خطوات أولية عند اختراق موقع WordPress

أهلاً بك! إذا وجدت نفسك في موقف اكتشاف اختراق موقع ووردبريس الخاص بك، فالأمر يتطلب تصرفًا سريعًا وفعالًا. الخطوات الأولية الحاسمة هي عزل الموقع فورًا بوضعه في وضع الصيانة وإغلاقه للزوار، ثم تغيير جميع كلمات المرور المتعلقة به (الاستضافة، FTP، ووردبريس، وقاعدة البيانات). هذه الإجراءات ستساعدك على احتواء الضرر ومنع المهاجمين من استغلال الوضع بشكل أكبر، وستمهد الطريق لإصلاح شامل.

عندما يُخترق موقعك، أولويتك القصوى هي وقف النزيف. عزل الموقع يمنع المهاجم من مواصلة استغلاله ويحمي زوارك من التعرض لأي برمجيات ضارة. تخيل الأمر كمنزل تعرض للسطو؛ أول ما تفعله هو تأمين الأبواب والنوافذ قبل تقييم الأضرار.

إغلاق الموقع للزوار

هذه الخطوة ضرورية لمنع أي ضرر إضافي لزوارك أو لموقعك. يمكنك القيام بذلك بسهولة عن طريق إضافة بضع أسطر إلى ملف .htaccess الخاص بك.

تعديل ملف .htaccess

يمكنك منع الوصول إلى موقعك عن طريق إضافة هذا الكود إلى أعلى ملف .htaccess الموجود في مجلد الجذر لموقعك:

“`apache

Order Allow,Deny

Deny from all

“`

هذا سيجعل موقعك غير متاح للجميع. إذا كنت تريد السماح بالوصول من عنوان IP خاص بك فقط، يمكنك استخدام هذا:

“`apache

Order Deny,Allow

Deny from all

Allow from 192.168.1.100 # استبدل هذا بعنوان IP الخاص بك

“`

لا تنسَ استبدال 192.168.1.100 بعنوان IP الذي تستخدمه.

وضع الموقع في وضع الصيانة

بمجرد عزل الوصول، يفضل وضع الموقع في وضع الصيانة لعرض رسالة ودية للزوار بدلاً من صفحة خطأ، وذلك عبر إضافة مثل “WP Maintenance Mode & Coming Soon” أو “SeedProd”. هذا يخبر الزوار بأن هناك شيئًا ما يحدث وأن الموقع سيعود قريبًا.

2. تغيير كلمات المرور: خط الدفاع الأول

تغيير كلمات المرور هو خطوة حاسمة لقطع أي وصول للحسابات التي قد يكون المهاجم قد استولى عليها. هذا يشمل كل مكان يمكن للمهاجم الوصول منه إلى موقعك أو خوادمه.

كلمات مرور الاستضافة ولوحة التحكم (cPanel/Plesk)

ابدأ بكلمة مرور حساب استضافتك. هذا هو المفتاح الرئيسي لموقعك بالكامل. إذا كان المهاجم يملكها، يمكنه فعل أي شيء. تواصل مع مزود الاستضافة إذا كنت بحاجة للمساعدة في إعادة تعيينها.

كلمة مرور حساب FTP/SFTP

الفيل الذي قد يسير بحرية في ملفات موقعك. إذا كان المهاجم يملك كلمة مرور FTP، يمكنه تحميل ملفات خبيثة وتعديل الموجودة بسهولة. غيرها فورًا إلى كلمة مرور قوية ومعقدة.

كلمة مرور قاعدة بيانات MySQL

قاعدة البيانات هي قلب موقع ووردبريس؛ تحتوي على كل المحتوى، إعدادات المستخدمين، وحتى كلمات المرور المشفرة. تغيير كلمة مرور المستخدم الذي يتصل بقاعدة البيانات مهم جدًا.

كيفية تغيير كلمة مرور قاعدة البيانات

1. عبر لوحة تحكم الاستضافة: عادةً ما تجد خيارًا لإدارة قواعد البيانات (مثل phpMyAdmin في cPanel).
2. تعديل ملف wp-config.php: بعد تغيير كلمة المرور في لوحة التحكم، يجب عليك تحديث كلمة المرور الجديدة في ملف wp-config.php الموجود في جذر موقعك. ابحث عن السطر الذي يبدأ بـ define('DB_PASSWORD', '...);` وقم بتغييره.

كلمات مرور مشرفي ووردبريس

بالتأكيد، لا تنسَ كلمات مرور المستخدمين المسؤولين في ووردبريس. يمكن للمهاجمين غالبًا إنشاء حساب مسؤول جديد لأنفسهم.

تغيير كلمات المرور من لوحة التحكم (إذا أمكن)

إذا كنت لا تزال تستطيع الوصول إلى لوحة تحكم ووردبريس، غيّر كلمات مرور جميع المستخدمين، خاصةً المسؤولين.

