Feltört webhely helyreállítása

Ez az útmutató egy 2024 februári biztonsági esemény után készült. Az akkori sebezhetőséget a Bricks még 2024 februárjában javította, és az azóta kiadott verziók nem érintettek. A frissítés viszont nem takarítja ki az olyan webhelyet, amely már a frissítés előtt megsérült. A lenti munkafolyamat ezért bármelyik Bricks-es vagy WordPress-webhelynél hasznos, ha gyanítod, hogy feltörték.

Mielőtt hozzákezdesz

Ezek általános lépések. A pontos teendő függ a tárhelytől, a mentésektől, a bővítményektől, az egyéni kódtól és a támadás típusától.

• Lehetőleg friss mentésből vagy a webhely lemásolt változatából dolgozz.
• Jegyezd fel, amit találsz: gyanús felhasználókat, fájlokat, átirányításokat, ütemezett feladatokat, megváltozott jelszavakat, időbélyegeket.

Azonnali védekezés

1. Friss mentés: mielőtt bármit megváltoztatnál, mentsd le a fájlokat és az adatbázist, hogy a tárhelyszolgáltató vagy egy biztonsági szakember átnézhesse.
2. A nyilvános forgalom korlátozása: ha a webhely láthatóan aktív támadás alatt áll, ideiglenesen korlátozd az elérését a tárhely eszközeivel, karbantartási móddal, tűzfalszabállyal vagy IP-cím alapú engedélyezéssel.
3. Minden frissítése: frissítsd a Bricks-et, a WordPress magot, a bővítményeket és a témákat a legújabb verzióra.
4. A gyanús hozzáférések letiltása: töröld az ismeretlen rendszergazdákat, vond vissza az ismeretlen API-kulcsokat, és kapcsold ki az ismeretlen bővítményeket és egyéni kódot.
5. A tárhely értesítése: kérd meg a szolgáltatót, hogy nézze át a szervernaplókat, futtasson kártevőkeresést, és ellenőrizze a fájlváltozásokat, a kimenő leveleket és a gyanús folyamatokat.

A nyilvános forgalom korlátozása takarítás közben

Ha az éles webhelyen kell takarítanod, tartsd korlátozva a hozzáférést, amíg a megtisztított webhelyet nem telepíted és nem ellenőrzöd. Előnyben részesítsd a tárhely karbantartási módját, tűzfalát, jelszavas védelmét vagy az ideiglenes IP-engedélyezőlistát.

Apache szervereken az egyik lehetséges ideiglenes .htaccess korlátozás:

Order Deny,Allow
Deny from all
Allow from AZ_TE_IP_CIMED

Az AZ_TE_IP_CIMED helyére a saját nyilvános IP-címed kerüljön. A szabályt töröld, ha a webhely tiszta, és újra megnyitható. Ha bizonytalan vagy, melyik módszer illik a tárhelyedhez, kérdezd meg a szolgáltatót, mielőtt a szerverszabályokat szerkesztenéd.

A kompromittálás jeleinek keresése

Mielőtt tisztának nyilvánítod a webhelyet, alaposan nézd át.

1. Felhasználók áttekintése
   • Nyisd meg a WordPress Felhasználók oldalát.
   • Keress olyan fiókokat, amelyeket nem ismersz, különösen a Rendszergazda szerepkörűek között.
   • Nézd meg a friss profilváltozásokat, és állíts vissza jelszót minden megbízható rendszergazdánál.
2. Témák és bővítmények vizsgálata
   • Nézd meg a Megjelenés → Sablonok és a Bővítmények oldalt.
   • Töröld, amit nem te telepítettél, vagy amire már nincs szükség.
   • A módosított fájlok megtartása helyett telepítsd újra a megbízható témákat és bővítményeket tiszta forrásból.
3. A szerver fájljainak átvizsgálása
   • Használd a tárhely fájlkezelőjét, az SFTP-t, az SSH-t vagy a webhely fájljainak helyi másolatát.
   • Keress ismeretlen PHP-fájlokat, véletlenszerű fájlneveket, nemrég módosított fájlokat és futtatható fájlokat a feltöltési mappákban.
   • SSH-n a find . -type f -mtime -14 parancs a legutóbbi 14 napban módosított fájlokat listázza. Az időablakot igazítsd a gyanított esemény idejéhez.
4. Átirányítások és szerverszabályok
   • Ellenőrizd a .htaccess fájlt, a webszerver- és CDN-átirányításokat, a tűzfalszabályokat és az átirányító bővítményeket.
   • Keress olyan szabályokat, amelyek a látogatókat ismeretlen domainekre küldik, vagy csak bizonyos böngészőazonosítókat érintenek.
5. Ütemezett feladatok
   • Nézd át a tárhely vezérlőpultjában a szerveroldali cron feladatokat.
   • A WordPress ütemezett eseményeit megbízható eszközzel, például a WP Crontrol bővítménnyel ellenőrizheted.
   • Töröld az ismeretlen ismétlődő feladatokat.
6. Bejegyzések, oldalak és sablonok
   • Nézd át a bejegyzéseket, oldalakat, egyéni bejegyzéstípusokat, a Bricks sablonokat, az újrahasználható tartalmakat és az egyéni kód területeket.
   • Keress beszúrt szkripteket, ismeretlen hivatkozásokat, rejtett tartalmat és megváltozott beágyazásokat.
7. Naplók és teljesítményrendellenességek
   • Kérd el a tárhelytől a hozzáférési és hibanaplókat, valamint a kártevőkeresés eredményét.
   • Keress szokatlan bejelentkezési kísérleteket, váratlan processzorhasználatot, kimenő levelek hirtelen szaporodását, 500-as hibákat és gyanús fájlokra irányuló ismétlődő kéréseket.

