Cách quét mã độc cho website WordPress và lưu ý bảo mật cần biết

Một đoạn mã độc ẩn trong plugin hay theme cũng đủ khiến website WordPress bị chuyển hướng, phát tán nội dung spam và đánh mất niềm tin của khách hàng. Thay vì chờ đến khi trình duyệt cảnh báo nguy hiểm, bạn nên chủ động kiểm tra để phát hiện sớm dấu vết xâm nhập. Viettel IDC sẽ hướng dẫn bạn 3 cách quét mã độc cho website WordPress, kèm hướng dẫn đọc kết quả và lưu ý giúp hạn chế tái nhiễm.

Dấu hiệu website WordPress bị nhiễm mã độc là gì?

Website WordPress bị nhiễm mã độc có thể xuất hiện thay đổi bất thường về nội dung, hoạt động truy cập hoặc tài khoản quản trị. Bạn nên kiểm tra mã độc WordPress khi nhận thấy các dấu hiệu sau:

- Chuyển hướng sang website lạ: Khách truy cập bị đưa đến trang quảng cáo, cá cược hoặc lừa đảo khi mở website hay nhấp vào liên kết. Hiện tượng đôi khi chỉ xuất hiện trên điện thoại hoặc khi truy cập từ Google.

- Xuất hiện nội dung không do bạn tạo: Website hiển thị quảng cáo, cửa sổ bật lên, liên kết lạ hoặc các bài viết spam. Kết quả tìm kiếm cũng xuất hiện tiêu đề, mô tả hay URL không liên quan đến nội dung đã xuất bản.

- Nhận cảnh báo bảo mật: Trình duyệt hiển thị cảnh báo trang nguy hiểm, Google Search Console báo vấn đề bảo mật hoặc nhà cung cấp hosting thông báo phát hiện tệp độc hại.

- Tài khoản và quyền quản trị thay đổi bất thường: Xuất hiện tài khoản quản trị không rõ nguồn gốc, email quản trị bị thay đổi hoặc bạn mất quyền đăng nhập dù không thực hiện chỉnh sửa.

- Mã nguồn bị thay đổi ngoài dự kiến: Hosting xuất hiện tệp PHP lạ, plugin không do bạn cài đặt hoặc tệp cấu hình bị chỉnh sửa. Cần đối chiếu với lịch sử cập nhật và thao tác của người quản trị để xác định nguồn gốc.

- Tài nguyên hosting tăng đột biến: CPU, RAM hoặc băng thông tăng mạnh dù lượng truy cập không tăng tương ứng; website phản hồi chậm, gián đoạn hoặc phát sinh hoạt động gửi email bất thường.

Cách quét mã độc cho website wordpress sử dụng Plugin chuyên dụng

Plugin quét mã độc WordPress hỗ trợ kiểm tra tệp, phát hiện nội dung đáng ngờ và hiển thị cảnh báo ngay trong trang quản trị. Với Wordfence Security, bạn còn được hỗ trợ đối chiếu tệp bị chỉnh sửa với bản gốc để xác định hướng xử lý.

Bước 1: Cài đặt và kích hoạt Wordfence Security

Đăng nhập WordPress bằng tài khoản quản trị và thực hiện cài đặt plugin theo hướng dẫn:

- Truy cập Plugins → Add New Plugin → Nhập Wordfence Security vào ô tìm kiếm.

- Chọn đúng plugin Wordfence Security – Firewall, Malware Scan, and Login Security → Nhấn Install Now → Activate.

- Làm theo hướng dẫn để đăng ký hoặc nhập khóa bản quyền, lựa chọn gói miễn phí nếu chưa cần tính năng trả phí và hoàn tất kích hoạt.

- Thiết lập địa chỉ email nhận cảnh báo để theo dõi các vấn đề bảo mật được phát hiện.

Bước 2: Thiết lập và bắt đầu quét mã độc

Sau khi kích hoạt, bạn tiến hành quét mã độc WordPress bằng Wordfence ngay trong bảng điều khiển. Trước khi chạy, hãy kiểm tra tùy chọn quét để bảo đảm các thành phần cần rà soát được đưa vào phạm vi kiểm tra.

- Mở Wordfence → Scan → Truy cập Scan Options and Scheduling để xem cấu hình.

- Kiểm tra các tùy chọn quét mã độc trong tệp, đối chiếu mã nguồn và kiểm tra nội dung đáng ngờ trong bài viết, bình luận, cấu hình.

- Lưu thay đổi nếu có → Quay lại trang Scan → Nhấn Start New Scan.

