شناسایی کد مخرب وردپرس؛ راهنمای جامع کشف و پاکسازی شل‌ها و بدافزارها

وردپرس محبوب‌ترین سیستم مدیریت محتوا در دنیاست و همین موضوع آن را به یکی از محبوب‌ترین هدف‌ها برای هکرها تبدیل کرده است. تزریق کدهای مخرب یا بدافزارها در وردپرس می‌تواند بدون اینکه شما متوجه شوید، ماه‌ها در لایه‌های پنهان سایت باقی بماند. این کدها معمولاً برای سرقت اطلاعات، ارسال اسپم، ریدایرکت کردن کاربران یا نابودی سئوی سایت استفاده می‌شوند. شناسایی به‌موقع و دقیق این آلودگی‌ها اولین قدم برای حفظ اعتبار کسب‌وکار شما در دنیای وب است.

🔍 نقشه راه سریع شناسایی و پاکسازی کد مخرب در ۴ گام

۱. بررسی نشانه‌ها
افت رتبه گوگل، ریدایرکت‌های مشکوک، کندی شدید یا اخطار مرورگرها.

۲. اسکن اولیه
استفاده از اسکنرهای آنلاین و ابزارهای سنجش سلامت هسته وردپرس.

۳. بازرسی دستی فایل‌ها
بررسی فایل‌های حساسی مثل htaccess، functions.php و پوشه wp-content.

۴. پاکسازی و ایمن‌سازی
جایگزینی فایل‌های اصلی، تغییر تمام رمزها و نصب دیواره آتش.

فهرست مطالب مقاله

نشانه‌های اصلی آلوده شدن وب‌سایت وردپرسی
کدهای مخرب در کدام فایل‌ها پنهان می‌شوند؟
آموزش گام‌به‌گام شناسایی کدهای مخرب (دستی و خودکار)
توابع خطرناک در PHP که نشان‌دهنده بدافزار هستند
جدول مقایسه اسکن دستی و اسکن با افزونه
اقدامات ضروری برای جلوگیری از آلودگی مجدد
عیب‌یابی سریع (Troubleshooting)
سوالات متداول (FAQ)

پاسخ سریع: کد مخرب وردپرس چیست و چطور شناسایی می‌شود؟

کد مخرب وردپرس قطعه کدی ناخواسته (معمولاً به زبان PHP یا JavaScript) است که بدون اجازه مدیر وارد فایل‌ها یا دیتابیس می‌شود. برای شناسایی سریع، می‌توانید فایل‌های سایت را با نسخه اصلی وردپرس در گیت‌هاب مقایسه کنید، از دستورات جستجوی توابع مشکوک مانند eval() و base64_decode() استفاده کنید یا افزونه‌های امنیتی را برای اسکن هش فایل‌ها به کار بگیرید.

نشانه‌های اصلی آلوده شدن وب‌سایت وردپرسی

خیلی وقت‌ها مدیران سایت‌ها دیر متوجه آلودگی می‌شوند؛ زمانی که گوگل سایت را مسدود کرده یا اسپم‌های زیادی ارسال شده است. برای این‌که سریع متوجه خطر شوید، باید نشانه‌های زیر را دقیق زیر نظر بگیرید. برای تقویت بنیان امنیتی سایت حتماً مقالات بخش امنیت سایت را دنبال کنید.

۱. تغییر ناگهانی رفتار سایت و ریدایرکت‌های مشکوک

یکی از شایع‌ترین مدل‌های بدافزار، کدهای هدایت‌کننده هستند. وقتی کاربر روی لینک‌های سایت شما کلیک می‌کند، به مستغیم وارد صفحات تبلیغاتی یا سایت‌های ناشناس می‌شود. این کدها معمولاً طوری تنظیم می‌شوند که برای کاربران واردشده (لاین‌آوت نشده) یا مدیران سایت اجرا نشوند تا شما دیرتر متوجه شوید!