A webhely megtisztítása

Ha találsz a támadásra utaló jelet, megbízható környezetben takarítsd ki a webhelyet, ne a még támadott éles példányon szerkessz.

1. Visszaállítás vagy újjáépítés tiszta állapotból
   • Állíts vissza egy, a támadás előtti mentést, vagy építsd újra a webhelyet tiszta WordPress-, bővítmény-, téma- és Bricks-fájlokból.
   • Ha nem biztos, melyik mentés tiszta, állítsd vissza helyben, és ismételd meg a fenti ellenőrzéseket, mielőtt éles környezetbe teszed.
2. A WordPress mag újratelepítése
   • A vezérlőpulton használd a Vezérlőpult → Frissítések oldal újratelepítés gombját, ahol elérhető.
   • Vagy telepítsd újra a mag fájljait egy tiszta WordPress-letöltésből.
3. Bővítmények és témák újratelepítése
   • Frissítsd vagy telepítsd újra mindegyiket megbízható forrásból.
   • A prémium bővítményekhez és témákhoz tiszta másolatot tölts le a gyártótól.
   • Távolítsd el az elhagyott vagy felesleges bővítményeket.
4. A Bricks frissítése
   • Frissítsd a Bricks-et a legújabb elérhető verzióra a Vezérlőpult → Frissítések oldalon vagy a Bricks-fiókon át.
   • A takarítás részeként ne állíts vissza régi Bricks-verziót.
5. Jelszavak és kulcsok cseréje
   • Cseréld a WordPress rendszergazdai jelszavakat.
   • Cseréld a tárhely-, SFTP-, SSH-, adatbázis-, e-mail-, SMTP-, fizetési és API-hozzáféréseket.
   • Generálj új WordPress hitelesítési sót (salt) a WordPress hivatalos kulcsgenerátorával.
   • Cseréltesd le a kiszivárgott licenckulcsokat a gyártóval, ha szükséges.
6. A wp-config.php cseréje, ha kell
   • Ha fájlmódosításra gyanakszol, készíts új wp-config.php fájlt egy tiszta wp-config-sample.php alapján.
   • Írd be újra az adatbázis adatait és a szükséges egyedi beállításokat.
7. Jogosultságok ellenőrzése
   • Győződj meg róla, hogy a fájlok és mappák jogosultságai megfelelnek a tárhely ajánlásának.
   • Gyakori alapérték: mappáknál 755, fájloknál 644, de a kezelt tárhelyek ettől eltérhetnek.
8. A tiszta webhely üzembe helyezése
   • Vidd vissza a megtisztított helyi vagy tesztkörnyezetet az éles szerverre.
   • A hozzáférést tartsd korlátozva, amíg a webhely élesben fut, frissített, és újra ellenőrizted.

Takarítás után

A webhely újra elérhetővé tétele után is figyeld tovább.

• Futtass szerverszintű kártevőkeresést a tárhelyen keresztül.
• Ha indokolt, futtass alkalmazásszintű átvizsgálást egy megbízható WordPress biztonsági bővítménnyel.
• Figyeld az új regisztrációkat és a rendszergazdai fiókokat.
• Figyeld a hibanaplókat, az átirányításokat, a kimenő leveleket és a teljesítményt.
• Tartsd naprakészen a Bricks-et, a WordPresst, a bővítményeket és a témákat.
• Ütemezz rendszeres, külső helyre történő mentéseket.
• A WordPress keményítési útmutatója további szerver- és WordPress-szintű védelmi gyakorlatokat ismertet.