تغيير كلمات المرور مباشرة من قاعدة البيانات

إذا تعذر الوصول إلى لوحة التحكم، يمكنك تغييرها مباشرة من phpMyAdmin:

1. اذهب إلى جدول wp_users (قد يكون له بادئة مختلفة).
2. ابحث عن المستخدمين المسؤولين.
3. قم بتغيير كلمة المرور في عمود user_pass باستخدام دالة MD5 (على سبيل المثال، MD5('كلمة المرور الجديدة')).

3. النسخ الاحتياطي ثم النسخ الاحتياطي: حتى لو كان مصابًا

يبدو الأمر غريبًا، أليس كذلك؟ لماذا ننسخ شيئًا نعرف أنه مصاب؟ لكن هذا النسخ الاحتياطي حاسم للغاية لأسباب متعددة.

إنشاء نسخة احتياطية حالية (مصابة)

هذه النسخة هي مفتاحك لتحليل الاختراق وفهم كيف حدث. قد تحتاج إليها لاحقًا لتحديد الملفات التي تم تعديلها أو لتحديد تاريخ الاختراق بدقة.

نسخة احتياطية كاملة

تأكد من أن نسختك الاحتياطية تشمل جميع الملفات في مجلدات ووردبريس، بالإضافة إلى نسخة كاملة من قاعدة البيانات. استخدم أدوات النسخ الاحتياطي التي يوفرها مزود الاستضافة أو قم بتنزيلها يدويًا عبر FTP و phpMyAdmin.

تخزين النسخة الاحتياطية بأمان

احفظ هذه النسخة الاحتياطية في مكان آمن بعيدًا عن خادم الموقع المباشر، مثل جهاز الكمبيوتر الخاص بك أو خدمة تخزين سحابية.

4. التحقق من المستخدمين والمصادقة الثنائية

غالبًا ما يقوم المهاجمون بإنشاء حسابات إدارية لديهم للوصول السهل في المستقبل. يجب عليك التدقيق في قائمة المستخدمين والتأكد من تفعيل المصادقة الثنائية لطبقة إضافية من الحماية.

فحص مستخدمي ووردبريس

1. في لوحة تحكم ووردبريس: اذهب إلى “المستخدمون” -> “كافة المستخدمين”.
2. ابحث عن الغرباء: ابحث عن أي مستخدمين إداريين مجهولين أو مشبوهين. إذا وجدت، قم بحذفهم فورًا.
3. تحقق من الصلاحيات: تأكد أن المستخدمين الأساسيين لديهم الصلاحيات المناسبة فقط، وأن لا أحد يملك صلاحيات أكثر مما يحتاج.

المصادقة الثنائية (2FA) للأدمن

إضافة المصادقة الثنائية هي خطوة وقائية ممتازة لمنع الوصول غير المصرح به حتى لو تمكن المهاجم من الحصول على كلمة المرور.

كيفية تفعيل 2FA

يمكنك استخدام إضافات مثل “Two-Factor Authentication” أو “Wordfence Security” لتفعيل 2FA على حسابات المسؤول. هذا يتطلب إدخال رمز يتم إرساله إلى هاتفك أو تطبيق مصادقة بعد إدخال كلمة المرور.

5. استبدال الملفات الأساسية وتحديد نقطة الاختراق

هنا تبدأ عملية تنظيف المنزل. المهاجمون غالبًا ما يغيرون الملفات الأساسية لووردبريس لإدراج شفرات خبيثة.

استبدال ملفات wp-admin و wp-includes

هذان المجلدان يحتويان على الملفات الأساسية لووردبريس. استبدالهما بنسخة نظيفة من ووردبريس الأصلي يساعد في إزالة أي شفرات خبيثة تم حقنها فيهما.

خطوات الاستبدال

1. تنزيل نسخة جديدة من ووردبريس: قم بتنزيل أحدث إصدار من ووردبريس من موقع wordpress.org.
2. حذف المجلدين: استخدم FTP لحذف مجلدي wp-admin و wp-includes من موقعك.
3. رفع المجلدين النظيفين: ارفع المجلدين الجديدين اللذين قمت بتنزيلهما.
4. تحديث الملفات الأخرى: لا تنسَ رفع ملفات الجذر الأخرى مثل index.php و wp-config-sample.php (وليس wp-config.php الخاص بك) و wp-load.php، إلخ.

فحص الملفات الأخرى والمجلدات

بعد استبدال الملفات الأساسية، قم بفحص المجلدات الأخرى مثل wp-content بعناية. هذا هو المكان الذي توجد فيه القوالب والإضافات، وهي نقاط ضعف شائعة.

البحث عن الملفات المشبوهة

ابحث عن أي ملفات ذات أسماء غريبة (مثل shell.php، r57.php، c99.php)، أو ملفات تم تعديلها مؤخرًا بشكل غير متوقع.

