پاک‌سازی بدافزار وردپرس (Malware) بدون از دست دادن داده
پاک‌سازی بدافزار وردپرس چطور باید انجام شود تا داده‌های سایت از دست نروند و بازگشت آلودگی رخ ندهد؟
آن لحظه‌ای که باید بین سرعت و امنیت انتخاب کرد
در بیشتر پرونده‌های پاک‌سازی که در سال‌های اخیر انجام داده‌ام، بزرگ‌ترین ترس صاحبان سایت این بود که مبادا با پاک‌سازی، داده‌های مهمی از دست برود. من در چندین پروژه به‌طور همزمان با دو هدف متضاد کار کرده‌ام: حذف کامل آلودگی و حفظ تمام داده‌های حیاتی. در این مقاله، همان روشی را توضیح می‌دهم که در پروژه‌های خودم استفاده می‌کنم و می‌تواند به شما کمک کند بدون از دست دادن داده، سایت را از بدافزار پاک کنید. اگر با مفاهیم پایه آشنا نیستید، پیشنهاد می‌کنم ابتدا بدافزار چیست و چگونه وارد سایت می‌شود را بخوانید.
چرا پاک‌سازی نادرست از خود آلودگی خطرناک‌تر است؟
یکی از اشتباهات رایج در پاک‌سازی بدافزار، اقدامات شتاب‌زده و بدون برنامه است. حذف ناگهانی فایل‌های مشکوک، بدون بکاپ و بدون تحلیل، می‌تواند باعث از دست رفتن داده‌های مهم شود و حتی به شکستن سایت منجر شود. در چند پرونده، صاحبان سایت با حذف شتاب‌زده فایل‌های آلوده، نه‌تنها مشکل را حل نکردند، بلکه وضعیت را بدتر کردند.
پاک‌سازی درست باید بر پایهٔ سه اصل استوار باشد: تحلیل قبل از اقدام، بکاپ قبل از هر تغییر و پایش پس از پاک‌سازی. این سه اصل، هم از داده‌ها محافظت می‌کنند و هم از بازگشت آلودگی جلوگیری می‌کنند. اگر می‌خواهید درک عمیق‌تری از نشانه‌های آلودگی داشته باشید، علائم هک و بدافزار در وردپرس کدامند فهرست کاملی ارائه می‌دهد.
گام اول: شناسایی و تایید آلودگی
قبل از هر اقدامی، مطمئن شوید که سایت شما واقعاً آلوده است. نشانه‌های احتمالی عبارتند از:
- هشدار امنیتی در Google Search Console
- پاپ‌آپ‌ها یا ریدایرکت‌های ناخواسته در صفحات سایت
- کندی ناگهانی سایت بدون دلیل واضح
- فایل‌های ناشناس در پوشه‌های سایت
- کاربران ناشناس در فهرست کاربران
- کاهش شدید ترافیک ارگانیک
برای تایید آلودگی، می‌توانید از ابزارهای اسکن امنیتی استفاده کنید. فهرست کامل این ابزارها در اسکنرهای آسیب‌پذیری وب کدامند آمده است. همچنین افزونه‌های امنیتی معتبر می‌توانند در این مرحله کمک‌کننده باشند. فهرست بهترین افزونه‌های امنیتی وردپرس گزینه‌های مناسبی را معرفی می‌کند.
گام دوم: تهیه بکاپ از وضعیت لحظهٔ جرم
این مرحله، مهم‌ترین مرحله در کل فرآیند است. حتی اگر سایت شما آلوده است، قبل از هر تغییری، یک بکاپ کامل بگیرید. این بکاپ به سه دلیل حیاتی است:
- تحلیل بعدی: می‌توانید بعداً بررسی کنید که مهاجم چه کاری انجام داده است.
- بازگردانی در صورت خطا: اگر در فرآیند پاک‌سازی اشتباهی رخ داد، می‌توانید به این نقطه برگردید.
- مستندسازی: برای گزارش به مراجع قانونی یا بررسی‌های بعدی، این بکاپ مدرک مهمی است.
بکاپ باید شامل همهٔ فایل‌ها و دیتابیس باشد. مطمئن شوید که بکاپ بیرون از هاست نگه‌داری می‌شود. راهنمای کامل بکاپ در چگونه از وردپرس بکاپ بگیریم آمده است. فهرست بهترین ابزارها هم در بهترین افزونه‌های بکاپ وردپرس ارائه شده است.
گام سوم: قرار دادن سایت در حالت تعمیرات
قبل از شروع پاک‌سازی، سایت را در حالت تعمیرات قرار دهید. این کار دو مزیت دارد: از دسترسی کاربران به صفحات آلوده جلوگیری می‌کند و از دید گوگل، سایت شما در حال به‌روزرسانی است، نه از دسترس خارج. در وردپرس، می‌توانید این کار را با یک افزونهٔ ساده یا با ویرایش فایل .htaccess انجام دهید.
