Menghapus berkas yang kelihatan adalah bagian yang dikerjakan semua orang, dan sendirian ia gagal: jalan masuknya masih terbuka, dan situsnya tertular lagi dalam hitungan jam. Urutan di bawah ini menutup pintunya dulu, baru membersihkan ruangannya.

1. Turunkan dulu dari jaringan

Situs yang sudah dibobol sedang mengirim surat sampah atau menyuguhkan perangkat perusak kepada pengunjung Anda, tepat ketika Anda bekerja. Hentikan itu sebelum apa pun yang lain.

# a holding page that returns 503, so search engines come back later
# rather than dropping your pages

2. Salin semuanya sebelum Anda mengubahnya

Ambil salinan lengkap — berkas dan basis data — sebelum menghapus satu hal pun. Itu barang bukti: ia memberi tahu bagaimana mereka masuk, dan tanpanya Anda cuma menerka.

3. Temukan jalan masuknya

Hampir selalu satu dari empat. Carilah kemunculan pertama sebuah berkas yang berubah di log akses, di sekitar cap waktunya.

  • Pengaya atau tema yang ketinggalan zaman — sejauh ini yang paling lazim.
  • Kata sandi yang dipakai ulang — bocor di tempat lain lalu dicoba di sini.
  • Direktori unggahan yang menjalankan PHP — berkas yang diunggah sebagai gambar lalu dijalankan.
  • Kredensial FTP atau SSH yang dicuri, sering kali dari komputer meja yang tertular.
find . -type f -mtime -7 -name "*.php" | head -50
grep -rl "eval(base64_decode" . | head

4. Bersihkan dari salinan yang diketahui baik, bukan dengan menyunting

Ganti intinya, pengayanya, dan temanya dengan unduhan yang baru. Simpan hanya isi dan unggahan Anda sendiri, lalu periksa keduanya — berkas PHP di dalam map unggahan tak pernah sah.

find wp-content/uploads -name "*.php" -o -name "*.phtml"

5. Langkah yang hampir semua orang lewatkan

Ubah setiap kredensial yang bisa dilihat oleh server yang dibobol itu, dan batalkan setiap sesi. Kalau Anda melewatkan ini, penyerangnya berjalan masuk kembali dengan kata sandi yang sudah ada di tangannya.

  • Setiap akun administrator sistem manajemen isinya.
  • Pengguna basis datanya, dan berkas konfigurasi yang memuatnya.
  • Kunci FTP, SFTP, dan SSH.
  • Kunci API dan kredensial pembayaran yang tersimpan di server.
  • WordPress: ubah garamnya di wp-config.php — itu mengeluarkan semua orang, termasuk mereka.

6. Lalu tutup pintunya

  1. Perbarui semuanya — Inti, pengaya, tema, PHP.
  2. Buang yang tak Anda pakai — Pengaya yang tak aktif tetaplah sebuah berkas di cakram yang bisa dijangkau.
  3. Hentikan unggahan dari berjalan — Tak ada penangan PHP di direktori unggahan.
  4. Pengesahan dua langkah di panel dan di sistem manajemen isinya —
Mintalah kepada penyedia hosting Anda log akses untuk hari kejadian itu bermula. Permintaan yang menjatuhkan berkas pertama ada di dalamnya, dan ia menyebut lubangnya dalam satu baris.