- Theo dõi tiến trình và chờ thông báo hoàn tất. Thời gian quét phụ thuộc vào số lượng tệp, dung lượng website và tài nguyên hosting.

Bước 3: Đọc và xác minh kết quả quét

Kết quả Wordfence bao gồm nhiều loại cảnh báo, từ tệp nghi chứa mã độc đến thành phần cần cập nhật. Bạn cần đọc nội dung từng cảnh báo trước khi quyết định sửa hoặc xóa.

Bước 4: Xử lý cảnh báo và quét lại

Trước khi thay đổi tệp, hãy sao lưu mã nguồn và cơ sở dữ liệu để tránh mất dữ liệu khi thao tác sai. Sau đó, lựa chọn hành động phù hợp với kết quả đã xác minh:

- Repair: Khôi phục tệp được hỗ trợ về bản gốc. Kiểm tra kỹ trước khi thực hiện vì thao tác sẽ ghi đè các chỉnh sửa trong tệp.

- Delete: Xóa tệp đã xác định là độc hại và không cần thiết cho website. Không sử dụng Delete All Deletable Files khi chưa kiểm tra từng kết quả.

- Ignore: Chỉ bỏ qua khi đã xác nhận cảnh báo nhầm; không dùng để ẩn vấn đề chưa xác định được nguyên nhân.

- Thay bằng bản sạch: Với plugin hoặc theme trả phí, tự phát triển hay không được hỗ trợ Repair, lấy bộ cài đáng tin cậy từ nhà phát triển để thay thế thành phần bị ảnh hưởng.

Cuối cùng, chạy lại lượt quét và kiểm tra các chức năng quan trọng của website. Nếu mã độc tiếp tục xuất hiện hoặc hiện tượng chuyển hướng vẫn còn, cần phối hợp với nhà cung cấp hosting để kiểm tra sâu hơn.

Cách quét mã độc cho website wordpress bằng các công cụ bên ngoài

Các công cụ trực tuyến giúp kiểm tra website qua URL mà không cần cài plugin hay đăng nhập trang quản trị. Bạn chỉ cần nhập địa chỉ website, chạy kiểm tra và xem những cảnh báo được trả về.

- Sucuri SiteCheck: Kiểm tra mã độc đã biết, nội dung bị chèn và tình trạng website bị đưa vào danh sách cảnh báo. Truy cập sitecheck.sucuri.net, nhập URL → Chọn Submit và đọc kết quả.

- VirusTotal: Đối chiếu URL với nhiều nguồn phát hiện mối đe dọa để nhận diện cảnh báo liên quan đến mã độc hoặc lừa đảo. Truy cập virustotal.com, chọn URL → Nhập địa chỉ website và xem báo cáo.

Lưu ý: Kiểm tra URL từ bên ngoài không thay thế việc quét tệp và cơ sở dữ liệu trên hosting. Kết quả không phát hiện nguy hiểm chưa đủ để xác nhận toàn bộ website đã sạch mã độc.

Cách quét mã độc thủ công cho website wordpress

Quét mã độc WordPress thủ công giúp quản trị viên kiểm tra trực tiếp mã nguồn, cơ sở dữ liệu và xác định những thay đổi bất thường trên website. Phương pháp đòi hỏi kiến thức về cấu trúc WordPress và mã PHP để phân biệt thành phần độc hại với các tùy chỉnh hợp lệ.

Bước 1: Sao lưu mã nguồn và cơ sở dữ liệu

Trước khi chỉnh sửa, bạn cần lưu đầy đủ tệp website và database để phục vụ đối chiếu, khôi phục dữ liệu nếu thao tác sai. Bản sao lưu tại thời điểm nghi nhiễm phải được giữ riêng, chưa được xem là bản sạch để đưa trở lại website. 

- Sao lưu mã nguồn: Truy cập cPanel → File Manager, mở thư mục gốc của website, thường là public_html → Bật hiển thị tệp ẩn → Chọn toàn bộ nội dung và nhấn Compress → Tải tệp nén về máy tính. Xóa tệp nén khỏi thư mục công khai sau khi tải xong.

- Sao lưu bằng SFTP: Nếu sử dụng FileZilla, kết nối đến hosting bằng thông tin SFTP do nhà cung cấp cấp, sau đó tải toàn bộ thư mục website về máy.

- Sao lưu database: Mở phpMyAdmin → Chọn đúng cơ sở dữ liệu của website → Chọn Export, định dạng SQL và tải xuống.

