مقدمه

وقتی هسته وردپرس یک سایت آلوده شده است، پاک کردن چند فایل مشکوک معمولاً روش مطمئنی برای پاکسازی نیست. ممکن است مهاجم فایل‌های اصلی وردپرس را تغییر داده باشد یا فایل‌های مخرب جدیدی در بخش‌های مختلف سایت ایجاد کرده باشد.

در چنین شرایطی، یکی از مطمئن‌ترین روش‌ها این است که فایل‌های هسته وردپرس را با یک نسخه سالم و اصلی جایگزین کنیم.

نکته مهم این است که در این روش قرار نیست سایت را از صفر نصب کنیم. اطلاعات سایت، نوشته‌ها، کاربران، تنظیمات و اطلاعات فروشگاه در پایگاه داده قرار دارند و فایل‌های رسانه‌ای نیز معمولاً داخل wp-content/uploads هستند. بنابراین با جایگزینی صحیح هسته وردپرس، این اطلاعات حفظ می‌شوند.

راهنمای رسمی وردپرس نیز برای به‌روزرسانی دستی، جایگزینی wp-admin و wp-includes و فایل‌های اصلی ریشه وردپرس را توصیه می‌کند و تأکید دارد که پوشه wp-content نباید به‌صورت کامل حذف شود.

در ادامه، پاکسازی را از ابتدا تا پایان و به‌ترتیب انجام می‌دهیم.

مرحله ۱: قبل از هر کاری از سایت نسخه پشتیبان بگیرید

اولین کار، تهیه نسخه پشتیبان کامل است.

از دو بخش نسخه پشتیبان تهیه کنید:

• تمام فایل‌های سایت
• پایگاه داده MySQL

اگر از cPanel استفاده می‌کنید، می‌توانید فایل‌ها را از طریق File Manager یا FTP/SFTP دریافت کنید و از پایگاه داده نیز با phpMyAdmin یا ابزار Backup هاست نسخه پشتیبان بگیرید.

این نسخه را روی کامپیوتر یا یک فضای ذخیره‌سازی جداگانه نگهداری کنید.

حتی اگر سایت کاملاً آلوده است، این نسخه را حذف نکنید. ممکن است هنگام پاکسازی به فایلی نیاز پیدا کنید یا در صورت بروز مشکل مجبور شوید بخشی از اطلاعات را بررسی کنید.

Wordfence نیز تهیه نسخه پشتیبان از فایل‌ها و پایگاه داده را قبل از شروع پاکسازی ضروری می‌داند.

مرحله ۲: رمزهای عبور را تغییر دهید

اگر سایت هک شده باشد، احتمال دارد مهاجم به یکی از حساب‌های شما دسترسی پیدا کرده باشد.

قبل از ادامه کار، رمزهای عبور مهم را تغییر دهید:

• حساب‌های مدیر وردپرس
• کنترل پنل هاست
• FTP یا SFTP
• حساب دیتابیس در صورت امکان
• ایمیل‌های مدیریتی

اگر چند کاربر مدیر در وردپرس دارید، همه آن‌ها را بررسی کنید.

در صورتی که یک حساب مدیر ناشناس وجود دارد، آن را شناسایی و حذف کنید.

تغییر رمز عبور اهمیت زیادی دارد؛ زیرا اگر فقط فایل‌های آلوده را پاک کنید اما مهاجم همچنان رمز عبور معتبر داشته باشد، ممکن است دوباره سایت را آلوده کند. Wordfence نیز تغییر تمام رمزهای عبور را بخشی از فرآیند پاکسازی می‌داند.

مرحله ۳: نسخه سالم همان نسخه وردپرس را دریافت کنید

اکنون باید یک نسخه سالم از وردپرس داشته باشیم.

به سایت رسمی وردپرس بروید و فایل ZIP نسخه موردنظر را دریافت کنید.

