اختراق موقع ووردبريس: علامات تدل عليه، ثم الخطوات بالترتيب: نسخة احتياطية، عزل، فحص بالمحتوى، حذف المديرين الدخلاء، تغيير المفاتيح، ومراجعة جوجل.
- شركة برمجيات مصرية منذ 2010
- دعم فني على واتساب
الإجابة المختصرة: اختراق موقع ووردبريس يظهر عادةً في صورة روابط أو صفحات غريبة تحت اسم موقعك في نتائج جوجل، أو تحويل الزائر إلى موقع آخر، أو مستخدم مدير لا تعرفه. إذا حدث ذلك فلا تبدأ بالحذف العشوائي. خذ نسخة من الحالة الحالية، واعزل الموقع، وغيّر كلمات المرور من جهاز نظيف، وافحص الملفات وقاعدة البيانات بحثًا عن المحتوى الضار لا عن أسماء الملفات، ثم أزل المستخدمين الدخلاء، وبدّل مفاتيح التشفير، وراجع المهام المجدولة، وبعد ذلك اطلب مراجعة جوجل.
علامات اختراق موقع ووردبريس: ما الذي تراه فعلًا
ليس كل اختراق ظاهرًا. بعضه يترك الصفحة الرئيسية سليمة تمامًا، ويعمل في الخلفية أو يظهر لزوار محركات البحث فقط. الجدول التالي يربط العلامة بأقرب تفسير وبفحص سريع تجريه بنفسك:
| العلامة | التفسير المحتمل | فحص سريع |
|---|---|---|
| صفحات بلغة أجنبية أو عن المقامرة والأدوية تظهر باسم موقعك في جوجل | حقن محتوى في الصفحات أو في قاعدة البيانات | اكتب site:نطاقك.com في جوجل وتصفح النتائج |
| التحويل إلى موقع آخر على الجوال فقط أو من نتائج البحث فقط | شيفرة تستهدف فئة معينة من الزوار وتخفي نفسها عن المالك | افتح موقعك من هاتف عبر نتيجة بحث، لا بالكتابة المباشرة |
| مستخدم بدور مدير لا تعرفه، غالبًا باسم عشوائي وبريد غير مفهوم | حساب أنشأه المخترق ليعود | افتح المستخدمين وصفِّ القائمة بحسب الدور |
| ملفات تغيّر تاريخها دون أن تلمسها، أو ملفات PHP داخل مجلد الرفع | باب خلفي أو واجهة تحكم مرفوعة | اطلب من الاستضافة قائمة الملفات المعدلة حديثًا |
| تعليق الحساب من الاستضافة أو رسالة عن استهلاك غير طبيعي | إرسال بريد مزعج أو هجمات تُدار من موقعك | اقرأ نص الرسالة وسجلات الاستهلاك |
| تحذير أمني في Search Console أو تنبيه يظهر للزائر في نتائج البحث | جوجل اكتشف المشكلة قبلك | افتح تقرير مشكلات الأمان |
أخطر ما في الحقن داخل قاعدة البيانات أن الماسحات التي تفحص الملفات فقط لا تراه؛ فالمحتوى الضار يُخزَّن داخل المقالات نفسها. لذلك لا تطمئن لأن «الماسح لم يجد شيئًا» إن كانت العلامات ظاهرة.
أخطاء الساعة الأولى
كثير من المواقع تعاود الإصابة لأن صاحبها تعجّل. تجنب هذه الأربع:
- حذف الموقع كله ثم إعادة تثبيته: تخسر البيانات والأدلة، والباب نفسه يبقى مفتوحًا فيعود المخترق.
- استعادة نسخة قديمة دون معرفة تاريخ الإصابة: قد تكون النسخة مصابة هي الأخرى، وقد تعيد الثغرة نفسها.
- الاعتماد على إضافة أمان واحدة: تنظف ما تعرفه وتترك ما لا تعرفه.
- تغيير كلمة مرور لوحة ووردبريس فقط: بينما حسابات الاستضافة وFTP وقاعدة البيانات هي ما استُخدم غالبًا.
الخطوات بالترتيب
1. نسخة احتياطية للحالة المصابة
قبل أي تغيير، خذ نسخة كاملة من الملفات وقاعدة البيانات كما هي الآن واحفظها خارج الخادم. ليست لتعيد بها الموقع، بل لتعود إليها إن أخطأت في التنظيف ولتحلل منها كيف حدث الاختراق. وابحث بالتوازي عن آخر نسخة نظيفة معروفة التاريخ عند الاستضافة.
2. العزل وتغيير الأسرار
ضع الموقع في وضع الصيانة أو احجب الدخول إليه مؤقتًا، خاصة إذا كان يرسل بريدًا مزعجًا أو يحوّل الزوار. ثم، من جهاز تثق به، غيّر كلمات المرور التالية: لوحة الاستضافة، وFTP وSSH، وقاعدة البيانات (وحدّث ملف الإعدادات بالكلمة الجديدة)، والبريد المرتبط بالمدير، وكل حساب مدير. وإن كان الموقع يتصل بخدمات خارجية عبر مفاتيح واجهات برمجية فأبطلها وأصدر غيرها.