گام چهارم: اسکن لایه‌ای فایل‌ها و دیتابیس
اسکن باید در چند لایه انجام شود تا مطمئن شوید که همهٔ کدهای مخرب شناسایی می‌شوند. رویکرد من در این مرحله:
- اسکن با ابزارهای امنیتی: با افزونه‌های معتبر مثل Wordfence یا Sucuri، فایل‌ها و دیتابیس را اسکن کنید.
- اسکن دستی فایل‌ها: با مقایسهٔ فایل‌های هسته با نسخهٔ رسمی وردپرس، فایل‌های دست‌کاری‌شده را شناسایی کنید.
- بررسی زمان‌های تغییر: فایل‌هایی که اخیراً تغییر کرده‌اند و شما دلیلی برای آن‌ها ندارید، مشکوک هستند.
- اسکن دیتابیس: کوئری‌های مخرب می‌توانند در جداول دیتابیس ذخیره شده باشند. جستجوی الگوهای مشکوک در جداول می‌تواند این کدها را پیدا کند.
- اسکن پوشهٔ uploads: این پوشه اغلب محل قرارگیری فایل‌های مخرب است. فایل‌هایی با پسوند PHP در این پوشه به‌طور قطع مشکوک هستند.
نکتهٔ مهم: اسکن را با دو ابزار مختلف انجام دهید، چون هر ابزار نقاط قوت و ضعف خودش را دارد. توضیح بیشتر در آموزش تست امنیت وب آمده است.
گام پنجم: حذف فایل‌های آلوده بدون آسیب به داده
حالا که فایل‌های آلوده را شناسایی کرده‌اید، نوبت به حذف آن‌ها می‌رسد. اما این مرحله نیازمند دقت بالاست. روش پیشنهادی من:
- اولویت‌بندی: ابتدا فایل‌های مخربی که در پوشهٔ uploads یا خارج از پوشه‌های استاندارد وردپرس قرار دارند را حذف کنید.
- جایگزینی فایل‌های هسته: فایل‌های هستهٔ وردپرس را با نسخهٔ رسمی جایگزین کنید. این کار از هرگونه دست‌کاری در فایل‌های اصلی جلوگیری می‌کند.
- نصب مجدد افزونه‌ها و قالب‌ها: برای افزونه‌ها و قالب‌های مشکوک، نسخهٔ رسمی را دانلود و جایگزین کنید.
- پاک‌سازی دیتابیس: کوئری‌های مخرب را با دقت حذف کنید. قبل از هر تغییری، بکاپ دیتابیس را داشته باشید.
- پاک‌سازی فایل wp-config.php: این فایل را بررسی کنید و کدهای اضافی را حذف کنید. راهنما در چگونه فایل wp-config را امن کنیم آمده است.
گام ششم: چرخش کامل کلیدها و رمزها
پس از حذف فایل‌های آلوده، مهم است که همهٔ کلیدها و رمزهای عبور را تغییر دهید. مهاجم ممکن است از طریق کدهای مخرب، اطلاعات دسترسی شما را ذخیره کرده باشد و اگر آن‌ها را تغییر ندهید، می‌تواند مجدداً وارد شود. مواردی که باید تغییر دهید:
- رمز عبور تمام کاربران وردپرس
- رمز عبور پنل هاست و FTP
- رمز عبور دیتابیس
- کلیدهای API در افزونه‌ها و سرویس‌های خارجی
- کلیدهای امنیتی وردپرس در فایل wp-config.php
- رمز عبور ایمیل مدیر سایت
تغییر کلیدهای امنیتی وردپرس می‌تواند به‌طور خودکار تمام سشن‌های فعال را ببندد. این کار از دسترسی مجدد مهاجم جلوگیری می‌کند.
گام هفتم: بررسی دیتابیس برای کدهای مخرب
دیتابیس اغلب محل پنهان‌شدن کدهای مخرب است. جداولی مثل wp_options، wp_posts و wp_postmeta ممکن است حاوی کدهای جاوااسکریپت یا اسکریپت‌های مخرب باشند. رویکرد پیشنهادی من:
- جستجوی الگوهای مشکوک مثل script، iframe و eval در جداول متنی
- بررسی جداول wp_options برای مقادیری که غیرعادی هستند
- بررسی wp_posts برای محتوای تزریق‌شده
- بررسی wp_users برای کاربران ناشناس
- حذف کوئری‌های مخرب با دقت و با بکاپ قبلی
اگر تجربهٔ کافی در کار با دیتابیس ندارید، توصیه می‌کنم از متخصص کمک بگیرید. اشتباه در دیتابیس می‌تواند به از دست دادن داده منجر شود.
