Nulaužta svetainė — tai svetainė, į kurią pašalinis asmuo gavo prieigą ir įterpė kenkėjišką kodą: nukreipimus į svetimus puslapius, šlamšto puslapius, paslėptus administratorius ar virusą, kuris užkrečia lankytojus. Jei įtariate, kad jūsų WordPress svetainė nulaužta, veiksmų eilė visada ta pati: pirmiausia izoliuoti ir padaryti kopiją, tada išvalyti failus ir duomenų bazę, surasti spragą, pro kurią įsilaužta, ir tik tada prašyti Google nuimti įspėjimą. Esu Tomas, front-end programuotojas iš Vilniaus; per vienuolika metų ir 150+ projektų teko valyti ne vieną užkrėstą svetainę, todėl žemiau aprašau, kaip tai darau aš — be paslapčių.
Kaip suprasti, kad svetainė nulaužta?
Įsilaužimas retai būna akivaizdus. Šiuolaikinis kenkėjiškas kodas stengiasi būti nepastebimas savininkui: prisijungusiam administratoriui svetainė atrodo normaliai, o nukreipimai ar šlamštas rodomi tik lankytojams iš Google arba tik mobiliuosiuose telefonuose. Todėl verta žinoti požymius:
- Naršyklė ar Google rodo įspėjimą — raudonas ekranas „Ši svetainė gali būti pavojinga“ arba užrašas paieškos rezultatuose „Ši svetainė galėjo būti nulaužta“.
- Nukreipimai į svetimas svetaines — lošimų, vaistų ar „laimėjote prizą“ puslapius, dažnai tik atėjus iš paieškos.
- Keisti puslapiai Google indekse — paieškoje įvedus
site:jusudomenas.lt, matyti šimtai puslapių japonų ar anglų kalba, kurių niekada nekūrėte. - Nežinomi administratoriai — vartotojų sąraše atsirado paskyrų, kurių niekas nekūrė.
- Hostingo pranešimas — tiekėjas praneša apie kenkėjiškus failus arba apriboja paskyrą dėl siunčiamo šlamšto.
- Staigus sulėtėjimas ar serverio apkrova — svetainė naudojama kaip kriptovaliutų kasimo ar atakų platforma.
Search Console skiltis „Saugos problemos“ yra pirma vieta, kur verta pažiūrėti: jei Google aptiko kenkėjišką turinį, ten bus nurodyta, kokį ir kuriuose adresuose. Kaip naudotis šiuo įrankiu, aprašiau straipsnyje apie Google Search Console naudojimą.
Nulaužta svetainė: ką daryti per pirmą valandą
Pirmoji valanda lemia, ar valymas bus paprastas, ar brangus. Svarbiausia — nepanikuoti ir nepradėti trinti failų atsitiktinai. Mano eilės tvarka:
- Padarykite pilną kopiją dabartinės būsenos. Taip, užkrėstos. Ji reikalinga analizei — iš jos matosi, kokie failai pakeisti ir kada. Be jos spragos paieška tampa spėliojimu.
- Izoliuokite svetainę. Įjunkite priežiūros režimą arba laikinai apribokite prieigą pagal IP, kad lankytojai nebūtų nukreipiami ir neužsikrėstų. E-parduotuvėje tai ypač svarbu, jei įtariama, kad pažeistas apmokėjimo puslapis.
- Pakeiskite slaptažodžius ne iš užkrėsto kompiuterio. Hostingo, FTP/SFTP, duomenų bazės ir visų WordPress administratorių. Jei slaptažodis buvo pavogtas jūsų kompiuteryje, jį pakeitus tame pačiame įrenginyje jis gali būti pavogtas dar kartą.
- Praneškite hostingui. Dažnai jie turi savo žurnalus ir gali pasakyti, kada ir iš kur buvo pirmasis įtartinas veiksmas.
- Užsirašykite, kas pasikeitė. Kada pastebėjote, ar neseniai diegėte naujų papildinių, ar kas nors kitas turėjo prieigą. Tai sutrumpina diagnostiką.
Ko nedaryti: neatnaujinkite visko vienu mygtuku ir netrinkite papildinių, kol nežinote, kuris iš jų kaltas. Taip dingsta įrodymai, o kartais — ir duomenys. Panašią logiką aprašiau ir straipsnyje apie WordPress baltą ekraną: pirma kopija, tada taisymas.
Kaip atrodo svetainės valymas nuo virusų
Patikimas valymas yra ne vienas skenavimas, o kelių sluoksnių darbas. Kenkėjiškas kodas beveik niekada negyvena vienoje vietoje — palikus bent vieną „užpakalines duris“, įsilaužėlis grįžta per kelias dienas.