3. معرفة مدخل الاختراق
اسأل ما الذي تغير قبل الإصابة: إضافة قديمة، أو قالب منسوخ، أو كلمة مرور مسرّبة، أو موقع آخر على الحساب نفسه. اطلب سجلات الوصول من الاستضافة. إن لم تعرف المدخل فسيعود المخترق بعد التنظيف.
التنظيف: افحص المحتوى لا اسم الملف
المخترقون يسمّون ملفاتهم بأسماء تشبه ملفات ووردبريس، ويضعونها في أماكن مألوفة. لذلك لا يكفي البحث عن اسم غريب، بل افحص ما بداخل الملف.
الملفات
- قارن ملفات ووردبريس الأساسية بالنسخة الرسمية: يقوم الأمر
wp core verify-checksumsبمقارنتها بقيم التحقق المنشورة على WordPress.org ويُبلغ عن كل ملف تغيّر. وبالمثلwp plugin verify-checksums --allللإضافات المنشورة هناك. - استبدل ملفات النواة والإضافات والقوالب الأصلية بنسخ جديدة من مصدرها الرسمي، ولا تنظّف ملفاتها يدويًا.
- ابحث في المجلدات بالمحتوى لا باسم الملف عن الدوال التي تفك الترميز وتنفّذ نصًا مخفيًا، وهي معروفة لدى مختصي الأمان، وراجع كل نتيجة بنفسك، فبعض الإضافات المشروعة تستعمل بعضها. وإن لم تكن متأكدًا من نتيجة ما فاطلب مراجعتها من مختص.
- أي ملف PHP داخل مجلد الرفع
uploadsمشبوه حتى يثبت العكس، إذ لا يفترض أن يكون هناك. - افحص ملف
wp-config.phpوملف.htaccessومجلد الإضافات الإلزاميةmu-plugins، فهي أماكن مفضلة للإخفاء، لأن الإضافات الإلزامية تعمل تلقائيًا دون تفعيل من اللوحة.
قاعدة البيانات
خذ نسخة من قاعدة البيانات قبل أي تعديل. ثم ابحث في جدول المقالات عن وسوم script وiframe وروابط غريبة وكلمات المقامرة والأدوية، وراجع جدول الخيارات، خاصة عنوان الموقع والإضافات المفعّلة والودجات، فهناك يُخفى الحقن الذي لا يراه ماسح الملفات. احذف ما يثبت أنه دخيل، ولا تحذف ما لم تتأكد منه.
وإذا كان لنفس الحساب مواقع أخرى أو نسخ قديمة منسية على الخادم، فافحصها كلها. يكفي موقع واحد مهمل ليعيد العدوى إلى البقية. وأزل أي إضافة أو قالب منسوخ غير أصلي (nulled) بلا استثناء، فكثير منها يأتي ومعه الباب الخلفي.
المستخدمون والمفاتيح والمهام المجدولة
- المستخدمون المديرون: اعرضهم بالأمر
wp user list --role=administratorأو من اللوحة، واحذف كل حساب لا تعرفه. قارن ما تراه في اللوحة بالجدول في قاعدة البيانات، فبعض البرمجيات الضارة تخفي الحساب من الشاشة. وراجع كلمات مرور التطبيقات (Application Passwords) في صفحة الملف الشخصي لكل مدير. - مفاتيح التشفير (Salts): بعد التنظيف ولّد مفاتيح جديدة من
api.wordpress.org/secret-key/1.1/salt/وضعها فيwp-config.php. تغييرها يلغي كل ملفات تعريف الارتباط القائمة، فيُجبر كل مستخدم، بمن فيهم المخترق إن كانت جلسته مفتوحة، على تسجيل الدخول من جديد. - المهام المجدولة: اعرض مهام ووردبريس بالأمر
wp cron event listوابحث عن مهام بأسماء لا تعرفها، وراجع مع الاستضافة مهام cron على مستوى الخادم. قد يزرع المخترق مهمة تعيد زرع الملف الضار بعد حذفه بساعات.
بعد ذلك حدّث ووردبريس والإضافات والقالب كلها، واحذف ما لا تستعمله. اقرأ دليل حماية الموقع من الاختراق لقائمة الإجراءات الدائمة، والإضافات الأساسية لووردبريس لتختار ما يلزمك فقط.