گام هشتم: نصب مجدد هسته و افزونه‌ها
در موارد آلودگی عمیق، بازنصب کامل هسته و افزونه‌ها می‌تواند سریع‌ترین راه حل باشد. روش کار:
- از محتوا، رسانه‌ها و تنظیمات بکاپ بگیرید
- هستهٔ وردپرس را به‌طور کامل حذف و از نسخهٔ رسمی بازنصب کنید
- افزونه‌ها و قالب‌ها را فقط از منابع معتبر بازنصب کنید
- داده‌های محتوا و رسانه‌ها را از بکاپ بازیابی کنید
- تنظیمات را به‌صورت دستی بازسازی کنید
این روش زمان‌برتر است، اما اطمینان بیشتری می‌دهد که هیچ کد مخربی باقی نمانده است. اگر می‌خواهید بدانید کدام افزونه‌ها ضروری هستند، فهرست افزونه‌های ضروری وردپرس راهنمای خوبی است.
گام نهم: تقویت لایه‌های دفاعی
پس از پاک‌سازی، باید لایه‌های دفاعی را تقویت کنید تا از بازگشت آلودگی جلوگیری کنید. اقدامات پیشنهادی:
- فعال‌سازی احراز هویت دوعاملی برای همهٔ مدیران
- به‌روزرسانی هسته، قالب و افزونه‌ها
- حذف افزونه‌های غیرضروری
- نصب و پیکربندی افزونهٔ امنیتی معتبر
- فعال‌سازی فایروال سمت سرور یا WAF
- پیکربندی هدرهای امنیتی HTTP
- محدودسازی دسترسی به پوشه‌های حساس
- پایش منظم لاگ‌ها
راهنمای کامل این اقدامات در چگونه امنیت وب‌سایت را افزایش دهیم و راهنمای امنیت وردپرس برای مبتدیان آمده است. برای پیکربندی هدرهای امنیتی، راهنمای هدرهای امنیتی HTTP گام‌به‌گام توضیح داده است. مستندات ویکی‌پدیا در مورد Malware هم اطلاعات تکمیلی خوبی ارائه می‌دهد.
گام دهم: پایش پس از پاک‌سازی
پاک‌سازی، پایان کار نیست؛ آغاز یک دورهٔ پایش دقیق است. در دو هفتهٔ اول پس از پاک‌سازی، به‌طور روزانه سایت را بررسی کنید:
- بررسی لاگ‌های دسترسی برای رفتار غیرعادی
- بررسی فایل‌های سایت برای تغییرات غیرمنتظره
- پایش Search Console برای هشدارهای امنیتی
- بررسی ترافیک سایت برای افت یا افزایش غیرعادی
- بررسی مصرف منابع سرور برای فعالیت‌های مشکوک
- اسکن مجدد سایت با ابزارهای امنیتی
اگر پس از دو هفته هیچ نشانه‌ای از بازگشت آلودگی مشاهده نکردید، می‌توانید پایش را به‌صورت هفتگی یا ماهانه ادامه دهید. روش‌های دقیق پایش در چگونه بفهمم سایتم هک شده آمده است.
پرسش‌های پرتکرار دربارهٔ پاک‌سازی بدافزار وردپرس
آیا پاک‌سازی بدون متخصص ممکن است؟ برای آلودگی‌های سطحی، ممکن است. اما برای آلودگی‌های عمیق، توصیه می‌کنم از متخصص کمک بگیرید. پاک‌سازی نادرست می‌تواند به از دست رفتن داده منجر شود.
چه مدت یک بار باید سایت را اسکن کنم؟ برای سایت‌های پرمعامله، ماهانه. برای سایت‌های معمولی، هر سه ماه. اما اگر شک به آلودگی دارید، بلافاصله اسکن کنید.
آیا حذف فایل‌های آلوده کافی است؟ خیر. باید دیتابیس را هم بررسی کنید، رمزها را تغییر دهید و لایه‌های دفاعی را تقویت کنید.
اگر داده‌های مهمی از دست برود، چه کار کنم؟ در این حالت، بکاپ‌های قدیمی‌تر می‌توانند کمک‌کننده باشند. اینجاست که اهمیت بکاپ منظم مشخص می‌شود.
آیا پس از پاک‌سازی، باید گوگل را مطلع کنم؟ بله. در Search Console درخواست بررسی مجدد ثبت کنید تا گوگل وضعیت سایت شما را دوباره ارزیابی کند.
یک نگاه پایانی: پاک‌سازی درست، بازگشت مطمئن
پاک‌سازی بدافزار وردپرس بدون از دست دادن داده، کاملاً ممکن است، به شرطی که با برنامه و دقت انجام شود. کلید موفقیت در سه چیز است: بکاپ قبل از شروع، تحلیل دقیق قبل از حذف، و پایش پس از پاک‌سازی. با رعایت این سه اصل، می‌توانید سایت خود را از بدافزار پاک کنید و به حالت عادی بازگردانید. اگر تجربه‌ای از پاک‌سازی بدافزار در سایت خودتان دارید یا سؤالی دربارهٔ نحوهٔ انجام آن دارید، در دیدگاه‌ها بنویسید؛ تجربهٔ شما به دیگران کمک می‌کند تا بهتر از داده‌های خود محافظت کنند.
نویسنده در وردپرس کار.