Wordpress взломан: проверка ядра для устранения проблем

Если Вы столкнулись с тем, что Ваш Wordpress сайт взломали, то есть определенный алгоритм действий, который поможет если не полностью, то частично устранить последствия взлома сайта.
Устранение таких последствий, как правило, требует определенных навыков и знаний, но есть действия, которые можно и нужно сделать в любом случае.

1. Отключите взломанный сайт, а если сайтов несколько - отключите все.
Закройте доступ к сайтам на хостинге, чтобы к ним никто не смог обращаться. Сделать это можно разными способами, например:

- Установить пароль на директорию с сайтом 
- Полностью закрыть доступ через панель управления или .htaccess 

Это поможет избежать продолжения заражения или даже взлома. На разных типах услуг хостинга это делается по-разному, но у нас есть готовые решения для основных из них:

для ISPmanager:
- Как ограничить доступ по паролю?
- Как включить или отключить сайт? 

для cPanel:
- Как ограничить доступ по паролю?

2. Просканируйте сайт или сайты на возможные уязвимости.
Сканер уязвимостей находит уже результаты взлома или заложенные бэкдоры по собственным сигнатурам и, к сожалению, эффективен не на 100%. Но тем не менее, большую часть проблем так можно найти. 

3. Проверьте ядро Wordpress при помощи утилиты wp-cli
Внимание! Этот пункт для опытных пользователей. Если Вы не знаете, как работать в консоли SSH, обратитесь в нашу техническую поддержку за помощью.

На нашем хостинге Вы можете использовать WP-CLI для управления Вашим Wordpress сайтом из консоли (SSH). Эта же утилита может показать Вам, какие файлы были изменены злоумышленником и следует обратить на них внимание.

Для этого нужно зайти в SSH-консоль услуги хостинга:

- SSH-консоль в браузере на хостинге ISPmanager
- Подключиться к SSH на других услугах хостинга

Далее нужно перейти в папку сайтом. Например, эта папка - www/site.ru

cd www/site.ru

после того, как Вы окажетесь в папке сайта, запустите тест ядра Wordpress:

wp core verify-checksums

и если есть повреждения, они будут показаны:


Вам нужно обратить внимание на те предупреждения, которые начинаются с File doesn't verify against checksum

проверим такой файл вручную:



как видно из примера, первая строка содержит зловредный код и его нужно либо аккуратно удалить, либо заменить этот файл на оригинальный файл из дистрибутива Wordpress.
Предупреждения File should not exists тоже стоит проверить - утилита сообщает, что данного файла не должно быть на Вашем сайте, возможно, это следы злоумышленников, однако не всегда это может быть именно так. Иногда утилита показывает нужные файлы, но по каким-то причинам попавшие в этот список.

Таким образом Вы можете решить проблему взлома Вашего wordpress-сайта, однако это не поможет, если на Вашем сайте будут присутствовать взломанные или уязвимые плагины, темы, непроверенные скрипты, а на аккаунте есть не вылеченные сайты, к которым есть доступ. Придерживайтесь принципов, которые предотвращают взлом: Ваш сайт взломан! Диагностика и устранение взлома на сайте
и тогда Ваш сайт будет в безопасности.