برای مثال اگر سایت شما از یک نسخه مشخص استفاده می‌کند، بهتر است ابتدا همان نسخه را تهیه کنید؛
برای پی بردن به نسخه فعلی هسته وردپرس نصب شده در وب سایت آلوده به مسیر پوشه wp-includes و سپس فایل version.php بروید. اگر محتویات این فایل را مشاهده کنید نسخه هسته وردپرس در این فایل در مقابل متغییر $wp_version نوشته شده است.
سپس بعد از پاکسازی می‌توانید وردپرس را به آخرین نسخه سازگار ارتقا دهید.

فایل وردپرس را فقط از منبع رسمی دریافت کنید:

دانلود رسمی WordPress

یا نسخه فارسی:

دانلود رسمی وردپرس فارسی

فایل ZIP دانلودشده را روی کامپیوتر خود Extract کنید.

داخل آن معمولاً پوشه‌ای به نام wordpress وجود دارد.

مرحله ۴: افزونه‌ها را غیرفعال کنید

قبل از جایگزینی هسته، افزونه‌های وردپرس را غیرفعال کنید.

اگر به پیشخوان دسترسی دارید:

پیشخوان وردپرس → افزونه‌ها → افزونه‌های نصب‌شده

تمام افزونه‌ها را غیرفعال کنید.

اگر به پیشخوان دسترسی ندارید، می‌توانید از File Manager یا SSH نام پوشه plugins را موقتاً تغییر دهید.

برای مثال:

wp-content/plugins

را به:

wp-content/plugins-old

تغییر دهید.

پس از پایان پاکسازی می‌توان این نام را به حالت قبلی برگرداند.

مرحله ۵: وارد پوشه اصلی وردپرس شوید

اکنون وارد File Manager هاست شوید.

مسیر سایت ممکن است مثلاً این باشد:

public_html

یا:

/home/user/public_html

اگر وردپرس در دامنه دیگری نصب شده باشد، ممکن است مسیر متفاوت باشد.

برای اطمینان، باید همان پوشه‌ای را پیدا کنید که فایل‌هایی مانند این در آن قرار دارند:

wp-admin
wp-content
wp-includes
wp-config.php
wp-login.php
wp-settings.php
index.php

این همان Root Directory وردپرس است.

مرحله ۶: دو پوشه اصلی آلوده را حذف کنید

اکنون مهم‌ترین بخش پاکسازی شروع می‌شود.

در مسیر اصلی وردپرس، دو پوشه زیر را پیدا کنید:

wp-admin
wp-includes

این دو پوشه متعلق به هسته وردپرس هستند.

اگر هسته سایت آلوده شده است، به‌جای اینکه فایل‌های داخل آن‌ها را یکی‌یکی پیدا و پاک کنیم، کل این دو پوشه را حذف می‌کنیم.

بنابراین:

wp-admin

را حذف کنید.

سپس:

wp-includes

را حذف کنید.

اما فعلاً به wp-content دست نزنید.

این دقیقاً با روش به‌روزرسانی دستی وردپرس هم‌راستا است؛ مستندات رسمی وردپرس توصیه می‌کنند wp-admin و wp-includes حذف و نسخه جدید آن‌ها جایگزین شود.

مرحله ۷: فایل‌های اصلی ریشه وردپرس را جایگزین کنید

اکنون داخل پوشه wordpress که از فایل ZIP رسمی استخراج کرده‌اید بروید.

فایل‌هایی مانند موارد زیر را خواهید دید:

index.php
wp-activate.php
wp-blog-header.php
wp-comments-post.php
wp-cron.php
wp-links-opml.php
wp-load.php
wp-login.php
wp-mail.php
wp-settings.php
wp-signup.php
wp-trackback.php
xmlrpc.php

و فایل‌های دیگری که همراه نسخه وردپرس ارائه شده‌اند.

این فایل‌ها متعلق به هسته وردپرس هستند.

فایل‌های اصلی نسخه سالم را به Root سایت منتقل کنید و اجازه دهید فایل‌های قبلی با نسخه سالم جایگزین شوند.

به زبان ساده:

فایل سالم وردپرس → جایگزین فایل آلوده وردپرس

مرحله ۸: فایل wp-config.php را حذف نکنید

در زمان جایگزینی فایل‌های وردپرس، یک فایل بسیار مهم وجود دارد:

wp-config.php

این فایل را حذف نکنید.

