پروتکل جامع پاکسازی و بازگردانی سایت هک شده: راهنمای فنی گام به گام

مقدمه

هک شدن سایت یک بحران است و مدیریت بحران نیازمند یک پروتکل دقیق است، نه اقدامات پراکنده. دیدن پیام‌های امنیتی، ریدایرکت‌های ناخواسته یا فایل‌های عجیب، تنها نوک کوه یخ است. یک نفوذ موفق می‌تواند بدافزارها را در عمیق‌ترین لایه‌های فایل‌سیستم و دیتابیس شما پنهان کند، بک‌دورهایی برای دسترسی مجدد ایجاد نماید و از سایت شما به عنوان پایگاهی برای حملات دیگر استفاده کند.

این مقاله از پشتیبان وردپرس یک چک‌لیست سریع نیست؛ این یک راهنمای عملیاتی عمیق برای بازپس‌گیری کامل کنترل سایت شماست. ما فرض می‌کنیم شما دیگر به دنبال تشخیص علائم نیستید (برای این منظور می‌توانید مقاله ما در مورد نشانه‌ها و روش‌های پاک‌سازی سایت هک شده را مطالعه کنید)، بلکه آماده‌اید تا مانند یک متخصص امنیت، وارد عمل شوید. ما قدم به قدم شما را از مهار اولیه بحران، تا جراحی دقیق فایل‌ها و دیتابیس و در نهایت، مستحکم‌سازی قلعه دیجیتال‌تان راهنمایی خواهیم کرد.

فاز ۱: مهار بحران و آماده‌سازی محیط عملیاتی (اقدامات فوری)

قبل از شروع هرگونه پاکسازی، باید صحنه را ایزوله و امن کنیم تا از آسیب بیشتر جلوگیری شود.

۱. ایزوله کردن سایت

فوراً سایت خود را در حالت تعمیر (Maintenance Mode) قرار دهید. این کار از آسیب دیدن بازدیدکنندگان و افت بیشتر اعتبار سئوی شما جلوگیری می‌کند. می‌توانید از افزونه‌هایی مانند WP Maintenance Mode استفاده کنید یا به سادگی یک فایل با نام .maintenance در ریشه هاست خود (پوشه public_html) ایجاد کرده و کد زیر را در آن قرار دهید:

<?php $upgrading = time(); ?>

۲. تغییر تمام اعتبارات دسترسی (حیاتی)

هکر احتمالاً به یکی از این موارد دسترسی پیدا کرده است. فوراً تمام رمزهای عبور را به رمزهای بسیار قوی و منحصربه‌فرد تغییر دهید:

1. رمز عبور کنترل پنل هاست (cPanel/DirectAdmin)
2. تمام حساب‌های FTP/SFTP
3. رمز عبور دیتابیس (از طریق بخش MySQL Databases در هاست)
4. رمز عبور تمام کاربران ادمین در وردپرس

۳. تهیه بکاپ قانونی (Forensic Backup)

از وضعیت فعلی و آلوده سایت یک بکاپ کامل (شامل تمام فایل‌ها و دیتابیس) تهیه کنید. این بکاپ “صحنه جرم” شماست. ممکن است بعداً برای تحلیل و یافتن بردار حمله (Attack Vector) به آن نیاز پیدا کنید. آن را با نامی واضح مانند backup-hacked-[date] در کامپیوتر شخصی خود ذخیره کنید و فوراً از روی سرور حذف نمایید.

فاز ۲: اسکن عمیق و تشخیص چندلایه

برای شناسایی کامل آلودگی، نباید تنها به یک ابزار اکتفا کرد. ما از یک رویکرد چندلایه استفاده می‌کنیم:

1. اسکن داخلی (مبتنی بر افزونه): اگر به پیشخوان دسترسی دارید، از بهترین افزونه های امنیت وردپرس مانند Wordfence یا Sucuri Security استفاده کنید. یک اسکن با بالاترین حساسیت (High Sensitivity) اجرا کنید. این افزونه‌ها فایل‌های هسته وردپرس را با نسخه‌های اصلی مقایسه می‌کنند، امضاهای بدافزارهای شناخته‌شده را جستجو می‌کنند و تغییرات مشکوک را گزارش می‌دهند.
2. اسکن خارجی (مبتنی بر وب): از ابزارهای آنلاین مانند Sucuri SiteCheck یا Google Safe Browsing استفاده کنید. این اسکنرها سایت شما را از دید یک کاربر خارجی بررسی کرده و برای شناسایی ریدایرکت‌های مخرب، بدافزارهای جاوا اسکریپت و قرار گرفتن در لیست‌های سیاه عالی هستند.

نتایج تمام این اسکن‌ها را در یک فایل متنی ذخیره کنید. این لیست، نقشه راه شما برای مرحله پاکسازی دستی خواهد بود.

فاز ۳: عملیات پاکسازی فنی (جراحی سایت)

این مرحله قلب عملیات است. هرگز به دکمه “حذف خودکار” افزونه‌ها به تنهایی اعتماد نکنید.

