كيف تعرف أن موقع ووردبريس الخاص بك تعرّض للاختراق

معظم اختراقات ووردبريس هادئة. لا توجد رسالة فدية ولا صفحة رئيسية مشوّهة. يبدو الموقع طبيعيًا بالنسبة لك بينما يعيد توجيه زوار الجوال إلى إعلان صيدلية، أو يعرض محتوى سبام لزواحف محركات البحث، أو يرسل بريدًا إلكترونيًا من خادمك. ولهذا تستمر كثير من الاختراقات أسابيع قبل أن ينتبه إليها أحد.

افحص موقعك في 5 دقائق

لا تحتاج إلى أي إضافة ولا إلى مهارة تقنية لهذه الفحوصات الخمسة. أجرِها بالترتيب.

1. ابحث عن موقعك في جوجل. اكتب site:yourdomain.com في جوجل، ثم جرّب site:yourdomain.com casino OR pills OR loan OR replica. وجود صفحات أو عناوين لم تكتبها يعني أنه تم حقن محتوى سبام.
2. تحقق من نطاقك في التصفح الآمن. افتح حالة الموقع في التصفح الآمن من جوجل، وأدخل نطاقك، واقرأ النتيجة.
3. افتح Search Console. في Google Search Console، اختر موقعك، ثم الأمان والإجراءات اليدوية ← مشاكل الأمان. كثيرًا ما تبلّغ جوجل عن الاختراق هنا قبل أن ترى أنت أي شيء.
4. راجع المسؤولين. في wp-admin انتقل إلى المستخدمون ← كل المستخدمين وصفِّ حسب الدور مسؤول. لا تحذف شيئًا الآن، فقط دوّن أي اسم أو بريد إلكتروني لا تتعرف عليه.
5. زر موقعك كما يفعل شخص غريب. من هاتفك وببيانات الجوال، ابحث عن موقعك في جوجل واضغط على النتيجة بدلًا من كتابة العنوان. كثيرًا ما تعمل هجمات إعادة التوجيه فقط لزوار محركات البحث أو فقط على الجوال، فتبقى مخفية عندما تزور الموقع مباشرة.

8 علامات على أن موقعك قد يكون مخترقًا

1. إعادة توجيه غير متوقعة. يصل الزوار إلى موقع آخر، أحيانًا فقط من نتائج البحث أو فقط على الجوال.
2. تحذير من جوجل. عبارة «قد يكون هذا الموقع مخترقًا» تحت نتيجتك، أو مشكلة أمان في Search Console.
3. مسؤول لم تنشئه. يضيف المهاجمون مسؤولًا مخفيًا ليتمكنوا من العودة بعد أن تغيّر كلمة مرورك.
4. ملفات PHP في مكان يجب أن يحتوي على صور فقط. أسماء عشوائية مثل wp-cache-xk29.php داخل wp-content/uploads أو مجلدات القوالب.
5. سبام في مصدر صفحتك. روابط مخفية أو كلمات مفتاحية عن الصيدليات والمقامرة. استخدم «عرض المصدر» وابحث عن viagra أو casino أو display:none.
6. انخفاض مفاجئ في الزيارات أو الترتيب. قد تكون جوجل تزيل صفحات تعتبرها الآن مخترقة.
7. ارتفاعات غير مفسَّرة في استهلاك الموارد. معالج أو عرض نطاق أو حجم بريد صادر أعلى بكثير من نمطك المعتاد.
8. تعليق الاستضافة للحساب. كثير من شركات الاستضافة تفعل ذلك تلقائيًا عندما يبدأ الموقع بنشر برمجيات خبيثة أو إرسال سبام.

فحوصات أعمق إذا كان لديك SSH أو WP-CLI

تقرأ هذه الأوامر موقعك من الخادم. شغّلها من مجلد ووردبريس، وهو عادةً public_html. لا يغيّر أي منها شيئًا.

قارن نواة ووردبريس بالملفات الرسمية

wp core verify-checksums
wp plugin verify-checksums --all

يقارن كل أمر ملفاتك بالنسخ الرسمية من wordpress.org ويعرض كل ما يختلف أو ينقص. لن تُفحص الإضافات المخصصة والمدفوعة غير الموجودة على wordpress.org.

ابحث عن ملفات PHP المخبأة في uploads

find wp-content/uploads -name "*.php"

يجب أن يحتوي مجلد uploads على وسائط لا على شيفرة. أي نتيجة تستحق النظر، مع أن بعض الإضافات تخزّن هناك ملف index غير ضار.

ابحث عن ملفات PHP المعدَّلة مؤخرًا

find . -type f -name "*.php" -mtime -7

يعرض هذا ملفات PHP التي تغيّرت خلال آخر سبعة أيام. قارن القائمة بسجل تحديثاتك. الملفات التي تغيّرت في يوم لم تفعل فيه شيئًا تستحق أن تفتحها.

اعرض المسؤولين وتحقق من عنوان الموقع

wp user list --role=administrator
wp option get siteurl
wp option get home

يجب أن تكون القيمتان الأخيرتان نطاقك أنت. يُوجَّه الموقع المخترق أحيانًا إلى نطاق آخر عبر هذه الإعدادات وحدها، دون تغيير أي ملف.

ما يستطيع الماسح وما لا يستطيع إخبارك به

يبحث الماسح المعتمد على التواقيع عن أنماط برمجيات خبيثة معروفة. إنه تمرير أولي سريع ويكتشف الكثير. قد يفوّت البرمجيات الخبيثة الجديدة أو المخصصة، ولا يستطيع الماسح الذي ينظر إلى موقعك من الخارج فقط رؤية الملفات أو المستخدمين أو صفوف قاعدة البيانات. أما الفحص من جهة الخادم، مع مقارنة الملفات ومراجعة قاعدة البيانات، فيغطي أكثر.

أشياء تبدو كاختراق لكنها غالبًا ليست كذلك

• ملفات تغيّرت بعد تحديث. تعيد تحديثات النواة والإضافات والقوالب كتابة الملفات. قارن تاريخ التعديل بسجل تحديثاتك.
• ملفات إضافات التخزين المؤقت والأمان. تحتفظ بعض الإضافات بملفات PHP أو سجلات داخل wp-content. تحقق من الاسم مقابل إضافاتك المثبتة قبل الحذف.
• انخفاض الترتيب. تسببه أيضًا تحديثات الخوارزمية والمنافسون. الانخفاض وحده دليل ضعيف ما لم يرافقه علامة أخرى.

ماذا تفعل بعد ذلك

علامة واحدة مؤكدة تكفي لبدء الإصلاح. خذ نسخة احتياطية، وغيّر كل كلمات المرور، ثم اتبع الخطوات في كيف تصلح موقع ووردبريس مخترقًا. وإذا وجدت شيفرة محقونة، فإن كيف تزيل البرمجيات الخبيثة من موقع ووردبريس يشرح الإزالة بالتفصيل.