# Feltört webhely: mit tegyél?

> Lépések, ha azt gyanítod, hogy a WordPress-webhelyedet feltörték: dokumentálás, vizsgálat, jelszavak cseréje, mentés, tisztítás és megelőzés.

Egy feltörés az online jelenlét egyik legkellemetlenebb élménye. A higgadt, lépésenkénti haladás segít, hogy a lehető legkisebb kárral túl legyél rajta. Az alábbi lépések nem fednek le minden esetet, de rendet tesznek a gondolataidban.

## Honnan tudhatod, hogy feltörték?

A „feltörés” nagyon tág fogalom, önmagában nem árulja el, mi történt. A segítségkéréshez (például a támogatói fórumon) fontos, hogy pontosan megnevezd a tüneteket, vagyis a kompromittálódás jeleit. Ilyen egyértelmű jelek:

- a webhely tiltólistára került a Google-nél, a Bingnél vagy másutt;
- a tárhelyszolgáltató letiltotta a webhelyet;
- a webhelyet kártevő terjesztéséért megjelölték;
- az olvasók azt jelzik, hogy a víruskeresőjük jelzi az oldalt;
- jelzik neked, hogy a webhelyedről mások támadása indul;
- olyan változást látsz, amit nem te végeztél (például új felhasználó jelent meg);
- a webhely böngészőben megnyitva láthatóan megváltozott.

Nem minden feltörés egyforma, ezért minél pontosabban írod le a tüneteket, annál jobban tudnak segíteni.

## A teendők sorrendje

### 1. Maradj nyugodt

Egy biztonsági incidens nagy stressz, de a helyzet nem reménytelen. Lehet, hogy pénzt veszítesz, és a márkád is sérül, de helyre fogsz jönni. Lépj vissza egy lépést, és higgadtan vedd kézbe az irányítást.

### 2. Dokumentálj

Az első cselekvés a dokumentálás. Jegyezd fel:

- mit látsz, ami arra utal, hogy feltörtek;
- mikor vetted észre (az időzónával együtt);
- mit tettél a közelmúltban: telepítettél-e új bővítményt, módosítottál-e a sablonon, változtattál-e egy widgeten.

Ez lesz az incidensjelentés alapja, akár magad végzed a helyreállítást, akár szakembert hívsz. Írd le a tárhelykörnyezet adatait is, mert később szükség lesz rájuk.

### 3. Vizsgáld át a webhelyet

Kétféle vizsgálót érdemes használni, mindegyik mást néz:

- **Bővítmény alapú vizsgálók** a WordPressen belül futnak. Régóta létező, erős közösségű példák: Quttera Web Malware Scanner, GOTMLS, Wordfence és Sucuri Security.
- **Távoli vizsgálók** kívülről járják be a webhelyet. Ilyen például a VirusTotal és a Sucuri SiteCheck.

Egyik megoldás sem tökéletes egyedül, együtt viszont sokat javítanak az esélyeken.

### 4. Vizsgáld át a saját gépedet is

A támadás forrása gyakran a saját számítógéped. A támadók trójaiakat futtathatnak a gépeden, amelyek leolvassák az FTP- és az admin-hozzáférés adatait, és így be tudnak lépni helyetted. Futtass teljes víruskeresést. Egyes vírusok el tudnak rejtőzni a víruskeresők elől, ezért érdemes másik programmal is megpróbálni. Ez Windowsra, macOS-re és Linuxra egyaránt vonatkozik.

### 5. Kérdezd meg a tárhelyszolgáltatót

A feltörés több mint a te webhelyedet érintheti, különösen megosztott tárhelynél. A szolgáltató segíthet, és azt is megmondhatja, hogy valóban feltörésről van-e szó, vagy például szolgáltatáskiesésről.

Komoly következmény az e-mail tiltólistára kerülés: ha a webhelyet kéretlen levelek küldésére használták, a tiltólisták megjelölik a kiszolgáló IP-címét, és ez gyakran ugyanaz, mint az e-mailé. A céges levelezéshez érdemes külön levelezési szolgáltatót használni.

### 6. Figyeld a tiltólistákat

A Google tiltólistája súlyosan árthat a márkádnak: naponta nagyjából 9500 és 10 000 webhelyet jelölnek meg. A figyelmeztetés lehet nagy, teljes oldalas figyelmeztetés, vagy diszkrétebb jelzés a keresési találatok között. Nem csak a Google tilt: a Bing, a Yahoo és sok vírusirtó program is. A látogatóid bármelyik eszközt használhatják.

Érdemes regisztrálni a webhelyet a keresők webmestereszközeiben, például a Google Search Console, a Bing Webmaster, a Yandex Webmaster és a Norton Webmaster oldalán.

### 7. Erősítsd a hozzáférés-védelmet

A jelszócsere fontos, de csak egy része a megoldásnak. Használj hosszú, összetett és egyedi jelszavakat; ehhez jelszógenerátort is használhatsz (például egy jelszókezelő alkalmazást).

Minden hozzáférési pontot cserélj le:

- FTP/SFTP;
- a WordPress admin felülete (`wp-admin`);
- a cPanel vagy a tárhely más felügyeleti felülete;
- a MySQL-adatbázis.

Ez nemcsak a te hozzáférésedre vonatkozik, hanem a környezethez hozzáféréssel rendelkező összes felhasználóéra is.

Érdemes kétlépcsős (többtényezős) hitelesítést is bevezetni: ez bejelentkezéskor második azonosítást kér. Ehhez léteznek bővítmények, például a Rublon és a Duo.

