Feltört webhely: mit tegyél?

Egy feltörés az online jelenlét egyik legkellemetlenebb élménye. A higgadt, lépésenkénti haladás segít, hogy a lehető legkisebb kárral túl legyél rajta. Az alábbi lépések nem fednek le minden esetet, de rendet tesznek a gondolataidban.

Honnan tudhatod, hogy feltörték?

A „feltörés” nagyon tág fogalom, önmagában nem árulja el, mi történt. A segítségkéréshez (például a támogatói fórumon) fontos, hogy pontosan megnevezd a tüneteket, vagyis a kompromittálódás jeleit. Ilyen egyértelmű jelek:

• a webhely tiltólistára került a Google-nél, a Bingnél vagy másutt;
• a tárhelyszolgáltató letiltotta a webhelyet;
• a webhelyet kártevő terjesztéséért megjelölték;
• az olvasók azt jelzik, hogy a víruskeresőjük jelzi az oldalt;
• jelzik neked, hogy a webhelyedről mások támadása indul;
• olyan változást látsz, amit nem te végeztél (például új felhasználó jelent meg);
• a webhely böngészőben megnyitva láthatóan megváltozott.

Nem minden feltörés egyforma, ezért minél pontosabban írod le a tüneteket, annál jobban tudnak segíteni.

A teendők sorrendje

1. Maradj nyugodt

Egy biztonsági incidens nagy stressz, de a helyzet nem reménytelen. Lehet, hogy pénzt veszítesz, és a márkád is sérül, de helyre fogsz jönni. Lépj vissza egy lépést, és higgadtan vedd kézbe az irányítást.

2. Dokumentálj

Az első cselekvés a dokumentálás. Jegyezd fel:

• mit látsz, ami arra utal, hogy feltörtek;
• mikor vetted észre (az időzónával együtt);
• mit tettél a közelmúltban: telepítettél-e új bővítményt, módosítottál-e a sablonon, változtattál-e egy widgeten.

Ez lesz az incidensjelentés alapja, akár magad végzed a helyreállítást, akár szakembert hívsz. Írd le a tárhelykörnyezet adatait is, mert később szükség lesz rájuk.

3. Vizsgáld át a webhelyet

Kétféle vizsgálót érdemes használni, mindegyik mást néz:

• Bővítmény alapú vizsgálók a WordPressen belül futnak. Régóta létező, erős közösségű példák: Quttera Web Malware Scanner, GOTMLS, Wordfence és Sucuri Security.
• Távoli vizsgálók kívülről járják be a webhelyet. Ilyen például a VirusTotal és a Sucuri SiteCheck.

Egyik megoldás sem tökéletes egyedül, együtt viszont sokat javítanak az esélyeken.

4. Vizsgáld át a saját gépedet is

A támadás forrása gyakran a saját számítógéped. A támadók trójaiakat futtathatnak a gépeden, amelyek leolvassák az FTP- és az admin-hozzáférés adatait, és így be tudnak lépni helyetted. Futtass teljes víruskeresést. Egyes vírusok el tudnak rejtőzni a víruskeresők elől, ezért érdemes másik programmal is megpróbálni. Ez Windowsra, macOS-re és Linuxra egyaránt vonatkozik.

5. Kérdezd meg a tárhelyszolgáltatót

A feltörés több mint a te webhelyedet érintheti, különösen megosztott tárhelynél. A szolgáltató segíthet, és azt is megmondhatja, hogy valóban feltörésről van-e szó, vagy például szolgáltatáskiesésről.

Komoly következmény az e-mail tiltólistára kerülés: ha a webhelyet kéretlen levelek küldésére használták, a tiltólisták megjelölik a kiszolgáló IP-címét, és ez gyakran ugyanaz, mint az e-mailé. A céges levelezéshez érdemes külön levelezési szolgáltatót használni.

6. Figyeld a tiltólistákat

A Google tiltólistája súlyosan árthat a márkádnak: naponta nagyjából 9500 és 10 000 webhelyet jelölnek meg. A figyelmeztetés lehet nagy, teljes oldalas figyelmeztetés, vagy diszkrétebb jelzés a keresési találatok között. Nem csak a Google tilt: a Bing, a Yahoo és sok vírusirtó program is. A látogatóid bármelyik eszközt használhatják.

Érdemes regisztrálni a webhelyet a keresők webmestereszközeiben, például a Google Search Console, a Bing Webmaster, a Yandex Webmaster és a Norton Webmaster oldalán.

7. Erősítsd a hozzáférés-védelmet

A jelszócsere fontos, de csak egy része a megoldásnak. Használj hosszú, összetett és egyedi jelszavakat; ehhez jelszógenerátort is használhatsz (például egy jelszókezelő alkalmazást).

Minden hozzáférési pontot cserélj le:

• FTP/SFTP;
• a WordPress admin felülete (wp-admin);
• a cPanel vagy a tárhely más felügyeleti felülete;
• a MySQL-adatbázis.

Ez nemcsak a te hozzáférésedre vonatkozik, hanem a környezethez hozzáféréssel rendelkező összes felhasználóéra is.

Érdemes kétlépcsős (többtényezős) hitelesítést is bevezetni: ez bejelentkezéskor második azonosítást kér. Ehhez léteznek bővítmények, például a Rublon és a Duo.