فحص قاعدة البيانات

قاعدة البيانات ليست بمنأى عن الاختراق. قد يتم حقن بيانات خبيثة، أو إنشاء مستخدمين جدد، أو تعديل إعدادات مهمة.

التحقق من المستخدمين والمحتوى المشبوه

1. جدول wp_users: تأكد من عدم وجود أي مستخدمين غرباء (كما ذكرنا أعلاه).
2. جدول wp_options: ابحث عن أي خيارات جديدة أو مشبوهة، خاصة تلك المتعلقة بإعادة التوجيه (redirects) أو حقن الإعلانات.
3. جدول wp_posts و wp_comments: قد تجد منشورات أو تعليقات تحتوي على روابط لبرامج ضارة أو محتوى غير مرغوب فيه.

تحديد مصدر الاختراق (التحقيق الجنائي)

هذه خطوة حاسمة لمنع تكرار الاختراق.

مراجعة سجلات الخادم (Server Logs)

يمكن أن تحتوي سجلات الخادم (Apache, Nginx) على أدلة قيمة حول كيفية اختراق موقعك. ابحث عن طلبات HTTP المشبوهة، عناوين IP غير المعروفة، أو نقاط الضعف التي تم استغلالها.

استخدام أدوات الفحص الأمني

• WPScan: أداة قوية لفحص مواقع ووردبريس لتحديد الثغرات الأمنية في القوالب والإضافات وحتى إصدار ووردبريس.
• Google Safe Browsing: تحقق مما إذا كان جوجل قد وسم موقعك كـ “موقع ضار”.
• إضافات الأمان: بعض إضافات الأمان (مثل Wordfence، Sucuri) يمكنها المساعدة في فحص الملفات المضيفة وتحديد الثغرات.
• فحص ملف (wp-config.php): تأكد من عدم وجود أي تغييرات مشبوهة أو معلومات حساسة تم إضافة في هذا الملف.

6. تحديث وإزالة الإضافات والقوالب

الإضافات والقوالب هي من أكثر نقاط الضعف شيوعًا في ووردبريس. يجب التعامل مع هذه بجدية.

تحديث جميع الإضافات والقوالب

بمجرد استعادة السيطرة على موقعك، قم بتحديث كل إضافة وكل قالب إلى أحدث إصدار ممكن.

لماذا التحديث مهم؟

التحديثات غالبًا ما تتضمن تصحيحات أمنية لثغرات تم اكتشافها. عدم التحديث يترك هذه الثغرات مفتوحة للمهاجمين.

إزالة الإضافات والقوالب غير المستخدمة

الوجود الزائد للإضافات والقوالب يزيد من سطح الهجوم (attack surface).

تقليل المخاطر

إذا كان هناك قالب أو إضافة لم تعد تستخدمها، ببساطة احذفها. كلما قل عدد المكونات، قل عدد نقاط الضعف المحتملة. كن حذرًا بشكل خاص من الإضافات أو القوالب التي تم تنزيلها من مصادر غير موثوقة (التي غالبًا ما تكون مقرصنة أو تحتوي على برامج ضارة).

7. استخدام إضافة أمان قوية (Security Plugin)

لا تترك موقعك مكشوفًا بعد كل هذه المعاناة. إضافة الأمان هي بمثابة حارس شخصي لموقعك.

تثبيت وضبط إضافة أمان

إضافات مثل Wordfence، Sucuri، و iThemes Security توفر مجموعة واسعة من الميزات لحماية موقعك.

أهم ميزات إضافة الأمان

• فحص الملفات: للبحث عن ملفات مشبوهة أو تم تعديلها.
• جدار حماية (Firewall): لحظر الهجمات المعروفة وحماية موقعك من الاختراقات.
• حماية تسجيل الدخول: مثل تقييد محاولات تسجيل الدخول الفاشلة والمصادقة الثنائية.
• مراقبة التغييرات: لتنبيهك بأي تغييرات غير مصرح بها في ملفات الموقع.
• مسح البرمجيات الضارة (Malware Scanning): لكشف وإزالة البرمجيات الضارة.

هذه الخطوات الأولية هي أساس استعادة موقعك المتعرض للاختراق. لا تنسَ، السرعة والدقة في تطبيق هذه الإجراءات يمكن أن تقلل بشكل كبير من الأضرار وتسرع من عملية التعافي. إذا وجدت نفسك في حيرة أو واجهت صعوبات، فلا تتردد في طلب المساعدة من محترفين في أمن ووردبريس. ففي بعض الحالات المعقدة، قد تحتاج إلى خبير لإجراء فحص اختراق (Penetration Testing) وتحديد الثغرات بدقة. حظًا موفقًا في إعادة موقعك إلى بر الأمان!