वर्डप्रेस बैकडोर हमले: लक्षण, पहचान और प्रभावी उपचार

वर्डप्रेस बैकडोर क्या है?

हर साल हजारों वर्डप्रेस साइटें संक्रमित होती हैं और संख्या बढ़ रही है। इन हैक की गई वेबसाइटों का उपयोग तब धोखाधड़ी और स्पैम फैलाने के लिए किया जाता है। अक्सर मालिक और डेवलपर्स संक्रमण से अनजान होते हैं। संक्रमण लगातार हो सकता है या नहीं। इस प्रकार, एक वर्डप्रेस बैकडोर इस दृढ़ता को बनाए रखने में मदद करता है। एक वर्डप्रेस बैकडोर वह कोड है जो एक हमलावर को सर्वर पर अनधिकृत और लगातार पहुंच प्रदान करता है। अक्सर यह एक दुर्भावनापूर्ण फ़ाइल होती है जो कहीं छिपी होती है। या कभी-कभी यह एक संक्रमित प्लगइन हो सकता है। हर महीने वर्डप्रेस बैकडोर हैक के नए वेरिएंट मिलते हैं।

हैकर्स हमेशा खेल में रहते हैं और वर्डप्रेस बैकडोर इंजेक्ट करने का प्रयास करते हैं। वर्षों से, कई प्लगइन्स का उपयोग संक्रमण फैलाने के लिए किया गया है। इसलिए खतरा कहीं से भी आ सकता है। बाद में वर्डप्रेस बैकडोर हटाना समय और संसाधन गहन हो सकता है। हालांकि, निवारक उपाय हमेशा नुकसान को नियंत्रित कर सकते हैं। एक सुरक्षित वर्डप्रेस साइट हमले को रोक सकती है, यदि नहीं रोक सकती। इस ब्लॉग में, वर्डप्रेस बैकडोर खोजने और ठीक करने के बारे में जानें।

संबंधित गाइड - पूर्ण चरण-दर-चरण वर्डप्रेस सुरक्षा गाइड (हैक होने का जोखिम 90% कम करें)

वर्डप्रेस बैकडोर हैक का कारण क्या है?

वर्डप्रेस साइट स्थापित करना काफी सुविधाजनक है। हालांकि, कई खामियां वर्डप्रेस बैकडोर का मार्ग प्रशस्त कर सकती हैं। सरलता के लिए, हम इसे कुछ तक सीमित कर सकते हैं। ये हैं:

• कभी-कभी यह एक दोषपूर्ण प्लगइन या थीम के कारण हो सकता है।
• आपकी साइट के लॉगिन क्रेडेंशियल कमजोर या डिफ़ॉल्ट हो सकते हैं।
• फ़ाइल अनुमतियाँ कमजोर हो सकती हैं और संवेदनशील फ़ाइलें उपलब्ध करा सकती हैं।
• कोई फ़ायरवॉल या सुरक्षा समाधान उपयोग नहीं करना।
• इंस्टॉलेशन पुराने हो सकते हैं।
• अन्य वेबसाइटों के लिए संक्रमित सर्वर साझा करना। अपने सेवा प्रदाता से सबनेट के बारे में पूछें।

वर्डप्रेस बैकडोर ढूंढना

थीम में वर्डप्रेस बैकडोर खोजना

निष्क्रिय थीम वर्डप्रेस बैकडोर छिपाने के लिए सबसे अच्छी जगह हैं। हैकर्स इस तथ्य से अवगत हैं और अक्सर ऐसी थीम को आपकी वेबसाइट पर खोजते हैं। कारण यह है कि आप वहां जांच करने की संभावना कम है क्योंकि यह निष्क्रिय है। WP थीम में functions.php नामक एक महत्वपूर्ण फ़ाइल होती है। यह फ़ाइल नेटिव PHP, वर्डप्रेस और अन्य फ़ंक्शन को कॉल करने के लिए जिम्मेदार है। सरल शब्दों में, इसका उपयोग किसी भी प्रकार के ऑपरेशन को निष्पादित करने के लिए किया जा सकता है। अक्सर हमलावर इस फ़ाइल को इंजेक्ट करने का प्रयास करते हैं ताकि वर्डप्रेस बैकडोर प्राप्त किया जा सके। ऐसा एक उदाहरण नीचे दी गई छवि में दिखाया गया है।

यह functions.php फ़ाइल में एक दुर्भावनापूर्ण कोड है। यह तब ट्रिगर होता है जब हमलावर URL पर जाता है। www.yoursite.com/wp-includes/registration.php तब यह फ़ंक्शन एक नया उपयोगकर्ता बनाता है जिसके साथ

id: backdooradmin

password: Pa55W0rd.

