Якщо твій сайт на wordpress зламали
Якщо твій сайт на WordPress зламали, то ти сам дурень. Швидше за все ти скачував «безкоштовні» шаблони, ліві плагіни з лівих сайтів, і тримав на одній виртуалке кілька папок, в яких так само заливав сумнівні PHP-скрипти типу гостьових книг, парсілок, двигунів та іншого мотлоху.
Дивно! Але наші діти вже заробляють більше ніж ми. їх батьки. Тому що дитячі канали добре монетизуються! Хто цю фішку просік - той вже гребе бабло лопатою.
Перше правило безпеки WordPress
На одному віртуальному хостингу повинен бути один движок WordPress. Без сусідів. Бажано, щоб файли на хостинг були закачані під одним користувачем і запис в них була дозволена тільки для нього. А для файлів, які створює движок (картинки, кеш і т. Д.) Створювалися тільки в певних папках користувачем www-data, який в разі злому не зміг би втрутитися і перезаписати виконувані файли.
Друге правило безпеки WordPress
Завжди встановлюй плагіни і шаблони тільки зі сховищ, якщо не розбираєтеся в програмуванні! Так ви не підхопите впроваджений код від зловмисників. Не потрібно шукати безкоштовні шаблони, які продаються за гроші. У 99% випадків в них буде запроваджено сторонній код.
Третє правило безпеки WordPress
Оперативно оновлюй движок і всі плагіни! Я зараз багато працюю з чужими сайтами на WordPress і 99% замовників взагалі не оновлюють свій сайт, а іноді навіть (от це сюрприз!) Ставлять спеціальний плагін для блокування оновлень. Навіщо? Це не розумно. Установка «працює - не чіпай» в цьому випадку не вірна. Якщо при оновленні виникли проблеми, їх треба вирішувати, а не боятися оновлювати свій сайт!
Що робити, якщо сайт зламали?
Ось коротка інструкція, як можна привести свій сайт в порядок. Підходить для просунутих користувачів:
- Робимо бекап БД і всіх файлів. На всякий пожежний.
- Якщо до БД є коннект з будь-якого IP, міняємо пароль
- Видаляємо всі шаблони, крім основного.
- Основний шаблон файл за файлом перевіряємо на внедернний лівий код. Швидше за все дата поновлення у цих файли буде відмінна від дати, коли шаблон заливався на хостинг
- Перевіряємо всю папку wp-content на ліві файли PHP. Швидше за все зловмисно Расс бекдори туди і сюди. Тому краще не ставити галочку «Розміщувати завантажені мною файли в папки по місяцю і року» в настройках сайту. Це додатковий гимор. Нехай всі файли будуть в одній папці. Так легше моніторити їх.
- Деактивувавши всі плагіни і видаляємо все в папці wp-content / plugins
- Зносимо повністю папки wp-admin і wp-includes і всі файли в корені сайту
- Закачуємо віддалені папки і файли, викачані з офіційного сайту wordpress.org
- Заливаємо оновлений wp-config.php
- Заходимо на сайт, переконуємося в працездатності. При необхідності тиснемо кнопку «оновити базу даних»
- Заходимо в адмінку. Встановлюємо потрібні плагіни зі сховищ
- Можна встановити парочку захисних плагінів на майбутнє. Наприклад ті, які ховають адмінку і сканують шаблон на впроваджений шкідливий код.
Якщо ти утрудняєшся зробити всі ці дії самостійно, то без проблем - я зроблю це за тебе! Я спеціалізуюся на таких речах і вже багато разів відновлював сайти замовників після злому. За посиланням і відгуки є.
У кого-то рожеві поні, у кого-то блакитні. А у кого-то поні гроші приносить. Чи зможеш так само? Або слабак?