اطلاعات اتصال وردپرس به دیتابیس داخل آن قرار دارد.

برای مثال اطلاعاتی مانند:

define( 'DB_NAME', 'database_name' );
define( 'DB_USER', 'database_user' );
define( 'DB_PASSWORD', 'database_password' );
define( 'DB_HOST', 'localhost' );

در این فایل قرار دارند.

اگر فایل ZIP رسمی وردپرس را باز کنید، فایل wp-config.php معمولاً داخل آن وجود ندارد و فایل نمونه‌ای مانند wp-config-sample.php وجود دارد.

بنابراین فایل wp-config.php موجود در سایت شما باقی می‌ماند.

اما یک نکته بسیار مهم وجود دارد:

چون سایت هک شده، wp-config.php نیز باید بررسی شود.

اگر داخل آن کدهای ناشناس، eval، کدهای رمزگذاری‌شده، base64_decode یا دستورات غیرعادی مشاهده کردید، قبل از حذف یا تغییر آن حتماً یک نسخه پشتیبان از فایل نگه دارید و کد را بررسی کنید.

Wordfence نیز wp-config.php را فایلی می‌داند که نباید بدون بررسی حذف شود، زیرا حذف آن باعث از کار افتادن نصب وردپرس می‌شود.

مرحله ۹: به wp-content دست نزنید؛ اما آن را پاکسازی کنید

حالا هسته وردپرس سالم شده است، اما هنوز کار تمام نشده است.

پوشه زیر را داریم:

wp-content

این پوشه مهم است، زیرا معمولاً شامل موارد زیر است:

wp-content/plugins
wp-content/themes
wp-content/uploads

بنابراین کل wp-content را حذف نکنید.

راهنمای رسمی وردپرس نیز تأکید می‌کند که پوشه موجود wp-content نباید حذف شود، زیرا قالب‌ها، افزونه‌ها و فایل‌های سایت در آن قرار دارند.

اکنون باید قسمت‌های داخل آن را جداگانه پاکسازی کنیم.

مرحله ۱۰: افزونه‌های آلوده را حذف و دوباره نصب کنید

به این مسیر بروید:

wp-content/plugins

اگر احتمال می‌دهید سایت به‌طور جدی آلوده شده است، به فایل‌های فعلی افزونه‌ها اعتماد نکنید.

ابتدا نام افزونه‌های مورد استفاده سایت را مشخص کنید.

سپس افزونه‌ها را از منابع معتبر دوباره تهیه کنید.

برای افزونه‌های رایگان، از مخزن رسمی WordPress استفاده کنید.

برای افزونه‌های تجاری، نسخه اصلی را از سایت سازنده تهیه کنید.

در صورت پاکسازی جدی، روش بهتر این است که پوشه هر افزونه را به‌صورت کامل حذف کنید و نسخه سالم همان افزونه را دوباره نصب کنید.

مثلاً اگر افزونه‌ای به نام:

example-plugin

دارید، کل این پوشه را حذف کنید:

wp-content/plugins/example-plugin

و فقط چند فایل داخل آن را حذف نکنید.

Wordfence نیز توصیه می‌کند در صورت حذف فایل‌های یک افزونه، کل پوشه افزونه حذف شود؛ زیرا حذف تعدادی فایل از داخل افزونه می‌تواند باعث خراب شدن آن شود.

مرحله ۱۱: قالب آلوده را با نسخه سالم جایگزین کنید

اکنون به مسیر زیر بروید:

wp-content/themes

قالب فعال سایت را مشخص کنید.

اگر قالب از منبع معتبر دریافت شده، نسخه سالم آن را از همان منبع دانلود کنید.

سپس قالب فعلی را با نسخه سالم جایگزین کنید.

اگر سایت دارای Child Theme است، آن را با قالب اصلی اشتباه نگیرید.

برای مثال ممکن است داشته باشید:

themes/
├── astra/
└── astra-child/

در این حالت ممکن است سایت از astra-child استفاده کند و حذف آن باعث از بین رفتن تغییرات اختصاصی سایت شود.