Bước 2: Kiểm tra tệp và đối chiếu với mã nguồn gốc

Giải nén bản sao lưu vào thư mục riêng để kiểm tra, không chạy các tệp PHP đáng ngờ trên máy cá nhân. Bạn nên đối chiếu với bộ cài WordPress, plugin và theme cùng phiên bản từ nguồn chính thức để xác định phần bị thêm hoặc sửa.

Bước 3: Rà soát database và loại bỏ thành phần đã xác minh

Mã độc hoặc nội dung spam còn tồn tại trong cơ sở dữ liệu ngay cả khi các tệp đã được thay mới. Bạn cần kết hợp kiểm tra nội dung, cấu hình và tài khoản để tránh bỏ sót dấu vết xâm nhập.

- Kiểm tra bài viết và cấu hình: Trong phpMyAdmin, rà soát các bảng có hậu tố posts, postmeta và options; tìm URL chuyển hướng lạ, nội dung spam hoặc mã chèn không rõ nguồn gốc. Tiền tố bảng thực tế có thể khác wp_.

- Kiểm tra tài khoản: Đối chiếu danh sách người dùng và quyền quản trị với nhân sự đang quản lý website. Xác minh tài khoản lạ trước khi thu hồi quyền hoặc xóa.

- Xử lý tệp độc hại: Lưu bản đối chiếu, sau đó loại bỏ tệp đã xác định là mã độc. Với tệp hợp lệ bị chèn mã, ưu tiên thay bằng bản sạch đúng phiên bản; giữ lại các tùy chỉnh đã được xác minh.

- Xử lý dữ liệu bị chèn: Chỉ chỉnh sửa bản ghi đã xác định bị ảnh hưởng, không xóa hàng loạt theo một từ khóa. Với dữ liệu được lưu theo định dạng serialized, cần công cụ hoặc người có chuyên môn để tránh làm hỏng cấu trúc dữ liệu.

Không xóa toàn bộ thư mục wp-content hoặc các tệp index.php chỉ dựa vào tên tệp, vì chúng có thể thuộc cấu trúc hoạt động hợp lệ của website.

Bước 4: Khôi phục thành phần sạch và kiểm tra lại website

Sử dụng bộ cài từ WordPress.org hoặc nhà phát triển chính thức để thay thế thành phần bị ảnh hưởng. Không tải nguyên bản sao lưu nghi nhiễm ở bước đầu lên hosting, vì thao tác đó có nguy cơ đưa mã độc trở lại website.

- Thay thế mã nguồn bị ảnh hưởng: Khôi phục tệp WordPress, plugin và theme từ nguồn sạch; bảo toàn tệp cấu hình, nội dung tải lên và tùy chỉnh đã kiểm tra. Chỉ ghi đè tệp gốc sẽ không loại bỏ những tệp độc hại được thêm riêng.

- Kiểm tra hoạt động: Thử truy cập trang chủ, trang quản trị, bài viết và các chức năng quan trọng như biểu mẫu hoặc đặt hàng. Kiểm tra bằng cửa sổ ẩn danh để phát hiện chuyển hướng bất thường.

- Quét xác minh: Kết hợp công cụ quét trên hosting hoặc plugin quét mã độc WordPress với công cụ kiểm tra bên ngoài. Các phương pháp có phạm vi kiểm tra khác nhau nên cần được sử dụng bổ sung cho nhau.

Các bước cần làm ngay sau khi sạch mã độc

Sau khi quét và làm sạch trang web, bạn phải thực hiện các hành động bảo mật sau để tránh bị tấn công trở lại:

- Thay đổi toàn bộ mật khẩu: Đổi mật khẩu tài khoản Hosting/Cpanel, tài khoản Database, tài khoản FTP và tất cả tài khoản Admin quản trị WordPress.

- Xóa bỏ các User lạ: Kiểm tra danh sách thành viên quản trị, xóa ngay các User đáng ngờ tự sinh ra.

- Cập nhật: Nâng cấp phiên bản WordPress, Theme và toàn bộ Plugin lên bản mới nhất để vá các lỗ hổng bảo mật cũ.

- Tuyệt đối không dùng hàng "Null": Gỡ bỏ tất cả các theme hoặc plugin lậu (crack/null) vì chúng là nguồn chứa 90% mã độc ẩn trên WordPress.

Kết luận

Thực hiện đúng cách quét mã độc cho website WordPress giúp bạn xác định thành phần đáng ngờ và chủ động xử lý các dấu hiệu xâm nhập. Sau khi làm sạch, hãy khắc phục lỗ hổng, bảo vệ tài khoản quản trị và duy trì lịch kiểm tra để hạn chế tái nhiễm. Đừng chờ website xuất hiện cảnh báo mới bắt đầu rà soát bảo mật.