۲. افت شدید سئو و دریافت اخطار Red Screen گوگل

گوگل وب‌سایت‌ها را به‌صورت مداوم بررسی می‌کند. اگر کدهای مخرب باعث ایجاد کلمات کلیدی اسپم ژاپنی یا عربی در نتایج شوند، یا بدافزار توسط الگوریتم‌ها شناسایی شود، گوگل صفحه قرمز معروف “The site ahead contains harmful programs” را به کاربران نشان داده و این موضوع افت شدید رتبه در خدمات سئو سایت شما را رقم خواهد زد.

۳. ایجاد کاربران مدیر (Administrator) ناشناخته

اگر در بخش «کاربران» وردپرس افرادی با سطح دسترسی مدیر دیدید که خودتان آن‌ها را نمیساخته‌اید، قطعاً سایت شما هک شده است. هکرها با این کار یک در پشتی (Backdoor) برای دسترسی‌های بعدی ایجاد می‌کنند.

کدهای مخرب در کدام فایل‌ها پنهان می‌شوند؟

هکرها تصادفی فایل‌ها را انتخاب نمی‌کنند. آن‌ها سراغ اجراشونده‌ترین و حساس‌ترین فایل‌های وردپرس می‌روند. هنگام اجرای پروژه طراحی سایت باید تمام ضوابط امنیتی رعایت شود تا این مسیرها کاملاً مسدود گردند.

فایل index.php: در اکثر موارد کدهای مخرب در بالاترین بخش این فایل قرار می‌گیرند تا با هر بار بارگذاری سایت فراخوانی شوند.
فایل .htaccess: برای تغییر مسیر کاربران، مسدود کردن دسترسی ابزارهای امنیتی یا اجرای دستورات مخرب لینوکسی دستکاری می‌شود.
فایل wp-config.php: تزریق کدهای رمزنگاری شده در این فایل باعث اجرای مخفیانه بدافزار در کل سیستم می‌شود.
فایل functions.php پوسته: یکی از راحت‌ترین مکان‌ها برای اضافه کردن کدهای دستکاری شده است که پس از آپدیت قالب ممکن است پاک شوند اما تا آن زمان تقییر ایجاد می‌کنند.
پوشه wp-content/uploads: معمولاً این پوشه باید فقط شامل فایل‌های رسانه‌ای باشد، اما هکرها فایل‌های با پسوند php. را در آن پنهان می‌کنند.

آموزش گام‌به‌گام شناسایی کدهای مخرب (دستی و خودکار)

برای کشف بدافزارها دو مسیر پیش رو دارید: روش‌های خودکار و روش‌های بررسی دستی کدها. در ادامه مراحل دقیق انجام این کار را مرور می‌کنیم.

اسکن آنلاین سایت با ابزارهای امنیتی خارج از هاست
قبل از هر کاری سایت خود را در ابزارهایی مانند Sucuri SiteCheck یا VirusTotal اسکن کنید. این ابزارها کدهای جاوااسکریپت مخرب و ریدایرکت‌های ظاهر شده در سمت کاربر را به‌سرعت شناسایی می‌کنند.
بررسی سلامت فایل‌های هسته با WP-CLI یا مقایسه هش
اگر به SSH دسترسی دارید، می‌توانید با دستور زیر نسخه وردپرس خود را با نسخه اصلی کدهای رسمی وردپرس مقایسه کنید:

wp core verify-checksums

این دستور اگر فایلی در هسته تغییر کرده یا کدی به آن اضافه شده باشد، دقیقاً نام فایل را به شما نشان می‌دهد.
جستجوی توابع مشکوک با دستور grep در هاست
هکرها برای پنهان‌سازی کدها از الگوریتم‌های Base64 استفاده می‌کنند. از طریق ترمینال هاست وارد پوشه public_html شوید و دستور زیر را اجرا کنید:

grep -Rn “base64_decode” ./wp-content/

این دستور تمام فایل‌هایی که از تابع decode استفاده کرده‌اند را لیست می‌کند.
بررسی دیتابیس برای کدهای تزریق شده (SQL Injection)
وارد phpMyAdmin شوید، دیتابیس سایت را انتخاب کرده و کلماتی مانند <script> یا eval را در جدول wp_posts و wp_options جستجو کنید.