طلب المراجعة من جوجل ومراقبة إعادة الإصابة
إن ظهر تحذير في Search Console، فاتبع هذه الخطوات: افتح تقرير مشكلات الأمان، وتحقق من الروابط النموذجية المذكورة، وأصلح المشكلة في الموقع كله، ثم اطلب المراجعة. توضح مساعدة Search Console أن تقديم الطلب لا يجوز إلا بعد إصلاح كل المشكلات في كل الصفحات، وأن تشرح فيه المشكلة وما فعلته والنتيجة، وألا تعيد الإرسال قبل أن يصلك القرار. وقد تستغرق المراجعة من أيام إلى أسابيع. وللمزيد عن التقارير اقرأ دليل Google Search Console.
وراقب الموقع بعد التنظيف أسبوعين على الأقل: أعد فحص قائمة المديرين كل يوم في الأسبوع الأول، وتأكد أن الملفات الأساسية لم تتغير، وأن لا مهام جديدة ظهرت، وأن النتائج في جوجل تعود نظيفة تدريجيًا.
الوقاية، ومتى تستعين بمختص
من أكثر المداخل شيوعًا في الممارسة: ثغرة في إضافة أو قالب قديم، أو كلمة مرور ضعيفة أو مُعاد استخدامها، أو إضافة منسوخة. الإجراءات الدائمة المنطقية:
- تحديث النواة والإضافات والقوالب بانتظام، وحذف ما لا يُستخدم.
- كلمات مرور فريدة، وتفعيل التحقق بخطوتين للمديرين، وأقل صلاحية تكفي كل مستخدم.
- تعطيل محرر الملفات داخل اللوحة بإضافة
DISALLOW_FILE_EDITإلىwp-config.php، مع العلم أنه لا يمنع رفع ملف ضار. - صلاحيات ملفات مقيّدة، بحيث لا يُكتب إلا في المجلدات التي تحتاجها الإضافات فعلًا.
- نسخ احتياطية منتظمة تشمل الملفات وقاعدة البيانات، محفوظة في أكثر من مكان، مع تجربة الاستعادة فعليًا. وتجد خطوات النقل والاستعادة في دليل نقل الموقع.
لا تنظف بنفسك إذا كان الموقع متجرًا يستقبل مدفوعات أو يحفظ بيانات عملاء، أو إذا تكررت الإصابة بعد تنظيفين، أو إذا لم تصل إلى المدخل. في هذه الحالات يحتاج الأمر إلى فحص الخادم نفسه، لا الموقع وحده. تواصل معنا عبر صفحة التواصل، أو اطلع على خدمات برمجة المواقع إن أردت إعادة بناء الموقع على أساس أنظف.
اقرأ أيضًا: إن ظهر تحذير من جوجل أو من المتصفح لزوار موقعك فراجع خطوات التنظيف وطلب المراجعة عند تحذير الموقع المخادع.
أسئلة شائعة
كيف أعرف أن موقعي ووردبريس مخترق؟
ابحث عن صفحات غريبة تحت اسم موقعك في جوجل بكتابة site: قبل النطاق، وجرّب فتح الموقع من نتيجة بحث على الجوال، وراجع قائمة المستخدمين المديرين، وافتح Search Console لترى مشكلات الأمان. ظهور أي من هذه العلامات يستدعي الفحص.
هل يكفي حذف الملف الضار وانتهى الأمر؟
لا. الملف الضار نتيجة وليس السبب. قد يكون هناك باب خلفي آخر، أو مستخدم مدير دخيل، أو مهمة مجدولة تعيد زرعه، أو حقن داخل قاعدة البيانات. لا ينتهي التنظيف إلا بتتبع المدخل وسده وتبديل كل كلمات المرور والمفاتيح.
هل استعادة نسخة احتياطية قديمة تحل المشكلة؟
قد تحلها إن كانت النسخة نظيفة فعلًا وتعرف تاريخها، لكنها تعيد الثغرة القديمة نفسها ما لم تحدّث بعدها. خذ نسخة من الحالة المصابة أولًا، ثم استعد النسخة النظيفة، وحدّث كل شيء، وغيّر كلمات المرور والمفاتيح قبل فتح الموقع.
كم تستغرق مراجعة جوجل بعد التنظيف؟
تذكر مساعدة Search Console أن المراجعة قد تستغرق أيامًا أو أسابيع. اطلبها بعد إصلاح كل المشكلات في كل الصفحات، واشرح فيها ما حدث وما أصلحته، ولا تعد الإرسال قبل وصول القرار، لأن إرسالها قبل الإصلاح يطيل الانتظار.
كيف أمنع تكرار الاختراق؟
حدّث النواة والإضافات والقوالب، واحذف غير المستخدم، وتجنب أي إضافة أو قالب منسوخ، واستخدم كلمات مرور فريدة مع التحقق بخطوتين، وقلل عدد المديرين، وخذ نسخًا احتياطية خارج الخادم، وراجع المستخدمين والملفات المعدلة بصفة دورية.
خدمات مرتبطة
- تصميم مواقع الشركات في مصر
- إنشاء متجر إلكتروني
- برمجة مواقع وأنظمة خاصة
- ايميل رسمي للشركات
- أتمتة واتساب للشركات
- نظام شركات السياحة
