a biztonsági vizsgálatok jeleznek-e újabb módosított fájlokat.
12. Mi a teendő, ha a fertőzés ismét visszatér?
Ha a probléma rövid időn belül visszatér, ne csak ugyanazt a fertőzött fájlt töröld újra.
Ellenőrizd többek között, hogy:
- található-e további .user.ini vagy php.ini más könyvtárakban;
- maradt-e ismeretlen PHP-fájl a wp-content vagy uploads könyvtárban;
- van-e fertőzött mu-plugin;
- maradt-e fertőzött bővítmény vagy sablon;
- található-e rosszindulatú cronfeladat;
- maradt-e gyanús adat az adatbázisban;
- van-e másik fertőzött weboldal ugyanazon tárhelyen;
- megtörtént-e minden kapcsolódó jelszó cseréje.
Mikor érdemes teljesen tiszta WordPress-telepítést készítened?
Ha a fertőzés ismételten visszatér, több hátsó kapu található, vagy nem állapítható meg megbízhatóan a weboldal fájljainak eredetisége, a legbiztonságosabb megoldás egy teljesen tiszta WordPress-telepítés létrehozása.
Ilyenkor:
- hozz létre egy tiszta WordPress-telepítést;
- a bővítményeket hivatalos vagy ellenőrzött forrásból telepítsd újra;
- a sablont tiszta forrásból telepítsd újra;
- csak az ellenőrzött média- és egyéb szükséges fájlokat helyezd vissza;
- az adatbázist tisztítsd meg és ellenőrizd az áthelyezés előtt;
- ne másold vissza automatikusan a teljes korábbi wp-content könyvtárat.
Ha a fertőzést nem sikerül megszüntetned, vagy nem tudod biztonságosan eldönteni, mely fájlok tartoznak a weboldalhoz, írj hibajegyet ügyfélszolgálatunknak.
13. Hogyan előzheted meg az újabb WordPress-fertőzést?
A megtisztított weboldal újbóli feltörésének kockázatát jelentősen csökkentheted rendszeres karbantartással.
Javasolt:
- a WordPress biztonsági frissítéseinek rendszeres telepítése;
- a bővítmények és sablonok rendszeres frissítése;
- az elavult vagy már nem támogatott bővítmények eltávolítása;
- a nem használt sablonok teljes törlése;
- a régi teszt- és fejlesztői oldalak megszüntetése;
- kizárólag hivatalos vagy megbízható forrásból származó komponensek használata;
- rendszeres biztonsági mentés készítése;
- a mentések legalább egy példányának a tárhelytől elkülönített helyen történő tárolása;
- fájlváltozás-figyelés használata;
- kétlépcsős hitelesítés használata;
- erős és minden szolgáltatásnál különböző jelszavak használata;
- a PHP-futtatás korlátozása olyan könyvtárakban, ahol arra nincs szükség, például megfelelő környezetben az uploads könyvtárban;
- a WordPress beépített fájlszerkesztőjének letiltása, amennyiben nincs rá szükséged;
- minden, ugyanazon tárhelyen található weboldal rendszeres frissítése és ellenőrzése.
A biztonsági mentés csak akkor nyújt megfelelő védelmet, ha rendszeresen készül, és rendelkezésre áll olyan korábbi példány is, amely még biztosan a fertőzés előtti állapotot tartalmazza.
Gyakori kérdések
Az auto_prepend_file mindig vírusra utal?
Nem. Az auto_prepend_file egy szabályos PHP-beállítás, amellyel egy PHP-fájl automatikusan betölthető a normál PHP-fájl futtatása előtt. Biztonsági megoldások is használhatják. Az ismeretlen vagy gyanús fájlra mutató bejegyzést azonban mindenképpen ellenőrizd.
Mit jelent, ha az auto_prepend_file sor előtt pontosvessző van?
Az INI-konfigurációban a pontosvesszővel kezdődő sor megjegyzésnek számít, ezért például a ;auto_prepend_file formában szereplő sor önmagában nem aktív. A benne szereplő ismeretlen fájl elérési útját ettől függetlenül érdemes ellenőrizned.
Egy ilyen fertőzés azt jelenti, hogy feltörték a teljes szervert?
Nem feltétlenül. Egy .user.ini fájlban található fertőzött bejegyzés önmagában nem bizonyítja a teljes szerver kompromittálódását. A .user.ini a PHP könyvtárszintű konfigurációjának része, ezért az adott webhely vagy könyvtár PHP-futtatására lehet jelentős hatással.
Elég csak a Wordfence vizsgálatot lefuttatnod?
Nem. A Wordfence fontos segítséget nyújt, de a fertőzés PHP-konfigurációban, .htaccess fájlban, adatbázisban, mu-pluginban, cronfeladatban vagy egy másik weboldalon is jelen lehet.
Felülírhatod egyszerűen a wp-admin és wp-includes könyvtárakat?
A felülírás önmagában nem feltétlenül törli azokat az idegen fájlokat, amelyeket a fertőzés hozott létre. Megfelelő mentés után biztonságosabb a wp-admin és wp-includes könyvtárakat tiszta, azonos WordPress-verzióból származó példányokra cserélned.
Felülírhatod a wp-config.php fájlt tiszta WordPress fájllal?
Nem. A wp-config.php az adott weboldal egyedi konfigurációját, többek között az adatbázis-kapcsolat adatait tartalmazza. A WordPress rendszerfájljainak cseréjekor ezt a fájlt őrizd meg és külön ellenőrizd.
Miért veszélyes a mu-plugins könyvtárban található fertőzés?
A mu-plugins könyvtár bővítményei automatikusan betöltődhetnek, és nem kapcsolhatók ki ugyanúgy a WordPress Bővítmények felületén, mint a hagyományos bővítmények. Emiatt ezt a könyvtárat fertőzés esetén külön ellenőrizd.
Ha a Wordfence már nem talál fertőzést, akkor biztosan tiszta az oldal?
Nem feltétlenül. A találat nélküli vizsgálat jó jel, de önmagában nem bizonyítja, hogy minden konfigurációs fájl, adatbázis-bejegyzés, cronfeladat és ugyanazon tárhelyen található másik weboldal is tiszta.
Miért kell jelszót cserélned a tisztítás után?
A fertőzés pontos bekerülési módja nem minden esetben állapítható meg. Ha valamelyik WordPress-, FTP- vagy tárhely-hozzáférés illetéktelen kézbe került, a támadó a fájlok megtisztítása után is visszatérhet ugyanazzal a hozzáféréssel.
Meddig érdemes figyelned a weboldalt a tisztítás után?
Legalább 7–14 napig célszerű rendszeresen ellenőrizned a fontos konfigurációs fájlokat, a WordPress adminisztrátorokat, az uploads könyvtárat, a cronfeladatokat és az esetleges újabb fájlmódosításokat.
Összefoglalva: WordPress fertőzés esetén ne csak az elsőként megtalált rosszindulatú fájlt töröld. Ellenőrizd a teljes tárhelyet, a .user.ini, php.ini és .htaccess konfigurációkat, cseréld tiszta példányokra a WordPress rendszerfájljait, vizsgáld át a wp-content könyvtárat, telepítsd újra a szükséges bővítményeket és sablonokat, ellenőrizd az adatbázist és az ütemezett feladatokat, majd cseréld le a hozzáférési adatokat. A tisztítás után legalább 7–14 napig figyeld, hogy a fertőzés valamely eleme nem jelenik-e meg újra.
