Jak sprawdzić, czy moja strona WordPress jest zhakowana? 7 prostych testów

Większość włamań na strony firmowe nie wygląda jak w filmach. Nikt nie podmienia strony głównej na czaszkę. Przeciwnie: włamywacz robi wszystko, żebyś niczego nie zauważył — bo zainfekowana strona zarabia dla niego tylko dopóty, dopóki działa. Spam pokazuje Google, a nie Tobie. Przekierowanie uruchamia tylko dla osób wchodzących z telefonu przez wynik wyszukiwania. Obce konto administratora nazywa się tak, jak Twoja wtyczka. Dlatego „wchodzę na stronę i wszystko wygląda dobrze” nie jest testem. Poniżej siedem testów, które są — i które zrobisz sam, bez programisty, w kwadrans.

Test 1. Zapytaj Google, co widzi pod Twoją domeną

Wpisz w Google: site:twojadomena.pl (bez „www”, bez „https”). Zobaczysz listę wszystkich podstron, które Google ma w indeksie pod Twoją domeną. Przejrzyj ją, zwłaszcza dalsze strony wyników. Szukasz:

• adresów, których nie znasz — losowe katalogi i numery w stylu /ltjmnjp/341.html,
• tytułów po japońsku, chińsku, rosyjsku albo z nazwami leków, markowych butów, kasyn, pożyczek,
• liczby wyników dużo większej niż liczba Twoich podstron (strona firmowa ma ich kilkanaście, nie kilka tysięcy).

Jeśli coś takiego widzisz, masz najprawdopodobniej do czynienia z atakiem opisanym w tekście Japońskie znaki w wynikach Google pod moją stroną. Wariant tego testu: wpisz site:twojadomena.pl viagra albo site:twojadomena.pl casino. Czysta strona zwraca zero wyników.

Test 2. Zobacz stronę oczami Google, nie swoimi

Złośliwy kod bardzo często pokazuje inną treść robotowi Google niż człowiekowi — to tzw. cloaking, który wyjaśniamy w osobnym tekście: Co to jest cloaking i dlaczego nie widzisz spamu na własnej stronie. Żeby zobaczyć to, co widzi Google, potrzebujesz Google Search Console (bezpłatne; jeśli nie masz, załóż — do tego i tak wrócisz w teście 4). W Search Console wpisz adres swojej strony głównej w pole na górze (sprawdzanie adresu URL), wybierz „Testuj URL na żywo”, a potem podgląd wyrenderowanej strony i jej kodu HTML. Porównaj z tym, co widzisz w przeglądarce. Obce linki, obcy tekst, obce skrypty w wersji „dla Google” = infekcja, nawet jeśli w Twojej przeglądarce wszystko wygląda normalnie.

Test 3. Wejdź na stronę tak, jak wchodzi Twój klient

Przekierowania na obce strony uruchamiają się zwykle warunkowo: tylko z telefonu, tylko po kliknięciu w wynik wyszukiwania, tylko raz na dobę dla danej osoby (reszta dostaje ciasteczko i widzi czystą stronę). Ty wchodzisz z komputera, z zakładki, kilkanaście razy dziennie — i nigdy nie trafiasz w warunek. Zrób więc tak:

1. Weź telefon, wyłącz Wi-Fi (żeby wyjść z własnej sieci, którą kod może rozpoznawać po adresie IP).
2. Otwórz przeglądarkę w trybie incognito.
3. Wpisz w Google nazwę swojej firmy i kliknij w wynik — nie wpisuj adresu ręcznie.
4. Poczekaj kilka sekund, przewiń stronę, kliknij w dwie–trzy podstrony.

Jeśli choć raz wylądujesz na stronie z hazardem, „nagrodą”, fałszywą aktualizacją przeglądarki albo sklepem z podróbkami — to nie reklama hostingu, to włamanie. Co dalej, opisujemy w tekście Moja strona przekierowuje na inną stronę.

Test 4. Sprawdź, czy Google i przeglądarki już Cię oznaczyły

Dwa miejsca, dwie minuty:

• Raport przejrzystości Google (Safe Browsing) — wejdź na transparencyreport.google.com/safe-browsing/search i wpisz swoją domenę. Zobaczysz, czy Google uznaje stronę za niebezpieczną. Jeśli tak, Chrome, Firefox i Safari pokazują Twoim klientom czerwony ekran — więcej w tekście Czerwony ekran „Witryna zawiera złośliwe oprogramowanie”.
• Google Search Console → Bezpieczeństwo i ręczne działania → Problemy dotyczące bezpieczeństwa. To tu Google wprost pisze, że wykrył zhakowaną treść, złośliwe oprogramowanie albo przekierowania, i podaje przykładowe adresy. Tu też składa się później wniosek o ponowne sprawdzenie. Jeśli Search Console nie była skonfigurowana, Google nie miał Cię jak powiadomić — stąd tyle firm dowiaduje się o włamaniu od klientów.

Tu sprawdzisz też etykietę „Ta witryna mogła zostać zhakowana”, która pojawia się pod wynikiem w Google i odstrasza klientów skuteczniej niż konkurencja.