भले ही आप उपयोगकर्ता को हटा दें, इस URL को कॉल करके इसे फिर से बनाया जा सकता है। यह वर्डप्रेस बैकडोर का एक विशिष्ट उदाहरण है। हालांकि, इस कोड को केवल सर्वर तक पहुंच प्राप्त करके पहले डाला जा सकता है। शायद एक खुला FTP पोर्ट या अन्य खामियों का उपयोग किया जा सकता है।

वर्डप्रेस में बैकडोर के बारे में चिंतित? चैट विजेट में हमें एक संदेश दें और हम इसे ठीक करने में आपकी सहायता करने में प्रसन्न होंगे। अभी मेरी वर्डप्रेस वेबसाइट सुरक्षित करें।

प्लगइन्स में वर्डप्रेस बैकडोर खोजना

वर्डप्रेस बैकडोर हैक अक्सर दोषपूर्ण प्लगइन्स के कारण होता है। वर्षों से, कई प्लगइन्स दोषपूर्ण पाए गए हैं। इस वर्ष यह कॉन्टैक्ट फॉर्म 7 था। इस प्लगइन के 5 मिलियन से अधिक सक्रिय उपयोगकर्ता हैं। इसके विपरीत, बग ने विशेषाधिकार वृद्धि का नेतृत्व किया। यदि प्लगइन फ़ाइलें बदली जाती हैं, तो वे डैशबोर्ड में दिखाई नहीं दे सकती हैं। हालांकि, एक FTP खोज ऐसी फ़ाइलों को प्रकट कर सकती है। इसे वैध दिखाने के लिए, बैकडोर फ़ाइलों को हेल्प फ़ाइलों के रूप में नामित किया जाता है। प्लगइन्स में बैकडोर पाए जाने के कारण हैं:

• अनुपयोगी प्लगइन्स के संक्रमित होने की अधिक संभावना है। केवल इसलिए कि वे लंबे समय तक बैकडोर छिपा सकते हैं।
• अविश्वसनीय और अलोकप्रिय प्लगइन्स अक्सर खराब कोडेड होते हैं। इससे वर्डप्रेस बैकडोर हैक की संभावना बढ़ जाती है।
• पुराने प्लगइन्स को अधिक लक्षित किया जाता है। केवल इसलिए कि कई अभी भी उन्हें अपडेट किए बिना चलाते हैं।
• ये दोषपूर्ण प्लगइन्स अन्य कोर फ़ाइलों को संशोधित करने में मदद कर सकते हैं।

इसलिए अज्ञात प्लगइन्स पर नज़र रखें। सभी अनुपयोगी प्लगइन्स साफ़ करें!

इंस्टॉलेशन फ़ाइलों में वर्डप्रेस बैकडोर खोजना

प्लगइन संक्रमित होने के बाद कोर फ़ाइलों को संशोधित करना अगला कदम है। कोर फ़ाइलों में अवांछित कोड हो सकता है, या नई फ़ाइलें दिखाई दे सकती हैं। कभी-कभी बैकडोर यहां इस तरह दिखता है:

$t43="l/T6\\:aAcNLn#?rP}1\rG_ -s`SZ\$58t\n7E{.*]ixy3h,COKR2dW[0!U\tuQIHf4bYm>wFz<admin@wsxdn.com&(BjX'~|ge%p+oMJv^);\"k9";
$GLOBALS['ofmhl60'] = ${$t43[20].$t43

यह कोड ज्ञात तकनीकों के साथ अस्पष्ट है। यह मानव उपयोगकर्ताओं के लिए पढ़ना मुश्किल बनाता है। इसलिए ऐसे खराब दिखने वाले कोड पर नज़र रखें और उन फ़ाइलों को हटा दें जिनमें यह है। कभी-कभी बैकडोर xml.php, media.php, plugin.php आदि जैसी वैध फ़ाइल के रूप में भी प्रस्तुत कर सकता है। इसलिए हर फ़ाइल को देखें भले ही वह वैध दिखे। इसके अलावा, अन्य तकनीकें हैं जो कोड पढ़ना मुश्किल बनाती हैं।

ध्यान दें अपने फ़ाइलों में कीवर्ड FilesMan पर भी। उदाहरण के लिए, यह कुख्यात बैकडोर का डंप है   Filesman: 02। इस बैकडोर का पता लगाना मुश्किल है और लॉग में दिखाई नहीं देता। इसका उपयोग पासवर्ड और अन्य विवरण चुराने के लिए किया जाता है।

