عمليات غريبة شغالة على السيرفر، شركة الاستضافة قالت "نظفوها" — أبدأ منين؟

عندي صار نفس الشي السنة اللي فاتت، دخلوا عن طريق exploit في plugin ووردبريس. وقتها عملت استعلام بـ wpdb، لقيتهم ضافوا حساب أدمن في جدول wp_users. على كل حال مسحت الأدمن بس لسه في كود shell في نظام الملفات، ملف .jpg بس كان في الحقيقة ملف تنفيذي. شركة الاستضافة قالت خلصنا الموضوع...

عشان تلاقي الـ Webshell شغل هالأمر find: find /var/www -name '*.php' -newermt '3 months ago' | xargs file | grep 'PHP script'. في سجلات الوصول، فلتر طلبات POST، خصوصاً نقاط رفع الملفات. تقدر تشغل WPScan لفحص الثغرات بس عزل الشبكة مهم الأول. تأكد من روابط siteurl و home في جدول wp_options في قاعدة البيانات، يمكن يكونوا غيروها.

يا إلهي، الوضع سيء جداً... على أي حال، يبدو أنك مرعوب. أول شي لازم تسويه فعلاً هو أخذ نسخة احتياطية، بعدين عطّل الـ plugins والـ themes واحد واحد... ادخل على لوحة تحكم ووردبريس وتأكد من المستخدمين... يمكن يكونوا ضافوا حساب أدمن جديد. بعدين ركّب إضافة أمنية وحدّث ووردبريس. إذا صار المشكلة مرة ثانية بعد فترة، تواصل مع شركة الاستضافة.

فكّر فيها كأنها مراجعة للأمن السيبراني: 1) اقطع حركة الشبكة، 2) خذ snapshot للنظام، 3) ابحث عن الثغرات (web shell، مستخدم قاعدة بيانات، cron job)، 4) حدد طريقة الدخول (أي plugin، أي حساب، متى)، 5) الحذف والاستعادة. في ووردبريس عادةً السبب يكون عدم تحديث الـ plugins أو كلمة مرور ضعيفة. الأسبوع اللي فات صار عندنا نفس الشي في موقع، كان باسورد قاعدة البيانات مكتوب بشكل ثابت في wp-config.php و phpmyadmin مفتوح...

حسيت الموضوع غريب شوي، شركة الاستضافة تخبرك مباشرة إذا في كود خبيث؟ يعني اكتشفوه في أنظمتهم. إذا قدرت تدخل على SSH، يعني لسه عندك صلاحية دخول... هل قدرت تدخل على قاعدة البيانات وتطلع عليها؟ يعني الـ exploit لسه شغال، ولا بس نسوا الـ shell؟ متى آخر backup أخذته؟ إذا تبي ترجع للنسخة القديمة، تقدر تستعيد من backup قديم؟

لا لا، اختراق ووردبريس.. لكن شي مزعج جداً. بس خلّيها بسيطة: ارجع لآخر backup. استعد قاعدة البيانات MySQL والملفات. بعدين حدّث كل شي في ووردبريس. على كل حال كذا تتنظف تماماً. وخلّي شركة الاستضافة تتأكد هي كمان، تواصل معهم.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

صححوا لي إن أخطأت.

دعني أترك تنبيهًا. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ. بالتوفيق.

تم الحفظ.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أنت محق. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

لو كنت مكانك، لسلك هذا المسار.

الإجابة أعلاه لخصت جوهر الأمر. محاولة فعل هذا بمفردك هي أغلى الطرق.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

زالت حيرتي، شكراً لكم.

لم أكن أعلم بهذا.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

أنت محق، لقد مررت بنفس المسار. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

ليس لدي خبرة في فيروس على السيرفر، لذا أسأل. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنت محق. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.