Test 5. Zajrzyj do panelu: konta, wtyczki, daty plików

Zaloguj się do panelu WordPressa i sprawdź trzy listy:

• Użytkownicy. Każde konto z rolą Administrator, którego nie rozpoznajesz, to alarm. Zwróć uwagę na konta z nazwami udającymi wtyczki albo system (wp_support, backup_admin, wordpress), z e-mailami w obcych domenach.
• Wtyczki. Szukaj takich, których nie instalowałeś, bez autora i opisu, z nazwą jak losowy ciąg znaków. Włamywacze instalują „wtyczki” będące w rzeczywistości tylnymi drzwiami. Sprawdź też listę wtyczek typu „must-use” (zakładka Must-Use na liście wtyczek) — tam użytkownik zwykle nie zagląda.
• Daty modyfikacji plików. W menedżerze plików na hostingu (albo przez FTP) otwórz katalog strony i posortuj po dacie modyfikacji. Pliki zmienione w nocy, w dniu, w którym nic nie aktualizowałeś, to ślad. Szczególnie podejrzane: pliki .php w katalogu wp-content/uploads (tam powinny być tylko zdjęcia i dokumenty), nowe pliki .htaccess w podkatalogach, zmieniony wp-config.php, index.php albo functions.php motywu.

Uwaga: to test wykrywający, nie naprawczy. Nie kasuj jeszcze niczego — ślady są potrzebne do ustalenia, którędy weszli; bez tego infekcja wraca.

Test 6. Przeczytaj kod źródłowy strony

Otwórz swoją stronę w przeglądarce i wciśnij Ctrl+U. Zobaczysz kod HTML. Nie musisz go rozumieć — użyj wyszukiwania w tej zakładce (Ctrl+F) i sprawdź kilka fraz:

• eval(, base64, unescape(, String.fromCharCode — tak zaciemnia się złośliwe skrypty; w czystej stronie firmowej nie powinny występować (wyjątkiem bywają niektóre skrypty śledzące — jeśli masz wątpliwość, zapisz, gdzie to znalazłeś),
• <iframe z atrybutami width="0", height="0" albo display:none — niewidoczne ramki ładujące obce strony,
• <script src="http — przejrzyj, z jakich domen ładują się skrypty; Google, Facebook, Twój hosting, dostawca czatu są w porządku; domeny z losowych liter, z końcówkami .top, .xyz, .icu — nie,
• display:none w pobliżu list linków — ukryte linki do obcych sklepów i kasyn.

Pamiętaj o teście 2: jeśli kod stosuje cloaking, w Twojej przeglądarce może być czysto, a brudno dopiero w podglądzie z Search Console.

Test 7. Sprawdź pocztę i czarne listy

Zainfekowana strona często służy do rozsyłania spamu — niekoniecznie z Twoich skrzynek, ale z Twojego serwera i Twojej domeny. Objawy: klienci mówią, że Twoje maile trafiają do spamu; przychodzą zwroty wiadomości, których nie wysyłałeś; hosting pisze o „nadużyciu”. Wpisz swoją domenę w bezpłatne narzędzie sprawdzające czarne listy (np. MXToolbox, zakładka Blacklists). Jeśli domena albo adres IP serwera figurują na listach — ktoś wysyła z nich spam, a strona jest najczęstszym punktem wyjścia. Hosting w takiej sytuacji zwykle blokuje konto; co wtedy robić, opisujemy w tekście Hosting zablokował moją stronę z powodu malware.

Wynik: ile testów wyszło źle?

Zero — dobrze, ale powtórz testy za miesiąc i po każdej aktualizacji wtyczek. Dodaj stronę do Search Console, jeśli jeszcze jej tam nie ma — wtedy Google powiadomi Cię sam. Jeden lub więcej — strona jest najprawdopodobniej zainfekowana. Kolejność działań w pierwszej godzinie:

1. Nie kasuj plików i nie przywracaj kopii zapasowej na ślepo. Kopia sprzed włamania ma tę samą lukę; bez ustalenia drogi ataku infekcja wraca w ciągu dni.
2. Zmień hasła do panelu WordPressa, hostingu i FTP/SFTP — z innego komputera niż ten, z którego logujesz się na co dzień, jeśli masz taką możliwość.
3. Jeśli strona przekierowuje klientów na niebezpieczne treści, włącz tryb konserwacji albo poproś hosting o tymczasowe wyłączenie strony.
4. Zrób zrzuty ekranu wszystkiego, co znalazłeś w testach — to oszczędza godziny diagnozy.
5. Zleć czyszczenie komuś, kto usunie kod razem z luką, zdejmie ostrzeżenia Google i blokadę hostingu i odda raport. Tak wygląda to u nas: czyszczenie strony po włamaniu, jedna stała kwota po analizie.

Dlaczego to w ogóle się dzieje

Nie dlatego, że ktoś się na Ciebie uwziął. Ataki na strony firmowe są automatyczne: boty przeczesują internet w poszukiwaniu stron z konkretną, znaną luką — zwykle w przestarzałej wtyczce — i infekują wszystko, co znajdą. Strona warsztatu w małym mieście jest dla nich tak samo dobra jak sklep z milionowym ruchem, bo liczy się moc serwera i reputacja domeny, nie Twoja branża. Skąd biorą się te luki i czy da się ich uniknąć, zostając na WordPressie, piszemy w tekście Czy WordPress jest bezpieczny?.