# Feltört webhely helyreállítása

> Lépésről lépésre: mit tegyél, ha egy Bricks-es vagy bármilyen WordPress-webhely veszélybe kerülhetett.

Ez az útmutató egy 2024 februári biztonsági esemény után készült. Az akkori sebezhetőséget a Bricks még 2024 februárjában javította, és az azóta kiadott verziók nem érintettek. A frissítés viszont nem takarítja ki az olyan webhelyet, amely már a frissítés előtt megsérült. A lenti munkafolyamat ezért bármelyik Bricks-es vagy WordPress-webhelynél hasznos, ha gyanítod, hogy feltörték.

## Mielőtt hozzákezdesz

Ezek általános lépések. A pontos teendő függ a tárhelytől, a mentésektől, a bővítményektől, az egyéni kódtól és a támadás típusától.

- Lehetőleg friss mentésből vagy a webhely lemásolt változatából dolgozz.
- Jegyezd fel, amit találsz: gyanús felhasználókat, fájlokat, átirányításokat, ütemezett feladatokat, megváltozott jelszavakat, időbélyegeket.

## Azonnali védekezés

1. **Friss mentés:** mielőtt bármit megváltoztatnál, mentsd le a fájlokat és az adatbázist, hogy a tárhelyszolgáltató vagy egy biztonsági szakember átnézhesse.
2. **A nyilvános forgalom korlátozása:** ha a webhely láthatóan aktív támadás alatt áll, ideiglenesen korlátozd az elérését a tárhely eszközeivel, karbantartási móddal, tűzfalszabállyal vagy IP-cím alapú engedélyezéssel.
3. **Minden frissítése:** frissítsd a Bricks-et, a WordPress magot, a bővítményeket és a témákat a legújabb verzióra.
4. **A gyanús hozzáférések letiltása:** töröld az ismeretlen rendszergazdákat, vond vissza az ismeretlen API-kulcsokat, és kapcsold ki az ismeretlen bővítményeket és egyéni kódot.
5. **A tárhely értesítése:** kérd meg a szolgáltatót, hogy nézze át a szervernaplókat, futtasson kártevőkeresést, és ellenőrizze a fájlváltozásokat, a kimenő leveleket és a gyanús folyamatokat.

### A nyilvános forgalom korlátozása takarítás közben

Ha az éles webhelyen kell takarítanod, tartsd korlátozva a hozzáférést, amíg a megtisztított webhelyet nem telepíted és nem ellenőrzöd. Előnyben részesítsd a tárhely karbantartási módját, tűzfalát, jelszavas védelmét vagy az ideiglenes IP-engedélyezőlistát.

Apache szervereken az egyik lehetséges ideiglenes `.htaccess` korlátozás:

```apache
Order Deny,Allow
Deny from all
Allow from AZ_TE_IP_CIMED
```

Az `AZ_TE_IP_CIMED` helyére a saját nyilvános IP-címed kerüljön. A szabályt töröld, ha a webhely tiszta, és újra megnyitható. Ha bizonytalan vagy, melyik módszer illik a tárhelyedhez, kérdezd meg a szolgáltatót, mielőtt a szerverszabályokat szerkesztenéd.

## A kompromittálás jeleinek keresése

Mielőtt tisztának nyilvánítod a webhelyet, alaposan nézd át.

1. **Felhasználók áttekintése**
   - Nyisd meg a WordPress **Felhasználók** oldalát.
   - Keress olyan fiókokat, amelyeket nem ismersz, különösen a **Rendszergazda** szerepkörűek között.
   - Nézd meg a friss profilváltozásokat, és állíts vissza jelszót minden megbízható rendszergazdánál.
2. **Témák és bővítmények vizsgálata**
   - Nézd meg a **Megjelenés → Sablonok** és a **Bővítmények** oldalt.
   - Töröld, amit nem te telepítettél, vagy amire már nincs szükség.
   - A módosított fájlok megtartása helyett telepítsd újra a megbízható témákat és bővítményeket tiszta forrásból.
3. **A szerver fájljainak átvizsgálása**
   - Használd a tárhely fájlkezelőjét, az SFTP-t, az SSH-t vagy a webhely fájljainak helyi másolatát.
   - Keress ismeretlen PHP-fájlokat, véletlenszerű fájlneveket, nemrég módosított fájlokat és futtatható fájlokat a feltöltési mappákban.
   - SSH-n a `find . -type f -mtime -14` parancs a legutóbbi 14 napban módosított fájlokat listázza. Az időablakot igazítsd a gyanított esemény idejéhez.
4. **Átirányítások és szerverszabályok**
   - Ellenőrizd a `.htaccess` fájlt, a webszerver- és CDN-átirányításokat, a tűzfalszabályokat és az átirányító bővítményeket.
   - Keress olyan szabályokat, amelyek a látogatókat ismeretlen domainekre küldik, vagy csak bizonyos böngészőazonosítókat érintenek.
5. **Ütemezett feladatok**
   - Nézd át a tárhely vezérlőpultjában a szerveroldali cron feladatokat.
   - A WordPress ütemezett eseményeit megbízható eszközzel, például a WP Crontrol bővítménnyel ellenőrizheted.
   - Töröld az ismeretlen ismétlődő feladatokat.
6. **Bejegyzések, oldalak és sablonok**
   - Nézd át a bejegyzéseket, oldalakat, egyéni bejegyzéstípusokat, a Bricks sablonokat, az újrahasználható tartalmakat és az egyéni kód területeket.
   - Keress beszúrt szkripteket, ismeretlen hivatkozásokat, rejtett tartalmat és megváltozott beágyazásokat.
7. **Naplók és teljesítményrendellenességek**
   - Kérd el a tárhelytől a hozzáférési és hibanaplókat, valamint a kártevőkeresés eredményét.
   - Keress szokatlan bejelentkezési kísérleteket, váratlan processzorhasználatot, kimenő levelek hirtelen szaporodását, 500-as hibákat és gyanús fájlokra irányuló ismétlődő kéréseket.