1. WordPress branduolys
Branduolio failus (wp-admin, wp-includes) palyginu su oficialiu tos pačios versijos paketu. Kiekvienas skirtumas — įtartinas. Paprasčiausia ir saugiausia branduolį pakeisti švaria kopija visiškai, o ne taisyti failus po vieną.
2. Papildiniai ir tema
Papildinius ir temas, kurie yra oficialioje saugykloje, įdiegiu iš naujo iš patikimo šaltinio. Mokamus — iš kūrėjo paskyros. Jei tema ar papildinys buvo parsisiųstas kaip „nemokama pro versija“ iš abejotinos svetainės, jį pašalinu visai: tokie failai dažnai užkrėsti iš anksto. Kas yra papildinys ir kaip jį rinktis saugiai, rašiau straipsnyje „WordPress įskiepis: kas tai“.
3. Įkelti failai
Katalogas wp-content/uploads turi turėti tik paveikslėlius ir dokumentus. PHP failai jame — beveik visada kenkėjiški. Taip pat tikrinu .htaccess, wp-config.php ir šakninio katalogo failus, kuriuose mėgstami paslėpti nukreipimai.
4. Duomenų bazė
Dažna klaida — išvalyti failus ir pamiršti duomenų bazę. WordPress virusas mėgsta įsiterpti į įrašų turinį, nustatymų lentelę ir valdiklius (pvz., paslėptas <script> žymes). Taip pat peržiūriu vartotojų lentelę ir pašalinu nežinomus administratorius.
5. Serverio lygis
Tikrinu suplanuotas užduotis (cron), kitas tame pačiame hostinge esančias svetaines ir prieigos raktus. Jei viena paskyra talpina kelias svetaines ir užkrėsta viena, dažniausiai užkrėstos visos.
Spragos radimas: be jo valymas — išmesti pinigai
Ištrynus kenkėjiškus failus, bet neužtaisius spragos, svetainė vėl nulaužiama — kartais per savaitę, kartais per dieną. Todėl spragos paieška yra svarbiausia valymo dalis. Dažniausios priežastys, kurias randu:
| Priežastis | Kaip atpažįstu | Kaip užtaisau |
|---|---|---|
| Neatnaujintas papildinys su žinoma spraga | Pirmieji pakeisti failai sutampa su papildinio katalogu ar jo pažeidžiamumo aprašu | Atnaujinu arba pakeičiu kitu, jei kūrėjas jo nebeprižiūri |
| Silpnas ar pavogtas slaptažodis | Prisijungimų žurnaluose — sėkmingas prisijungimas iš svetimos šalies | Nauji slaptažodžiai, dviejų veiksnių patvirtinimas, prisijungimo bandymų ribojimas |
| „Nulaužta“ mokama tema ar papildinys | Kenkėjiškas kodas buvo nuo pat įdiegimo dienos | Pašalinu ir pakeičiu licencijuota versija ar alternatyva |
| Kaimyninė svetainė tame pačiame hostinge | Užkrėstos kelios svetainės vienu metu | Valau visas, atskiriu paskyras |
| Pasenusi PHP versija ar serverio programinė įranga | Hostingo žurnalai, versijų patikra | Atnaujinu PHP ir suderinu svetainę su nauja versija |
Pagal failų pakeitimo datas ir serverio žurnalus paprastai galima nustatyti ne tik priežastį, bet ir datą, kada įsilaužta. Tai svarbu sprendžiant, ar galima pasitikėti atsarginėmis kopijomis.
Google peržiūros prašymas: kaip nuimti įspėjimą
Kai svetainė išvalyta, Google apie tai nesužino savaime. Jei Search Console skiltyje „Saugos problemos“ yra pažymėtų problemų, reikia pateikti peržiūros prašymą:
- Įsitikinkite, kad valymas baigtas — patikrinkite svetainę iš kelių įrenginių, taip pat atėjus iš paieškos.
- Search Console atidarykite „Saugos problemos“ ir paspauskite „Prašyti peržiūros“.
- Trumpai ir konkrečiai aprašykite: kas rasta, ką pašalinote, kokia buvo spraga ir kaip ją užtaisėte.
- Laukite atsakymo el. paštu. Mano patirtimi tai dažniausiai užtrunka 1–3 dienas.
Lygiagrečiai pašalinu šlamšto puslapius iš Google indekso: jie turi grąžinti 404 arba 410 atsakymą, o skubiausius galima laikinai paslėpti per šalinimo įrankį. Jei hostingas užblokavo paskyrą, jam pateikiu panašią ataskaitą.
