Πως να «καθαρίσετε» αποτελεσματικά το χακαρισμένο wordpress site σας
Από τη στιγμή που το site σας έχει outdated open source scripts είναι θέμα χρόνου να γίνουν exploited. Αν έχουν ήδη γινει expoited θα πρέπει να καθαριστούν και να γίνουν updated στο τελευταίο version. To ίδιο ισχύει και για τα Plugins. Αν το site δεν καθαριστεί εντελώς ακόμα και να προχωρήσετε στα απαραίτητα updates τα κενά ασφαλείας παραμένουν. Να διατηρείτε τα site και τα plugin σας πάντα στα πιο πρόσφατα versions.
Εάν συμβεί να χακαριστεί το site σας, συνήθως είναι καλύτερο να μην χρονοτριβήσετε με τη διαδικασία καθαρισμού, δεδομένου πως μια γρήγορη επαναφορά θα ελαχιστοποιήσει τη ζημιά που έχει προκληθεί.
Παρόλο που οι περισσότερες πηγές προτείνουν να αναβαθμίσετε το WordPress σας στην πιο πρόσφατη έκδοση, η κίνηση αυτή δεν θα αποτρέψει νέα εισβολή από τους χάκερς καθώς μπορεί να έχουν αφήσει κάποιο κρυμμένο αρχείο σε κατάλογο που δεν αντικαθίσταται από την αναβάθμιση, μπορεί να έχουν εισάγει κώδικα στο θέμα ή μπορεί να έχουν δημιουργήσει κάποιον χρήστη που του έχουν δώσει δικαιώματα admin. Όλα τα παραπάνω μπορούν να του δώσουν ξανά πρόσβαση ακόμα και μετά την αναβάθμιση. Ακολουθήστε την παρακάτω διαδικασία βήμα-βήμα ώστε να καθαρίσετε εντελώς και να επαναφέρετε το WordPress blog σας.
1. Δημιουργία αντιγράφων ασφαλείας (backup) της σελίδας και της βάσης δεδομένων.
Ακόμα και ένα χακαρισμένο αντίγραφο του blog σας περιέχει πολύτιμες πληροφορίες και αρχεία. Αν κάτι πάει στραβά με τη διαδικασία εκκαθάρισης, δεν θα χάσετε αυτά τα δεδομένα. Στη χειρότερη περίπτωση απλά θα επαναφέρετε τη χακαρισμένη σελίδα σας και θα ξεκινήσετε από την αρχή τη διαδικασία.
2. Κρατήστε ένα αντίγραφο των αρχείων εικόνων που έχετε ανεβάσει.
Τα αρχεία εικόνων σε γενικές γραμμές δεν αποτελούν κίνδυνο ασφάλειας και ειδικά αυτά που έχετε ανεβάσει εσείς (σε αντίθεση με αυτά που περιλαμβάνονται σε κάποιο πρότυπο, για παράδειγμα) θα είναι δυσκολότερο να εντοπιστούν και να αντικατασταθούν μετά τη διαδικασία διόρθωσης. Επομένως, καλό είναι να πάρετε ένα αντίγραφο όλων των εικόνων που περιέχονται στο φάκελο που τα έχετε ανεβάσει ώστε να αποφύγετε κατεστραμένες εικόνες σε μελλοντικές αναρτήσεις. Για οποιαδήποτε αρχεία που προσφέρετε στους επισκέπτες σας όπως αρχεία zip, plugins ή php scripts, που θα μπορούσαν ενδεχομένως να έχουν παραβιαστεί, καλό είναι να πάρετε νέα αντίγραφα από την αρχική πηγή και να τα ξανανεβάσετε.
3. Κατεβάστε μια νέα έκδοση του WordPress, όλα τα plugins που χρειάζεστε και ένα καθαρό πρότυπο.
Χρησιμοποιώντας το plugin αυτόματης αναβάθμισης του WordPress, η αναβάθμιση είναι ευκολότερη όποτε βγαίνει μια νέα έκδοση, αλλά αντικαθιστά μόνο συγκεκριμένα αρχεία του WordPress και δεν διαγράφει παλιά αρχεία. Αφήνει επίσης τα τρέχοντα θέματα και plugins όπως είναι. Αυτό σημαίνει πως εάν χρησιμοποιηθεί σε ένα ήδη χακαρισμένο blog, μπορεί κάλλιστα να επιτρέψει στους χάκερς να εισβάλλουν ξανά. Επομένως καλό είναι να ξεκινήσετε από την αρχή σε ό,τι αφορά το τμήμα των αρχείων κατά την εγκατάσταση.
4. Διαγράψτε όλα τα αρχεία και τους φακέλους στον κατάλογο WP, είτε μέσω FTP (πιο αργά) ή μέσω του File Manager του Control Panel (γρηγορότερα).
Αφού έχετε πάρει αντίγραφα από όλα τα αρχεία που χρειάζεστε και των ανεβασμένων εικόνων, διαγράψτε εντελώς το σύνολο του καταλόγου που βρίσκεται το blog σας. Αυτό είναι ο μόνος τρόπος για να διαγράψετε όλα τα μολυσμένα αρχεία. Μπορείτε να το κάνετε αυτό μέσω FTP, που είναι αργή διαδικασία και μπορεί να σας αποσυνδέσει κάποια στιγμή λόγω flooding του server με εντολές FTP. Εναλλακτικά μπορείτε να το κάνετε μέσω του File Manager του Control Panel ή μέσω της γραμής εντολών εάν έχετε πρόσβαση shell.
5. Ανεβάστε ξανά τα νέα αντίγραφα που μόλις πήρατε.
Εάν ο FTP client που χρησιμοποιείτε το υποστηρίζει και το επιτρέπει και ο πάροχός σας, αυξήστε τον αριθμό των ταυτόχρονων συνδέσεων για upload ώστε να μειωθεί ο συνολικός χρόνος που χρειάζεστε. Επίσης, μην ξεχάσετε να επεξεργαστείτε και να μετονομάσετε το αρχείο wp-config.php (στην αρχική αποσυμπίεση ονομάζεται wp-config-sample.php).
6. Εκτελέστε την αναβάθμιση της βάσης δεδομένων (http://……/wp-admin/upgrade.php).
Η αναβάθμιση θα κάνει τις απαραίτητες αλλαγές στη δομή της βάσης δεδομένων σας για να υποστηρίξει την τελευταία έκδοση του WordPress.
7. Προχωρήστε άμεσα σε αλλαγή του κωδικού πρόσβασης διαχειριστή.
Εάν έχετε περισσότερους από έναν διαχειριστές και δεν αλλάζουν τους κωδικούς τους, προχωρήστε σε αλλαγή του επιπέδου χρηστών. Εάν δεν αναγνωρίζετε κάποιον στη λίστα χρηστών με δυνατότητα επεξεργασίας, καλύτερα να τον διαγράψετε.
Επιπλέον χρήσιμα links:
https://www.wordfence.com/learn/has-my-site-been-hacked/
https://www.siteground.com/tutorials/wordpress/wordpress_security.htm
Plugins που μπορούν να σας βοηθήσουν να διατηρήσετε το site σας secure:
http://wpdean.com/best-wordpress-security-plugins/
