Что было в письме
Хостинг сообщил, что в интернете массово эксплуатируют уязвимость, позволяющую через параметр в адресе страницы подключить посторонний файл на сервере и выполнить код. Сайт клиента был в числе атакуемых. Такие письма хостинги рассылают по своим журналам: они видят запросы с характерным шаблоном.
Как проверяли
- Журнал доступа. Нашли запросы с шаблоном атаки — они шли восемь дней подряд с разных IP-адресов. Важно не только наличие запросов, но и ответы сервера: успешный ответ на атакующий запрос — тревожный знак, ошибка или блокировка — нет.
- Условия уязвимости. Атака работала только при определённой структуре файлов темы. У темы магазина такой структуры не было, поэтому запросы уходили в пустоту.
- Ответы сервера сейчас. К моменту проверки хостинг уже включил правило веб-фаервола, и атакующие запросы получали ответ 403.
- Файлы. Проверили сайт на новые и изменённые PHP-файлы, файлы в
uploadsи посторонний код — ничего не нашли. - Администраторы. Список совпадал с тем, что знал владелец.
Когда письмо хостинга — повод срочно действовать
Уведомление об атаке и уведомление о заражении — разные вещи. Срочно реагировать нужно, если хостинг пишет:
- о найденных вредоносных файлах на аккаунте;
- о рассылке спама с вашего сайта;
- о блокировке сайта или ограничении его работы;
- о резком росте нагрузки, которую создаёт ваш сайт.
Что делать в этом случае — в статье «Хостинг заблокировал сайт из-за вирусов».
Что сделать, если пришло письмо об атаке
- Не паниковать и ничего не удалять наугад.
- Обновить WordPress, тему и плагины — чаще всего атакуют уже исправленные уязвимости.
- Посмотреть журнал доступа на ответы сервера к атакующим запросам.
- Проверить администраторов и новые PHP-файлы — по инструкции «Как проверить сайт на вирусы».
- Сделать свежую резервную копию, пока сайт заведомо чистый.
Частые вопросы
Если сайт атакуют, значит его кто-то выбрал?
Почти никогда. Боты перебирают все сайты подряд и пробуют одну и ту же уязвимость на каждом. Атака на ваш сайт — это фон интернета, а не персональная охота.
Нужно ли отвечать хостингу?
Если письмо информационное — нет. Если хостинг просит устранить проблему или ограничил сайт, ответьте после проверки и опишите, что сделали.
Можно ли защититься от атак заранее?
Полностью остановить попытки нельзя, но можно сделать их бесполезными: актуальные версии, минимум плагинов, веб-фаервол и ежедневная проверка. Это и делает подписка FYZI Shield.