## A webhely megtisztítása

Ha találsz a támadásra utaló jelet, megbízható környezetben takarítsd ki a webhelyet, ne a még támadott éles példányon szerkessz.

1. **Visszaállítás vagy újjáépítés tiszta állapotból**
   - Állíts vissza egy, a támadás előtti mentést, vagy építsd újra a webhelyet tiszta WordPress-, bővítmény-, téma- és Bricks-fájlokból.
   - Ha nem biztos, melyik mentés tiszta, állítsd vissza helyben, és ismételd meg a fenti ellenőrzéseket, mielőtt éles környezetbe teszed.
2. **A WordPress mag újratelepítése**
   - A vezérlőpulton használd a **Vezérlőpult → Frissítések** oldal újratelepítés gombját, ahol elérhető.
   - Vagy telepítsd újra a mag fájljait egy tiszta WordPress-letöltésből.
3. **Bővítmények és témák újratelepítése**
   - Frissítsd vagy telepítsd újra mindegyiket megbízható forrásból.
   - A prémium bővítményekhez és témákhoz tiszta másolatot tölts le a gyártótól.
   - Távolítsd el az elhagyott vagy felesleges bővítményeket.
4. **A Bricks frissítése**
   - Frissítsd a Bricks-et a legújabb elérhető verzióra a **Vezérlőpult → Frissítések** oldalon vagy a Bricks-fiókon át.
   - A takarítás részeként ne állíts vissza régi Bricks-verziót.
5. **Jelszavak és kulcsok cseréje**
   - Cseréld a WordPress rendszergazdai jelszavakat.
   - Cseréld a tárhely-, SFTP-, SSH-, adatbázis-, e-mail-, SMTP-, fizetési és API-hozzáféréseket.
   - Generálj új WordPress hitelesítési sót (salt) a WordPress hivatalos kulcsgenerátorával.
   - Cseréltesd le a kiszivárgott licenckulcsokat a gyártóval, ha szükséges.
6. **A `wp-config.php` cseréje, ha kell**
   - Ha fájlmódosításra gyanakszol, készíts új `wp-config.php` fájlt egy tiszta `wp-config-sample.php` alapján.
   - Írd be újra az adatbázis adatait és a szükséges egyedi beállításokat.
7. **Jogosultságok ellenőrzése**
   - Győződj meg róla, hogy a fájlok és mappák jogosultságai megfelelnek a tárhely ajánlásának.
   - Gyakori alapérték: mappáknál `755`, fájloknál `644`, de a kezelt tárhelyek ettől eltérhetnek.
8. **A tiszta webhely üzembe helyezése**
   - Vidd vissza a megtisztított helyi vagy tesztkörnyezetet az éles szerverre.
   - A hozzáférést tartsd korlátozva, amíg a webhely élesben fut, frissített, és újra ellenőrizted.

## Takarítás után

A webhely újra elérhetővé tétele után is figyeld tovább.

- Futtass szerverszintű kártevőkeresést a tárhelyen keresztül.
- Ha indokolt, futtass alkalmazásszintű átvizsgálást egy megbízható WordPress biztonsági bővítménnyel.
- Figyeld az új regisztrációkat és a rendszergazdai fiókokat.
- Figyeld a hibanaplókat, az átirányításokat, a kimenő leveleket és a teljesítményt.
- Tartsd naprakészen a Bricks-et, a WordPresst, a bővítményeket és a témákat.
- Ütemezz rendszeres, külső helyre történő mentéseket.
- A WordPress keményítési útmutatója további szerver- és WordPress-szintű védelmi gyakorlatokat ismertet.