Kaip apsisaugoti, kad svetainė nebūtų nulaužta vėl
Nulaužiamos dažniausiai ne specialiai taikytos, o apleistos svetainės: automatiniai robotai nuolat skenuoja internetą ir ieško žinomų spragų. Todėl apsauga — tai daugiausia reguliarus darbas, ne brangios priemonės:
- Reguliarūs atnaujinimai — WordPress, temos ir papildinių, su patikra po atnaujinimo. Mėnesinę eilę surašiau WordPress priežiūros kontroliniame sąraše.
- Mažiau papildinių — kiekvienas nereikalingas papildinys yra papildomas kodas, kurį reikia prižiūrėti.
- Atsarginės kopijos ne tame pačiame serveryje ir periodiškai patikrintos atkūrimu.
- Dviejų veiksnių patvirtinimas administratoriams ir atskiros paskyros kiekvienam žmogui.
- Failų redagavimo išjungimas administravimo srityje (
DISALLOW_FILE_EDIT). - Patikimas hostingas su atskirtomis paskyromis ir naujausia PHP versija — palyginimą rasite straipsnyje apie hostingą Lietuvoje.
Kaip galiu padėti
Jei jūsų svetainė nulaužta ar užkrėsta, galiu ją išvalyti per skubios pagalbos paslaugą. Svetainės valymas kainuoja nuo 150 €: kenkėjiško kodo šalinimas iš failų ir duomenų bazės, spragos radimas ir užtaisymas, slaptažodžių keitimas, Google įspėjimo ir hostingo blokavimo nuėmimas, ataskaita, kaip įsilaužta. Po valymo — 30 dienų garantija: jei virusas grįžta, valau nemokamai. Atsakau per 4 darbo valandas, diagnostika nemokama. Kad tai nepasikartotų, siūlau priežiūros planus nuo 19 €/mėn.; saugumo ir virusų skenavimas įeina į standartinį planą (60 €/mėn.).
Dažniausiai užduodami klausimai
Kaip greitai reikia valyti nulaužtą svetainę?
Kuo greičiau, geriausia tą pačią dieną. Kol kenkėjiškas kodas aktyvus, jūsų lankytojai nukreipiami į svetimus puslapius, iš serverio gali būti siunčiamas šlamštas, o Google ir hostingas bet kada gali svetainę pažymėti kaip pavojingą arba užblokuoti. Kiekviena diena didina žalą reputacijai ir paieškos pozicijoms.
Ar užtenka saugumo papildinio, kad išvalyčiau WordPress virusą?
Dažniausiai ne. Skeneris randa žinomus kenkėjiško kodo šablonus, bet praleidžia užmaskuotus failus, įterpimus duomenų bazėje ir paslėptus administratorius. Be to, papildinys neranda priežasties — pro kur įsilaužta. Skeneris tinka kaip pagalbinė priemonė, bet ne kaip visas valymas.
Ar galima tiesiog atkurti svetainę iš atsarginės kopijos?
Galima, jei turite kopiją, padarytą prieš įsilaužimą, ir tiksliai žinote, kada jis įvyko. Bet atkūrimas spragos neužtaiso: jei neatnaujintas papildinys liko toks pat, svetainė bus nulaužta iš naujo. Be to, dažnai kenkėjiškas kodas kopijose slypi kelias savaites, todėl ir „švari“ kopija gali būti užkrėsta.
Kiek laiko Google nuima įspėjimą „Ši svetainė gali būti pavojinga“?
Pateikus peržiūros prašymą per Search Console, mano patirtimi įspėjimas dažniausiai nuimamas per 1–3 dienas, bet Google konkretaus termino negarantuoja. Prašymą verta teikti tik tada, kai esate tikri, kad svetainė išvalyta — atmestas prašymas nukelia viską dar kelioms dienoms.
Kiek kainuoja svetainės valymas nuo virusų?
Mano kaina — nuo 150 €. Į ją įeina kenkėjiško kodo šalinimas iš failų ir duomenų bazės, spragos radimas ir užtaisymas, slaptažodžių keitimas, Google įspėjimo ir hostingo blokavimo nuėmimas bei ataskaita, kaip įsilaužta. Galutinė kaina priklauso nuo svetainės dydžio ir užkrėtimo masto; ją pasakau po nemokamos diagnostikos, prieš pradedant darbą.
Ką reiškia 30 dienų garantija po valymo?
Jei per 30 dienų po mano valymo tas pats kenkėjiškas kodas ar įsilaužimas pasikartoja, svetainę išvalau dar kartą nemokamai. Garantija galioja, kai po valymo nediegiami nauji abejotini papildiniai ir nedalinami slaptažodžiai tretiesiems asmenims.