Kiểm Tra & Xử Lý WordPress Bị Nhiễm Mã Độc, Chuyển Hướng Lạ

WordPress là mã nguồn phổ biến nhất thế giới, nhưng cũng chính vì thế mà nó luôn là mục tiêu hàng đầu của các hacker. Một trong những tình trạng phổ biến và gây khó chịu nhất là website bị chèn mã độc dẫn đến việc chuyển hướng (redirect) sang các trang web lạ hoặc hiển thị nội dung không mong muốn.

Bài viết này sẽ hướng dẫn bạn cách kiểm tra và xử lý triệt để tình trạng này trên hệ thống Linux Server.

1. Dấu hiệu nhận biết Website bị nhiễm mã độc

• Website tự động chuyển hướng sang các trang cá cược, quảng cáo lạ khi truy cập từ Google.
• Xuất hiện các file lạ trong thư mục wp-content/uploads hoặc wp-includes.
• File .htaccess bị chèn các đoạn mã RewriteRule lạ.
• Google Search Console cảnh báo website chứa phần mềm độc hại.

2. Kiểm tra các file hệ thống quan trọng

Kiểm tra file .htaccess

Hacker thường chèn mã chuyển hướng vào đầu file .htaccess để điều hướng người dùng. Hãy kiểm tra nội dung file này:

cat /var/www/your-site/.htaccess

Nếu thấy các đoạn mã có chứa URL lạ hoặc các chuỗi Base64, hãy xóa chúng ngay lập tức và khôi phục về cấu hình mặc định của WordPress.

Tìm kiếm các file mới thay đổi gần đây

Bạn có thể sử dụng lệnh find để tìm các file PHP đã bị sửa đổi trong vòng 2 ngày qua:

find /var/www/your-site -name "*.php" -mtime -2

Quét tìm mã độc phổ biến

Sử dụng lệnh grep để tìm các hàm nguy hiểm thường bị lợi dụng:

grep -rEi "eval\(|base64_decode\(|gzinflate\(" /var/www/your-site --include=*.php

3. Sử dụng ClamAV để quét toàn diện

Nếu bạn đã cài đặt ClamAV theo hướng dẫn của FixNhanh, hãy chạy lệnh sau để quét toàn bộ mã nguồn:

clamscan -r /var/www/your-site -i --bell

4. Kiểm tra Checksum Core WordPress

Nếu bạn có cài đặt WP-CLI, đây là cách nhanh nhất để biết các file lõi có bị sửa đổi hay không:

wp core verify-checksums

5. Các bước xử lý sau khi quét

1. Thay đổi toàn bộ mật khẩu: Mật khẩu quản trị WP, tài khoản FTP/SSH và Database.
2. Cập nhật: Nâng cấp WordPress Core, Plugin và Theme lên phiên bản mới nhất.
3. Xóa Plugin/Theme không dùng: Giảm thiểu các "cửa sau" (backdoor) tiềm ẩn.
4. Cấu hình bảo mật: Sử dụng các plugin như Wordfence hoặc Sucuri để tăng cường lớp phòng thủ.

Việc bảo mật website là một quá trình liên tục. Hãy luôn sao lưu dữ liệu định kỳ để có thể khôi phục nhanh chóng khi có sự cố xảy ra.