Сайты на WP ломают много и постоянно(пытаются по крайней мере с помощью толпы сканеров)
>>Зачем это все загружают? Там нечего на обычных сайтах тырить особо, никаких ботов вроде не создается и часто это виртуальные хостинги, т.е. рута к системе у них нет точно.
Ломают не для того чтобы украсть, а делают фейковые страницы, встраивают ссылки, рекламные редиректы. Ты их даже не увидишь, а гугл проиндексирует. А твои посетители с мобильных улетят на какую-нибудь рекламную ссылку, и опять же пока сам с мобильного не зайдешь даже не узнаешь об этом.
Такие сайты ломают тысячами — получают большие фермы из которых можно много чего выжать. В основном всё такое говно идёт с китайцев(с их серверов)
>>Что можно поставить на сервере для отслеживания постфактум — через какую хрень взломали?
Начальную точку заражению почти нереально найти. Дыры новые регулярно появляются, старые закрываются и так по кругу.
Тут уже только расследование на живом сайте который ломают. Т.е. чистишь сайт, опять вирусню заливают, пытаешься понять откуда.
Разные варианты пробуешь: плагины,закрыть доступ на запись куда-либо и т.д.
>> Через что лучше сканировать на предмет наличия вирусов?
Cканеры особо не помогают, вирусы на рандоме в основном. Т.е. набор буквоцифр. Многое упускается из виду.
Но как вариант ClamAV — это серверный антивирус. Он находит, но не всё.
Как избежать взломов мой рецепт
- использовать меньше плагинов по возможности
- желательно все плагины из более менее популярных.
- обновляться постоянно(WP ядро, Плагины, Темы)
- ну пароль само собой сложный у админа😂
Как лечить взломы
Шаг 1: Ставим Wordfence — сканируем файлы, все что заражено очищаем.
Чистим руками все что видим сами и через Wordfence.
Wordfence игнорирует вирусные файлы которые лежат например в корне сайта и не являются стандартными для WP.
Там конечно можно включить проверку вообще всех файлов, да еще и по базе вирусов, но тогда проверка никогда не закончится, если у вас старый сайт с большим количеством контента и файлов.
Поэтому проверяем сами вручную все папки стандартные на наличие аномалий. Вычищаем.
Шаг 2: Ждём какое-то время.
Если вирусня не появляется — значит все почистили хорошо.
Если появляется значит возвращаемся к Шагу 1. Чистим заново еще тщательнее.
Шаг 3: Снова ждём.
Если ничего нет — профит.
Если есть — начинаем подозревать плагины.
Тут уже подробнее особо не расписать, все индивидуально.
Пытаемся узнать какой плагин нас подставил, затем лечим или убиваем его.
Небольшая сноска: почти все повторные взломы это последствия плохой чистки после первоначального. Так что первоначальная дыра может быть уже закрыта обновлениями, а вирусы тем не менее размножаются через модифицированные/созданные при первом заражении файлы.