Редирект на казино, письма клиентам «от вас», майнер, съевший процессор, или просто «сайт не открывается» — признаки одни и те же. Главное в первый час — не удалять следы и не восстанавливать «как было».
Первый час
- Сделайте снапшот сервера до любых действий — это улика и страховка.
- Изолируйте: закройте сайт заглушкой (nginx
return 503), отключите исходящую почту, смените пароли SSH/панели/базы. - Найдите точку входа. Логи веб-сервера за последние дни: POST-запросы к странным файлам (
wp-content/uploads/*.php,.well-known/*.php), обращения кxmlrpc.php, логины админки с чужих IP.find . -mtime -7 -name "*.php"покажет свежеизменённые файлы. - Не лечите на месте. Удалённые «вирусные файлы» вернутся через бэкдор, который вы не нашли.
Восстановление
- Разверните чистый сервер и восстановите сайт из резервной копии, сделанной до взлома. Не знаете, когда взломали — берите копию старше самого старого подозрительного файла.
- Базу данных проверьте на вставки: в WordPress — таблицы
wp_options(siteurl, скрипты),wp_users(лишние администраторы), посты со<script>. - Обновите CMS, темы, плагины до актуальных версий до открытия сайта.
- Смените все пароли: админка, база, FTP, API-ключи платёжных систем, SMTP.
- Если с сервера уходил спам — проверьте IP в чёрных списках (mxtoolbox) и запросите исключение.
Как ломают чаще всего
| Причина | Доля | Защита |
|---|---|---|
| Устаревший плагин/тема/CMS | ~50% | автообновления, удаление неиспользуемого |
| Простой пароль администратора | ~20% | 2FA, ограничение попыток входа |
| Пиратские темы и плагины с бэкдором | ~10% | только официальные источники |
| Открытые порты, старый PHP | ~10% | фаервол, поддерживаемые версии |
| Соседи на общем хостинге | ~10% | VPS с изоляцией |
Семь мер, чтобы не повторилось
- Автоматические обновления безопасности ОС и CMS.
- Двухфакторная авторизация в админке и SSH по ключам.
- Фаервол: открыты только 80, 443 и SSH с ваших IP.
- Запрет выполнения PHP в папках загрузок.
- Резервные копии в отдельное хранилище с хранением 30 дней — и проверка восстановления.
- Мониторинг: изменения файлов, нагрузка, внешний контроль содержимого страницы.
- Минимум плагинов, ни одного «nulled».
Если нужна помощь
В рамках администрирования серверов MyCloud мы разбираем взлом, восстанавливаем сайт на чистом сервере и закрываем точку входа — обычно за несколько часов. Клиентам с бэкапами в MyCloud восстановление доступно в один клик из панели.
Нужна помощь с задачей из статьи?
Подберём конфигурацию, посчитаем стоимость и поможем с переносом.