بنابراین قبل از حذف قالب، از آن نسخه پشتیبان تهیه کنید.

مرحله ۱۲: پوشه uploads را بررسی کنید

یکی از محل‌هایی که در سایت‌های هک‌شده باید با دقت بررسی شود، این مسیر است:

wp-content/uploads

در این پوشه معمولاً تصاویر و فایل‌های رسانه‌ای سایت قرار دارند.

بنابراین نمی‌توان کل آن را حذف کرد.

اما باید دنبال فایل‌های غیرعادی باشید.

برای مثال وجود فایل‌های PHP ناشناس در این پوشه بسیار مشکوک است:

uploads/shell.php
uploads/cache.php
uploads/abc123.php

در حالت معمول، فایل‌های رسانه‌ای وردپرس تصاویر و فایل‌های آپلودشده هستند و وجود فایل PHP ناشناس در این مسیر نیاز به بررسی جدی دارد.

Wordfence نیز uploads را یکی از محل‌هایی معرفی می‌کند که در پاکسازی سایت آلوده باید بررسی شود.

مرحله ۱۳: فایل‌های اضافی داخل wp-admin و wp-includes را بررسی کنید

پس از جایگزینی هسته، یک مزیت مهم داریم:

wp-admin و wp-includes اکنون از نسخه رسمی و سالم وردپرس آمده‌اند.

بنابراین اگر بعداً فایل PHP ناشناسی در این دو مسیر مشاهده شد، باید بسیار جدی بررسی شود.

Wordfence نیز اشاره می‌کند که این دو پوشه معمولاً نباید فایل‌های جدید و ناشناس زیادی داشته باشند و وجود فایل‌های اضافی در آن‌ها می‌تواند نشانه آلودگی باشد.

مرحله ۱۴: فایل .htaccess را بررسی کنید

در Root سایت ممکن است فایل زیر وجود داشته باشد:

.htaccess

این فایل را کورکورانه حذف نکنید.

اما چون سایت هک شده است، محتوای آن را بررسی کنید.

اگر مواردی مانند ریدایرکت به دامنه‌های ناشناس، قوانین عجیب Rewrite یا کدهایی که خودتان ایجاد نکرده‌اید مشاهده کردید، باید آن‌ها را بررسی کنید.

اگر مطمئن هستید سایت از قوانین خاصی در .htaccess استفاده نمی‌کند، می‌توان این فایل را پس از تهیه نسخه پشتیبان بازسازی کرد.

مرحله ۱۵: سایت را باز کنید

اکنون باید وضعیت سایت را بررسی کنید.

صفحه اصلی را باز کنید:

https://example.com

سپس وارد مدیریت شوید:

https://example.com/wp-admin

اگر سایت بالا آمد، یعنی هسته وردپرس با موفقیت جایگزین شده است.

در این مرحله ممکن است وردپرس از شما بخواهد پایگاه داده را به‌روزرسانی کنید.

قبل از انجام تغییرات مهم، مطمئن شوید نسخه پشتیبان دیتابیس را در اختیار دارید.

مرحله ۱۶: Wordfence را نصب کنید

حالا که هسته وردپرس را با فایل‌های سالم جایگزین کرده‌ایم، نوبت بررسی کامل سایت است.

افزونه Wordfence را نصب و فعال کنید.

سپس به:

Wordfence → Scan

بروید و اسکن را اجرا کنید.

Wordfence می‌تواند فایل‌های هسته، افزونه‌ها و قالب‌های موجود در منابع شناخته‌شده را با نسخه اصلی مقایسه کند و تغییرات غیرمجاز را نمایش دهد.

مرحله ۱۷: نتایج Wordfence را یکی‌یکی پاکسازی کنید

بعد از اسکن ممکن است موارد زیادی مشاهده کنید.

برای هر مورد، ابتدا نوع مشکل را بررسی کنید.

اگر Wordfence اعلام کرد یک فایل اصلی وردپرس تغییر کرده است، می‌توانید تفاوت فایل فعلی با نسخه اصلی را مشاهده کنید.

اگر مشخص شد تغییرات مخرب هستند، از گزینه Repair استفاده کنید.