توابع خطرناک در PHP که نشان‌دهنده بدافزار هستند

شناخت ساختار کدهای مخرب به شما کمک می‌کند هنگام باز کردن فایل‌ها سریعاً متوجه کدهای غیرعادی شوید. کدهای مخرب معمولاً به‌صورت نامفهوم (Obfuscated) نوشته می‌شوند. اگر کدی مانند نمونه زیر دیدید، به احتمال ۹۹ درصد با یک کد مخرب یا شل (Shell) روبه‌رو هستید:

<?php

$val = “aWdub3JlX3VzZXJfYWJvcnQoKTs=”;

eval(base64_decode($val));

?>

مهم‌ترین توابعی که باید به آن‌ها حساسیّت داشته باشید عبارتند از:

eval(): اجرای کدهای رشته‌ای به‌عنوان کد PHP (بسیار خطرناک).
base64_decode(): رمزگشایی رشته‌های به‌ظاهر نامفهوم.
gzinflate() یا str_rot13(): برای فشرده‌سازی و پیچیده‌تر کردن خوانایی کد مخرب.
system() / exec() / shell_exec(): اجرای مستقیم دستورات سرور.

جدول مقایسه روش اسکن دستی و اسکن با افزونه

در تیم مهیار هاب همیشه تاکید می‌شود که اتکای صرف به افزونه‌ها کافی نیست. جدول زیر دید خوبی از تفاوت این دو روش ارائه می‌دهد:

اسکن با افزونه‌های امنیتی (مثل Wordfence)	اسکن و بازرسی دستی فایل‌ها
سرعت بالا و اجرای آسان بدون نیاز به دانش فنی	نیازمند دانش فنی و آشنایی با ساختار کدنویسی PHP
امکان نادیده گرفته شدن کدهای جدید و شناسایی‌نشده (Zero-Day)	کشف دقیق کدهای دست‌ساز و شل‌های پیچیده
مصرف منابع سرور و احتمال کندی هاست هنگام اسکن	بدون ایجاد فشار روی سرور و هاستینگ
احتمال گزارش موارد مثبت کاذب (False Positive)	دقت بالا در تشخیص کدهای مخرب واقعی از توابع سالم

اقدامات ضروری برای جلوگیری از آلودگی مجدد

پاکسازی کدهای مخرب تنها نیمی از مسیر است. اگر آسیب‌پذیری اصلی را برطرف نکنید، هکرها مجدداً در عرض چند ساعت وارد سایت می‌شوند. برای جلوگیری از نفوذ وردپرس حتماً اقدامات زیر را انجام دهید:

آپدیت مداوم: هسته وردپرس، قالب‌ها و افزونه‌ها را همواره به آخرین نسخه به‌روزرسانی کنید.
استفاده از فایروال: فعال‌سازی یک WAF وردپرس قدرتمند می‌تواند از حملات لایه اپلیکیشن جلوی ورود کدهای آلوده را بگیرد.
محدودسازی دسترسی‌ها: در برخی حالات غیرفعال کردن rest api وردپرس از دسترسی غیرمجاز و اسکن نقاط ضعف سایت توسط ربات‌ها جلوگیری می‌کند.
پشتیبان‌گیری منظم: حتماً از یک افزونه بکاپ وردپرس مطمئن استفاده کنید تا در صورت وقوع مشکل بتوانید سایت را به حالت قبل بازگردانید.
جلوگیری از ارسال ایمیل اسپم: اگر هکرها از سرور شما برای ایمیل مارکتینگ مخرب استفاده کنند، آبروی دامنه از بین می‌رود. راهکارهای جلوگیری از اسپم ایمیل وردپرس را جدی بگیرید.