8. Állíts vissza minden hozzáférést

A feltörés felismerése után zárd le a rendszert, hogy minél kevesebb újabb változás történjen. Először a felhasználókkal kezdd: kényszeríts ki mindenkinél, különösen az adminisztrátoroknál jelszócserét. Ebben bővítmény is segíthet (például az iThemes Security).

Ki kell léptetni azokat is, akik éppen be vannak jelentkezve. Ezt a wp-config.php fájlban lévő titkos kulcsok cseréjével éred el: generálj új kulcskészletet a WordPress kulcsgenerátorával, és írd felül a wp-config.php megfelelő értékeit. Ettől mindenki kilép.

9. Készíts mentést

Ha van mentésed, jó; ha nincs, most kell csinálni. A mentés a folytatás alapja, és a jövőben tudatosan tervezd. Kérdezd meg a szolgáltatódat is a mentési szabályzatáról. Ha van mentésed, visszaállíthatod, és rögtön a vizsgálatra térhetsz.

Rendszeresen mentsd az adatbázist és a fájlokat is, hogy ha újra megtörténne, legyen mihez nyúlni.

A tisztítás előtt készíts még egy pillanatképet a jelenlegi környezetről, akkor is, ha fertőzött. Ha később minden rosszra fordulna, legalább lesz mire támaszkodni.

10. Keresd meg és távolítsd el a kártevőt

Ez a legnehezebb rész. Hogy pontosan mit kell tenned, a tünetektől és a műszaki tudásodtól függ. Csábító mindent törölni és újrakezdeni, de ez gyakran nem lehetséges. Ehelyett újratelepíthetsz bizonyos elemeket anélkül, hogy a webhely magja károsodna.

Fontos szabályok:

• Mindig ugyanazt a verziót telepítsd újra, amit a webhely használ; régebbi vagy újabb verzió valószínűleg tönkreteszi a webhelyet.
• Ne az admin felület újratelepítő funkcióját használd, hanem az FTP/SFTP-programmal húzd át a fájlokat. A telepítők gyakran csak felülírják a meglévő fájlokat, a kártevők viszont új fájlokat is hoznak létre.
• Biztonsággal lecserélheted a /wp-admin és a /wp-includes mappát.
• A wp-content mappában (sablonok és bővítmények) legyél alaposabb a frissítéssel és cserével.

A legfontosabb fájl az .htaccess: típustól függetlenül ezt módosítják a leggyakrabban. A telepítés gyökerében van, de több almappában is lehet belőle.

Figyeld a gyakran célba vett fájlokat is: index.php, header.php, footer.php, functions.php. Ha ezeket módosították, az minden oldalletöltést érinthet.

11. Kérj segítséget a közösségtől

A WordPress közösségi platform, valaki szívesen segít. Jó kiindulópont a hivatalos támogatói fórum „hacked” és „malware” címkéi.

12. Frissíts

A tisztítás után frissítsd a WordPresszt a legújabb verzióra. A régebbi verziók fogékonyabbak a támadásokra.

13. Cserélj jelszavakat újra

Ha a jelszavakat csak a feltörés észlelésekor cserélted, a tisztítás után cseréld újra, ismét hosszú, összetett és egyedi jelszavakra. Megfontolhatod az adatbázis-felhasználó és jelszó cseréjét is; ilyenkor ne felejtsd el átírni a wp-config.php fájlban.

14. Elemezd az esetet

A cél annak megértése, hogyan jutottak be a támadók, hogy ne tudják újra kihasználni ugyanazt. Ez a webhelytulajdonosoknak gyakran nehéz, mert hiányzik a technikai tudás vagy az adat. Ha megvan a szükséges naplóadat, eszközök (például OSSEC vagy Splunk) segíthetnek.

15. Védd meg a webhelyet

Ha helyreállt a webhely, vezess be minél több ajánlott biztonsági intézkedést (a WordPress „megerősítés” témájú útmutatója részletezi).

Nem tudsz belépni az admin felületre

Előfordul, hogy a támadó átveszi az adminisztrátori fiókot. Ilyenkor is vissza lehet szerezni a hozzáférést: állítsd vissza a jelszavadat. Ha az adatbázishoz hozzáférsz, a tárhelyszolgáltatód által kínált eszközökkel (phpMyAdmin, Adminer) közvetlenül is belépsz az adatbázisba, és a wp_users táblában átállíthatod a felhasználót.

Ha nem szeretnél jelszó-kivonatokkal bajlódni, egyszerűen írd át a felhasználó e-mail-címét, menj a bejelentkezési oldalra, kattints az elfelejtett jelszóra, és várd meg a levelet.

https://minta-bolt.hu/wp-admin/users.php

A felhasználók listáján átnézheted, hogy nincs-e olyan fiók, amelyet nem te hoztál létre, és szükség esetén módosíthatod a felhasználó e-mail-címét.

Verziókezelés használatakor

Ha verziókezelést használsz, gyorsan kiderítheted, mi változott, és vissza is állhatsz egy korábbi verzióra. Parancssorból összevetheted a fájljaidat a hivatalos WordPress-tárolóban lévő verziókkal, például az svn diff . paranccsal, vagy egy adott fájlra az svn diff /utvonal/fajlnev paranccsal.