گزینه Repair فایل را با نسخه اصلی جایگزین می‌کند.

اگر فایل کاملاً مخرب و ناشناس است و به سایت تعلق ندارد، می‌توانید آن را حذف کنید.

اما فایل‌های قالب اختصاصی یا افزونه‌های اختصاصی را بدون بررسی حذف نکنید.

Wordfence نیز هشدار می‌دهد که Repair کردن فایل‌های سفارشی ممکن است تغییرات قانونی برنامه‌نویس را از بین ببرد.

مرحله ۱۸: اسکن با حساسیت بالا را اجرا کنید

بعد از پاکسازی نتایج اولیه، دوباره اسکن کنید.

در Wordfence می‌توانید از تنظیمات Scan، حالت High Sensitivity را فعال کنید تا اسکن عمیق‌تری انجام شود.

این اسکن ممکن است زمان بیشتری نیاز داشته باشد، اما برای سایتی که قبلاً آلوده شده است، ارزش انجام دادن دارد.

Wordfence نیز پس از پاکسازی اولیه اجرای یک اسکن عمیق‌تر را توصیه می‌کند.

مرحله ۱۹: نصب‌های قدیمی وردپرس را پیدا و حذف کنید

این مرحله بسیار مهم است.

کل هاست را بررسی کنید.

ممکن است سایت اصلی شما کاملاً به‌روز باشد اما یک نسخه قدیمی وردپرس در مسیر دیگری قرار داشته باشد.

برای مثال:

public_html/old
public_html/backup
public_html/test
public_html/demo

اگر داخل این پوشه‌ها یک وردپرس قدیمی و قابل دسترسی از اینترنت وجود داشته باشد، مهاجم می‌تواند از همان نسخه آسیب‌پذیر دوباره وارد هاست شود.

Wordfence صراحتاً درباره نصب‌های قدیمی و بکاپ‌هایی که در مسیرهای قابل دسترسی از وب قرار دارند هشدار می‌دهد.

هر نصب وردپرسی که دیگر به آن نیاز ندارید باید حذف شود.

مرحله ۲۰: در صورت داشتن SSH، فایل‌های مشکوک را پیدا کنید

اگر دسترسی SSH دارید، می‌توانید فایل‌هایی که اخیراً تغییر کرده‌اند را پیدا کنید.

ابتدا وارد مسیر سایت شوید:

cd /home/USERNAME/public_html

سپس:

find . -mtime -2 -ls

این دستور فایل‌هایی را که در دو روز اخیر تغییر کرده‌اند نمایش می‌دهد.

اگر زمان تقریبی هک را می‌دانید، می‌توانید عدد را تغییر دهید.

مثلاً برای ۱۰ روز:

find . -mtime -10 -ls

Wordfence نیز استفاده از find برای پیدا کردن فایل‌های اخیراً تغییرکرده را به‌عنوان یکی از روش‌های بررسی سایت هک‌شده پیشنهاد می‌کند.

مرحله ۲۱: فایل‌های PHP مشکوک را بررسی کنید

اگر به SSH دسترسی دارید، می‌توانید فایل‌های PHP را برای الگوهای مشکوک بررسی کنید.

برای مثال:

grep --include="*.php" -rn . -e "base64_decode"

اما توجه کنید که پیدا شدن base64_decode به‌تنهایی به معنی آلوده بودن فایل نیست.

بعضی افزونه‌ها و نرم‌افزارهای سالم نیز ممکن است از توابعی مانند base64_decode استفاده کنند.

بنابراین خروجی این دستور را فقط به‌عنوان سرنخ برای بررسی بیشتر در نظر بگیرید، نه دلیل قطعی آلودگی. Wordfence نیز در راهنمای خود درباره همین موضوع هشدار می‌دهد.

مرحله ۲۲: بعد از پاکسازی دوباره اسکن کنید

پاکسازی را زمانی تمام‌شده در نظر بگیرید که یک اسکن جدید انجام داده باشید و موارد باقی‌مانده را بررسی کرده باشید.

