Что делать, есть ваш WordPress-сайт взломали хакеры

Опубликовано: 01.09.2018

видео Что делать, есть ваш WordPress-сайт взломали хакеры

Восстановление пароля wordpress

Что вы чувствуете, когда вдруг вам приходить письмо о том, что ваш сайт взломали и теперь требуют некую сумму денег, чтобы вернуть всё на свои места? Гораздо хуже, если вы об этом не знаете, а открыв сайт поутру, видите, что какая-нибудь сирийская кибер-армия вместо главной страницы вывесила свои политические лозунги или странные баннеры на вашем сайте.



Чтобы избежать подобных неприятностей и дополнительных затрат, советую вам прочесть эту статью. В посте будет несколько групп советов для пользователей с разным уровнем подготовки и разными навыками для администрирования собственных сайтов на движке wordpress.

Смотрите также :


DDoS атака ► Как защититься с Cloudflare + Обходы CF

Общие уязвимости

Для среднестатистического пользователя WordPress есть ряд общих уязвимостей, которые на самом деле не связаны с работой самого движка WordPress.

Проблемы могут быть:

в вашей локальной сети или в вашем компьютере в работе вашего хостинг-провайдера

Работа личного ПК или локальной сети : в этом случае надо очистить локальный ноутбук, ПК или сеть от ошибок, вирусов и других проблем. Устанавливайте регулярно свежие антивирусы, удаляйте вредоносное ПО и настройте правильно ваш роутер. Если вы не совсем уверены в том, что вам хватит навыков для борьбы с вирусами и вредоносным ПО в вашей локальной сети, не поскупитесь на хороший сетевой брандмауэр.


Help for hacked sites: Overview

Работа хостинг-провайдера : проверьте, адекватно ли работает ваш провайдер хостинговых услуг. Взлом может касаться не только вашего, но и множества других сайтов, размещенных на серверах вашего провайдера. Если так произошло, то работа всех сайтов может быть нарушена. Возможно, стоит удалить какой-то плагин или отключить определенные настройки на сервере. В крайнем случае, оперативно смените хостинг-провайдера.

В самом крайнем (и неприятном) случае вам придется переустанавливать сайт. Вот для чего надо регулярно делать резервные копии и сохранять файлы базы данных сайта и ключевых его настроек. В случае неприятностей сайт из резервной копии можно будет развернуть на новом хостинге .

Уязвимости в безопасности WordPress

Есть  множество способов атаковать WordPress , но следующие 4 пункта являются наиболее типичными способами для взлома сайтов:

Слабые пароль и логин Уязвимости в темах оформления и плагинах Устаревшее ядро и версия WordPress Работа хакера исключительно по WordPress-сайтам

Слабые пароль и логин : вы наверняка заметили, что встроенный механизм защиты сайтов подсказывает вам, когда выбранный вами логин и пароль недостаточно сильны, чтобы защитить ваш сайт. В идеале ваш пароль должен содержать цифры, буквы и разный регистр для букв, чтобы максимально защитить ваш веб-ресурс от взлома. Если вы не можете запомнить слишком сложный пароль, лучше запишите его где-нибудь. Запомните простую истину: чем короче и проще пароль, тем быстрее он взламывается простым перебором.

Уязвимости тем и плагинов : даже у популярных платных плагинов бывают уязвимости. Именно поэтому просто почитайте отзывы о плагинах, которые собираетесь использовать, прежде чем что-либо устанавливать. Избегайте плагинов и тем, которые не размещены в официальной библиотеке WordPress.org. Ориентируйтесь на рейтинги и отзывы других пользователей, чтобы не установить себе вредоносное или поддельное ПО.

Устаревшая версия WordPress : если регулярно и своевременно не обновлять сайты, то можно столкнуться с многочисленными проблемами. С выходом нового релиза WordPress лучше всего незамедлительно обновить все свои сайты по одной простой причине: с выходом новой версии публикуется список найденных и исправленных ошибок в предыдущих версиях, что становится оружием в руках хакеров для взлома старых версий WordPress.

Умелые WordPress-хакеры : помните, что такие хакеры всегда могут найти уязвимость, а потому регулярно всё обновляйте и следуйте рекомендациям, которые прочтете ниже.

Что делать, если сайт все-таки взломали

В случае, если сайт взломан, сделайте следующее:

Оставайтесь спокойны: взлом уже произошел, так что надо теперь взять себя в руки и найти путь для решения проблемы. Для начала проверьте локальный ПК или ноутбук на предмет вирусов или вредоносов, обновите все программы и антивирусную базу. Войдите в свой аккаунт на хостинге и проверьте, что там происходит. Если вас взломали, наверняка в панели администратора на хостинге будет уведомление о попытке несанкционированного доступа к вашей учетной записи. Смените все пароли для FTP/SFTP/MySQL и для всех пользователей, у которых есть доступ к вашему сайту. Воссоздайте сайт из резервной копии. Для резервного копирования и восстановления можно использовать BackWPup . Закройте любые уязвимости , которые могут пригодиться хакерам, и защитите файл  wp-config.php . Обновите всё. Подумайте о том, что стоит перейти на премиум-хостинг классом повыше или воспользуйтесь Sucuri  либо  ManageWP , если всё равно будете использовать shared-хостинг и дальше. В будущем следуйте всем рекомендациям из этой статьи.

Лучшие советы по безопасности WordPress

На будущее постарайтесь избегать возможных хакерских атак и попыток взлома. Это не так уж и сложно, просто не забывайте следующие правила:

Регулярно обновляйте ядро движка, все темы и плагины на сайте. Постоянно делайте резервные копии всего на сайте — от ядра до плагинов, тем и всего контента. Есть масса плагинов для этих целей : VaultPress, BackupBuddy, BackWPup, BlogVault. Никогда не пользуйтесь паролем и логином, которые устанавливаются на сайте по умолчанию. Выбирайте пароль, который трудно подобрать или угадать, используйте буквы и цифры, различные символы. Случайный разброс символов защитит вас лучше, чем пароль, который легко подобрать. Защитите файл wp-config.php . Скройте свое имя пользователя . Скройте на сайте текущую версию WordPress . Ограничьте число попыток для авторизации пользователя . Отключите редактирование файлов из панели управления, добавив строку в файле wp-config.php: define(‘DISALLOW_FILE_EDIT’, true); Установите  WordPress File Monitor  для получения уведомлений от вашего сайта каждый раз, когда происходит редактирование файлов на вашем сайте. Всегда используйте SFTP для соединения через FTP-клиент. Используйте платные плагины для защиты сайта. Также не забудьте о самостоятельных подручных способах защиты, для знакомства с которыми прочтите  это руководство по WordPress .

И еще пару советов

Нанимайте профессионалов для работы по настройке и оформлению вашего сайта. Не доверяйте случайным разработчикам. Не используйте сомнительный хостинг или бесплатные решения, о которых ничего не знаете. Наймите человека, который будет отвечать за безопасность вашего сайта.

Платные сервисы в значительной мере снижают риск того, что сайт будет взломан, домен — угнан, а вашему проекту будет нанесен ущерб.

Источник: 
rss