उदाहरण के लिए, 6वीं पंक्ति में कोड हेक्साडेसिमल रूप में है। रूपांतरण पर यह लगभग ऐसा दिखेगा:  preg_replace("/.*/e","eval(gzinfla\। हेक्स वर्णों को डीकोड करने के लिए ऑनलाइन टूल उपलब्ध हैं। उनका उपयोग करें! इसके अलावा, हमलावर बेस64 एन्कोडिंग का उपयोग करके कोड छिपा सकता है। इसे इसी तरह संभालें। यहां 4वीं पंक्ति में कीवर्ड FilesMan है। इस संक्रमण के ऐसे वेरिएंट में यह कीवर्ड होता है। कभी-कभी यह संभव है कि कोड संवेदनशील फ़ाइलों जैसे .htaccess में हेरफेर करता है। इन्हें ध्यान से देखें!

वर्डप्रेस बैकडोर हैक कैसे ठीक करें?

चेकसम की तुलना करें

पहला कदम चेकसम की तुलना करना है। यह फ़ाइल अखंडता का एक अनुमानी निर्धारण है। मैन्युअल निरीक्षण किया जा सकता है। इसके अलावा, इसके लिए स्वचालित उपकरण उपलब्ध हैं। न केवल कोर फ़ाइलों के लिए, बल्कि प्लगइन्स और थीम के लिए भी चेकसम उपलब्ध हैं। इसके अलावा, आप एक व्यक्तिगत ब्लैकलिस्ट बनाए रख सकते हैं। यह सार्वजनिक रूप से उपलब्ध सूचियों का उपयोग करके किया जा सकता है। चेकसम मेल नहीं खाने के बाद, वर्डप्रेस बैकडोर को मैन्युअल रूप से हटाने के लिए आगे बढ़ें।

वर्डप्रेस बैकडोर हटाने के लिए पेशेवर मदद चाहिए? चैट विजेट में हमें एक संदेश दें और हम आपकी सहायता करने में प्रसन्न होंगे। अभी मेरी वर्डप्रेस वेबसाइट ठीक करें।

कोर फ़ाइलों की अखंडता

दूसरा, फ़ाइलों द्वारा विभिन्न चेकसम मान दिखाने के बाद, उन्हें मैन्युअल रूप से जांचें। यह बहुत संभावना है कि वर्डप्रेस बैकडोर हैक ने फ़ाइलों में हेरफेर किया है। इस प्रकार इंस्टॉलेशन फ़ाइलों की अखंडता की जांच की जा सकती है। सबसे पहले वर्डप्रेस का एक नया संस्करण डाउनलोड करें।

$ mkdir WordPress

$ cd WordPress

इस कमांड ने WordPress नामक एक निर्देशिका बनाई है और उस पर स्विच किया है।

$ wget https://github.com/WordPress/WordPress/archive/4.9.8.zip 

$ tar -zxvf 4.9.8.zip

पहली कोड लाइन के साथ वर्डप्रेस का नवीनतम संस्करण (इस मामले में 4.9.8) डाउनलोड करें। दूसरी लाइन फिर इसे निकालती है। इन कार्यों के पूरा होने के बाद महत्वपूर्ण कदम आता है। $ diff -r path/to/your/file.php /Wordpress/wp-cron.php। यह कोड दो फ़ाइलों के बीच अंतर की तुलना करता है। चूंकि वर्डप्रेस बैकडोर ने आपकी फ़ाइलों को संपादित किया होगा, परिवर्तन दिखाए जाएंगे। हालांकि, कुछ फ़ाइलें गतिशील हैं जैसे  xmlrpc.php। यह फ़ाइल उपयोगकर्ताओं और सेवाओं को RPC के माध्यम से साइट के साथ बातचीत करने में मदद करती है। हैकर्स इसे जानते हैं और अक्सर यहां बैकडोर छिपाने का प्रयास करते हैं। इसलिए वर्डप्रेस बैकडोर खोजने और हटाने के लिए इसे अच्छी तरह से जांचें।