ترتیب کار بهتر است این‌گونه باشد:

هسته سالم → افزونه‌های سالم → قالب سالم → بررسی uploads → بررسی کاربران → بررسی دیتابیس → بررسی نصب‌های قدیمی → اسکن Wordfence → اسکن مجدد

اگر در اسکن دوم هنوز فایل آلوده مشاهده شد، آن فایل را بررسی کنید.

اگر فایل متعلق به یک افزونه یا قالب است، نسخه سالم آن را دوباره نصب کنید.

اگر فایل ناشناس است و هیچ کاربرد قانونی برای آن پیدا نمی‌کنید، پس از تهیه نسخه پشتیبان آن را حذف کنید.

مرحله ۲۳: بعد از پاکسازی، جلوی آلودگی مجدد را بگیرید

پاکسازی زمانی کامل است که مسیر ورود مهاجم نیز بسته شود.

بعد از پاکسازی:

وردپرس را به آخرین نسخه پایدار ارتقا دهید.

تمام افزونه‌ها را به‌روز کنید.

قالب را به‌روز کنید.

افزونه‌ها و قالب‌های بدون استفاده را حذف کنید.

قالب و افزونه نال‌شده را حذف کنید.

رمزهای عبور را تغییر دهید.

برای مدیران وردپرس احراز هویت دومرحله‌ای فعال کنید.

نصب‌های قدیمی وردپرس را حذف کنید.

بکاپ‌های عمومی و قابل دسترسی از طریق وب را حذف یا از دسترس عمومی خارج کنید.

Wordfence نیز پس از پاکسازی، به‌روزرسانی مداوم وردپرس، افزونه‌ها و قالب‌ها، استفاده از رمزهای قوی، فعال‌سازی احراز هویت دومرحله‌ای و حذف نصب‌های قدیمی را از اقدامات مهم برای جلوگیری از آلودگی مجدد معرفی می‌کند.

چک لیست نهایی

قبل از اعلام پایان عملیات، مطمئن شوید:

نسخه پشتیبان فایل‌ها تهیه شده است.

نسخه پشتیبان دیتابیس تهیه شده است.

رمزهای عبور تغییر کرده‌اند.

wp-admin از نسخه سالم وردپرس است.

wp-includes از نسخه سالم وردپرس است.

فایل‌های اصلی Root از نسخه سالم وردپرس هستند.

wp-config.php بررسی شده است.

.htaccess بررسی شده است.

افزونه‌ها از نسخه سالم نصب شده‌اند.

قالب از نسخه سالم نصب شده است.

wp-content/uploads بررسی شده است.

کاربران مدیر وردپرس بررسی شده‌اند.

پایگاه داده بررسی شده است.

نصب‌های قدیمی وردپرس حذف شده‌اند.

فایل‌های بکاپ قابل دسترس از اینترنت حذف یا محافظت شده‌اند.

Wordfence اسکن کامل را انجام داده است.

یک اسکن مجدد بعد از پاکسازی انجام شده است.

هیچ فایل یا کاربر ناشناس باقی نمانده است.

جمع بندی

اگر هسته وردپرس یک سایت آلوده شده باشد، لازم نیست فایل‌های اصلی را یکی‌یکی بررسی و پاک کنید. روش منظم‌تر این است که هسته وردپرس را با فایل‌های رسمی و سالم جایگزین کنید.

این روش باعث می‌شود فایل‌های اصلی وردپرس که احتمالاً توسط مهاجم تغییر کرده‌اند، با نسخه‌ای از منبع رسمی جایگزین شوند. مستندات رسمی WordPress نیز همین ساختار را برای جایگزینی دستی فایل‌های هسته توصیه می‌کند.

اما یک نکته بسیار مهم وجود دارد: سالم شدن هسته وردپرس به معنی سالم شدن کل سایت نیست. بدافزار ممکن است در افزونه، قالب، uploads، پایگاه داده یا یک نصب قدیمی وردپرس باقی مانده باشد. به همین دلیل، پس از جایگزینی هسته باید کل سایت با Wordfence و در صورت نیاز با بررسی دستی فایل‌ها و دیتابیس بررسی شود.