عیب‌یابی سریع (Troubleshooting)

اگر هنگام کشف کدهای مخرب با چالش‌های زیر مواجه شدید، طبق راهکارهای پیشنهادی عمل کنید:

مشکل ۱: کدهای آلوده را پاک می‌کنم اما دوباره بازمی‌گردند!

علت: یک فایل بدافزار خودکار (Cron Job یا Backdoor) روی هاست باقی مانده یا یک افزونه نول‌شده آلوده همچنان فعال است.
راه‌حل: تمام افزونه‌های غیرضروری را حذف کنید، کل فایل‌های core وردپرس به جز wp-content و wp-config.php را پاک کرده و نسخه تازه دانلود شده از سایت رسمی را جایگزین کنید.

مشکل ۲: بعد از پاکسازی کدهای آلوده، صفحه سفید (White Screen of Death) ظاهر می‌شود.

علت: کدی که پاک کرده‌اید تگ‌های باز یا بسته‌شده PHP مانند <?php یا ?> را ناقض کرده یا بخشی از کد سالم سایت را حذف کرده‌اید.
راه‌حل: حالت WP_DEBUG را در فایل wp-config روی true قرار دهید تا خطای دقیق و شماره خطِ دارای مشکل مشخص شود.

سوالات متداول (FAQ)

آیا کدهای مخرب همیشه در فایل‌های PHP قرار دارند؟

خیر. بسیاری از کدهای مخرب به‌صورت کدهای جاوا اسکریپت (.js) یا درون دیتابیس تزریق می‌شوند تا فقط مرورگر کاربر را تحت تاثیر قرار دهند.

چگونه بفهمم کدی که پیدا کرده‌ام مخرب است یا متعلق به خود وردپرس است؟

کدهای اصلی وردپرس در مخزن رسمی گیت‌هاب موجود هستند. کافیست نام فایل و مسیر آن را مقایسه کنید یا از اسکنرهای مقایسه‌ای مثل Wordfence کمک بگیرید.

آیا تغییر پسووردها پس از پاکسازی کدهای مخرب الزامی است؟

بله، ۱۰۰٪. پس از شناسایی و پاکسازی، باید پسوورد تمام مدیران، اکانت هاست (cPanel/DirectAdmin)، دیتابیس و اکانت‌های FTP را فوراً تغییر دهید.

سوالات متداول

سریع‌ترین روش برای شناسایی کد مخرب در وردپرس چیست؟

استفاده از ابزارهای اسکن آنلاین مانند Sucuri SiteCheck و اجرای دستور wp core verify-checksums سریع‌ترین راه برای کشف تغییرات ناخواسته و کدهای دستکاری شده در هسته وردپرس است.

کدهای مخرب بیشتر در کدام فایل‌های وردپرس قرار می‌گیرند؟

هکرها معمولاً کدهای مخرب را در فایل‌های index.php، .htaccess، functions.php قالب و پوشه wp-content/uploads تزریق می‌کنند تا عملکرد کل سایت را دستکاری کنند.

توابع خطرناک PHP که نشان‌دهنده بدافزار هستند کدامند؟

توابعی نظیر eval()، base64_decode()، shell_exec() و system() از جمله مواردی هستند که هکرها برای اجرای کدهای رمزنگاری شده و بدافزارها از آن‌ها استفاده می‌کنند.

آیا افزونه‌های امنیتی می‌توانند تمام کدهای مخرب را پاکسازی کنند؟

افزونه‌های امنیتی بخش زیادی از بدافزارها را شناسایی می‌کنند، اما برای پاکسازی کامل و مسدود ساختن درهای پشتی (Backdoors)، بازرسی دستی فایل‌ها و دیتابیس ضروری است.