एन्कोडिंग

कभी-कभी फ़ाइलें बदली जा सकती हैं, लेकिन आपके लिए पढ़ने योग्य नहीं हो सकती हैं। फिर आप Base64- एन्कोडिंग खोजकर वर्डप्रेस बैकडोर हैक की सफाई शुरू कर सकते हैं। यहां grep कमांड अद्भुत काम कर सकता है। निम्न कमांड का उपयोग करें:

find . -name "*.php" -exec grep "base64"'{}'\; -print &> output.txt

यह कमांड output.txt में सभी बेस64 डिटेक्शन को बड़े करीने से सूचीबद्ध करता है। यहां से आप इसे ऑनलाइन टूल का उपयोग करके प्लेनटेक्स्ट में डीकोड कर सकते हैं। यदि आप .php के अलावा अन्य फ़ाइलों में खोजना चाहते हैं, तो कोड में केवल शब्द *.php को बदलें। इसके अलावा, दुर्भावनापूर्ण कोड हेक्स प्रारूप में भी हो सकता है। तो आप उपयोग कर सकते हैं  grep -Pr "[\x01\x02\x03]"। अन्य समान एन्कोडिंग के लिए इस चरण को दोहराएं। वर्डप्रेस बैकडोर हटाने के लिए दुर्भावनापूर्ण कोड वाली इन फ़ाइलों या पंक्तियों को हटाएं।

सर्वर लॉग का उपयोग करना

सर्वर लॉग वर्डप्रेस बैकडोर हटाने में मदद कर सकते हैं। सबसे पहले, आपको यह देखना होगा कि किसी विशेष तारीख के बाद कौन सी फ़ाइलें संपादित की गई थीं। इसके अलावा, FTP लॉग ब्राउज़ करें ताकि आपके सर्वर से कनेक्ट करने के लिए उपयोग किए जाने वाले IP पते देखे जा सकें। हाल ही में संपादित फ़ाइलों पर नज़र रखें। इसके अलावा, छवि फ़ोल्डर पर ध्यान दें। कोई भी छवि फ़ोल्डरों में निष्पादन योग्य फ़ाइलों की उम्मीद नहीं करता है। इसके अलावा, छवि फ़ोल्डर लिखने योग्य हो सकता है। इसलिए हैकर्स वहां बैकडोर छिपाना पसंद करते हैं। इसके अलावा, सुनिश्चित करें कि संवेदनशील फ़ाइलों के लिए अनुमतियाँ उपयुक्त हैं। इसलिए अपनी फ़ाइल अनुमतियों को  444 (r–r–r–) या शायद  440 (r–r—–) पर सेट करें। विशेष रूप से छवि फ़ोल्डर में परिवर्तनों के लिए देखें।

अपडेट और सुरक्षित करें

आपकी वर्डप्रेस वेबसाइट को अपडेट करने के महत्व पर बार-बार जोर दिया गया है। एक पुराना इंस्टॉलेशन संक्रमित जितना ही अच्छा है।

यदि आप वर्डप्रेस बैकडोर हैक का कारण नहीं ढूंढ सकते हैं, तो वर्तमान साइट का बैकअप लेने के बाद इसे बैकअप से पुनर्स्थापित करें और दोनों की तुलना करें।

यदि आपके पास अभी तक बैकअप नहीं है और वर्डप्रेस कोर फ़ाइलों को नए से बदलना चाहते हैं। इसके लिए आपको वर्तमान साइट बैकअप बनाने के बाद अपनी वर्डप्रेस वेबसाइट को मैन्युअल रूप से अपडेट करना होगा।

यदि आपके द्वारा उपयोग किए जा रहे प्लगइन्स में कोई सुरक्षा भेद्यता बताई जाती है, तो उन्हें तुरंत अपडेट करने की भी सिफारिश की जाती है। यदि पैच में बहुत समय लगता है, तो विकल्पों से बदलें। आधिकारिक ब्लॉग के साथ अपडेट रहने की सिफारिश की जाती है ताकि पैच जल्द से जल्द प्राप्त हो सकें।

वर्डप्रेस बैकडोर स्कैनर का उपयोग करें

इंसान त्रुटि-प्रवण होते हैं। मैन्युअल जांच थकाऊ और त्रुटि-प्रवण है। इससे वर्डप्रेस बैकडोर हैक की पुनरावृत्ति हो सकती है। इसका समाधान स्वचालन है। आज बाजार में काफी उन्नत उपकरण उपलब्ध हैं। ये स्कैनर वर्डप्रेस बैकडोर का पता लगा सकते हैं और हटा सकते हैं। उनमें से एक है एस्ट्रा मैलवेयर क्लीनर। यह न केवल आपकी वेबसाइट को साफ करेगा बल्कि भविष्य के संक्रमण से भी बचाएगा। यह किफायती है और आपको एक व्यापक अवलोकन देता है। यह आपके मूल्यवान संसाधनों और समय को बचाएगा!