### 8. Állíts vissza minden hozzáférést

A feltörés felismerése után zárd le a rendszert, hogy minél kevesebb újabb változás történjen. Először a felhasználókkal kezdd: kényszeríts ki mindenkinél, különösen az adminisztrátoroknál jelszócserét. Ebben bővítmény is segíthet (például az iThemes Security).

Ki kell léptetni azokat is, akik éppen be vannak jelentkezve. Ezt a `wp-config.php` fájlban lévő titkos kulcsok cseréjével éred el: generálj új kulcskészletet a WordPress kulcsgenerátorával, és írd felül a `wp-config.php` megfelelő értékeit. Ettől mindenki kilép.

### 9. Készíts mentést

Ha van mentésed, jó; ha nincs, most kell csinálni. A mentés a folytatás alapja, és a jövőben tudatosan tervezd. Kérdezd meg a szolgáltatódat is a mentési szabályzatáról. Ha van mentésed, visszaállíthatod, és rögtön a vizsgálatra térhetsz.

Rendszeresen mentsd az adatbázist és a fájlokat is, hogy ha újra megtörténne, legyen mihez nyúlni.

A tisztítás előtt készíts még egy pillanatképet a jelenlegi környezetről, akkor is, ha fertőzött. Ha később minden rosszra fordulna, legalább lesz mire támaszkodni.

### 10. Keresd meg és távolítsd el a kártevőt

Ez a legnehezebb rész. Hogy pontosan mit kell tenned, a tünetektől és a műszaki tudásodtól függ. Csábító mindent törölni és újrakezdeni, de ez gyakran nem lehetséges. Ehelyett újratelepíthetsz bizonyos elemeket anélkül, hogy a webhely magja károsodna.

Fontos szabályok:

- Mindig ugyanazt a verziót telepítsd újra, amit a webhely használ; régebbi vagy újabb verzió valószínűleg tönkreteszi a webhelyet.
- Ne az admin felület újratelepítő funkcióját használd, hanem az FTP/SFTP-programmal húzd át a fájlokat. A telepítők gyakran csak felülírják a meglévő fájlokat, a kártevők viszont új fájlokat is hoznak létre.
- Biztonsággal lecserélheted a `/wp-admin` és a `/wp-includes` mappát.
- A `wp-content` mappában (sablonok és bővítmények) legyél alaposabb a frissítéssel és cserével.

A legfontosabb fájl az `.htaccess`: típustól függetlenül ezt módosítják a leggyakrabban. A telepítés gyökerében van, de több almappában is lehet belőle.

Figyeld a gyakran célba vett fájlokat is: `index.php`, `header.php`, `footer.php`, `functions.php`. Ha ezeket módosították, az minden oldalletöltést érinthet.

### 11. Kérj segítséget a közösségtől

A WordPress közösségi platform, valaki szívesen segít. Jó kiindulópont a hivatalos támogatói fórum „hacked” és „malware” címkéi.

### 12. Frissíts

A tisztítás után frissítsd a WordPresszt a legújabb verzióra. A régebbi verziók fogékonyabbak a támadásokra.

### 13. Cserélj jelszavakat újra

Ha a jelszavakat csak a feltörés észlelésekor cserélted, a tisztítás után cseréld újra, ismét hosszú, összetett és egyedi jelszavakra. Megfontolhatod az adatbázis-felhasználó és jelszó cseréjét is; ilyenkor ne felejtsd el átírni a `wp-config.php` fájlban.

### 14. Elemezd az esetet

A cél annak megértése, hogyan jutottak be a támadók, hogy ne tudják újra kihasználni ugyanazt. Ez a webhelytulajdonosoknak gyakran nehéz, mert hiányzik a technikai tudás vagy az adat. Ha megvan a szükséges naplóadat, eszközök (például OSSEC vagy Splunk) segíthetnek.

### 15. Védd meg a webhelyet

Ha helyreállt a webhely, vezess be minél több ajánlott biztonsági intézkedést (a WordPress „megerősítés” témájú útmutatója részletezi).

## Nem tudsz belépni az admin felületre

Előfordul, hogy a támadó átveszi az adminisztrátori fiókot. Ilyenkor is vissza lehet szerezni a hozzáférést: állítsd vissza a jelszavadat. Ha az adatbázishoz hozzáférsz, a tárhelyszolgáltatód által kínált eszközökkel (phpMyAdmin, Adminer) közvetlenül is belépsz az adatbázisba, és a `wp_users` táblában átállíthatod a felhasználót.

Ha nem szeretnél jelszó-kivonatokkal bajlódni, egyszerűen írd át a felhasználó e-mail-címét, menj a bejelentkezési oldalra, kattints az elfelejtett jelszóra, és várd meg a levelet.

![A felhasználók listája, ahol az adminisztrátor és az e-mail-cím látszik](./kepek/elso-lepesek-felhasznalok.webp)

*A felhasználók listája, ahol az adminisztrátor és az e-mail-cím látszik* (https://minta-bolt.hu/wp-admin/users.php)

A felhasználók listáján átnézheted, hogy nincs-e olyan fiók, amelyet nem te hoztál létre, és szükség esetén módosíthatod a felhasználó e-mail-címét.

## Verziókezelés használatakor

Ha verziókezelést használsz, gyorsan kiderítheted, mi változott, és vissza is állhatsz egy korábbi verzióra. Parancssorból összevetheted a fájljaidat a hivatalos WordPress-tárolóban lévő verziókkal, például az `svn diff .` paranccsal, vagy egy adott fájlra az `svn diff /utvonal/fajlnev` paranccsal.