۱. پاکسازی و جایگزینی کامل فایل‌های هسته وردپرس

• آخرین نسخه وردپرس را از سایت رسمی WordPress.org دانلود و روی کامپیوتر خود Unzip کنید.
  • از طریق FTP یا File Manager هاست، پوشه‌های wp-admin و wp-includes روی سرور خود را به طور کامل حذف کنید.
  • پوشه‌های wp-admin و wp-includes جدید و سالم را از کامپیوتر خود آپلود کنید. این کار تضمین می‌کند که هیچ فایل هسته آلوده‌ای باقی نمانده است.

۲. جراحی فایل‌های ریشه (Root Directory)

1. فایل wp-config.php: این فایل را دانلود کرده و خط به خط بررسی کنید. به دنبال هر کد ناآشنا، به خصوص کدهای طولانی و رمزنگاری‌شده با توابعی مانند eval, base64_decode, gzuncompress یا str_rot13 بگردید. آن را با فایل wp-config-sample.php (که در بسته دانلودی وردپرس موجود است) مقایسه کنید.
2. فایل .htaccess: محتوای این فایل را کاملاً پاک کرده و با کد پیش‌فرض وردپرس جایگزین کنید تا هرگونه ریدایرکت مخرب حذف شود. سپس از پیشخوان وردپرس به تنظیمات > پیوندهای یکتا رفته و یک بار روی دکمه “ذخیره تغییرات” کلیک کنید تا ساختار صحیح بازنویسی شود.
3. سایر فایل‌ها: به دنبال هر فایل مشکوک دیگری مانند index.html, php.ini یا فایل‌هایی با نام‌های تصادفی بگردید و آن‌ها را حذف کنید.

۳. پاکسازی منطقه قرمز: پوشه wp-content

1. پوشه‌های pluginsو themes: امن‌ترین و بهترین روش، حذف کامل تمام پوشه‌ها و نصب مجدد آن‌ها از منابع معتبر است. لیستی از افزونه‌های فعال خود تهیه کنید، پوشه‌های آن‌ها را حذف کرده و سپس آن‌ها را از مخزن وردپرس یا سایت فروشنده مجدداً نصب کنید.
2. پوشه uploads: این پوشه باید فقط حاوی فایل‌های رسانه‌ای (تصاویر، ویدیوها، PDFها) باشد. هکرها عاشق آپلود کردن بک‌دور در این پوشه هستند. تمام محتوای این پوشه را به دقت بررسی کنید و هر فایلی با پسوند php, js, cgi, pl یا هر پسوند اجرایی دیگر را فوراً حذف کنید. برای اطلاعات فنی بیشتر، راهنمای ما در مورد شناسایی و حذف بک‌دور در وردپرس را مطالعه کنید.

۴. ضدعفونی دیتابیس

1. بررسی کاربران: وارد phpMyAdmin شوید و به جدول wp_users بروید. به دنبال هر کاربر با نقش administrator بگردید که آن را نمی‌شناسید و ردیف مربوط به آن را حذف کنید.
2. پاکسازی محتوا: بدافزارهای سئوی اسپم، کدهای مخرب را مستقیماً در جدول wp_posts تزریق می‌کنند. از افزونه‌ای مانند “Better Search Replace” برای جستجو و حذف رشته‌های مشکوک (مانند تگ‌های <script>، لینک‌های اسپم یا کلمات کلیدی نامرتبط) در دیتابیس خود استفاده کنید.
3. بررسی جدول wp_options: مقادیر siteurl و home را بررسی کنید تا مطمئن شوید به آدرس صحیح سایت شما اشاره دارند.

فاز ۴: ایمن‌سازی نهایی و پیشگیری

پاکسازی بدون مستحکم‌سازی، تنها یک راه حل موقت است.

1. تغییر مجدد رمزهای عبور: پس از اتمام پاکسازی، یک بار دیگر تمام رمزهای عبور را تغییر دهید.
2. تغییر کلیدهای امنیتی وردپرس (Salt Keys): از تولیدکننده آنلاین وردپرس برای ساخت کلیدهای جدید استفاده کرده و آن‌ها را در wp-config.php جایگزین کنید. این کار تمام کاربران لاگین شده را از سیستم خارج می‌کند.
3. پیاده‌سازی اقدامات سخت‌سازی (Hardening):
   • فعال کردن احراز هویت دو مرحله‌ای (2FA).
   • محدود کردن تلاش‌های ورود ناموفق.
   • تغییر URL پیش‌فرض ورود به سایت.
   • غیرفعال کردن ویرایشگر فایل با افزودن define(‘DISALLOW_FILE_EDIT’, true); به wp-config.php.
4. بازبینی و بازگشت: یک اسکن نهایی انجام دهید. حالت تعمیر را غیرفعال کرده و عملکرد کلی سایت را تست کنید. سپس از طریق Google Search Console درخواست بازبینی دهید.

نتیجه‌گیری

بازگرداندن یک سایت هک‌شده یک فرآیند فنی و دقیق است که نیازمند صبر و دقت است. با دنبال کردن این پروتکل جامع، شما نه تنها سایت خود را از آلودگی پاک کرده‌اید، بلکه با درک نقاط ضعف و اجرای اقدامات سخت‌سازی، سطح امنیت وردپرس خود را به شدت ارتقا داده‌اید. این تجربه، هرچند تلخ، بهترین فرصت برای تبدیل شدن از یک هدف آسان به یک دژ مستحکم است.