Чрезмерная нагрузка на сервер и заражение сайта на вордпресс вредоносным кодом. Делаем аудит безопасности сайта самостоятельно и убраем уязвимость с сайта вордпресс.

Если вам на почту пришло от хостера уведомление о том, что вы производите чрезмерную нагрузку на сервер или еще хуже: «На вашем аккаунте обнаружены файлы, содержащие вредоносный код.» То делаем следующее. Просим файл логов за последнее время у вашего хостера и просим его сказать, где именно поселился вредоносный код. Он заливает логи в вашу корневую папку и дает вам адреса вредоносных фалов. Если ваш хостер не оказывает такие услуги, то стоит задуматься о том, чтобы его сменить. Рекомендую свой хостинг, пользуюсь уже 5 лет и очень довольна, и тех.поддержкой в том числе.

Итак, открываем файл с логами обращений к серверу через программу Notepad++ или Dreamweaver и смотрим. Если идет очень много запросов к файлам xmlrpc.php и/или wp-login.php, то это пытаются подобрать ваш пароль от админки и если у вас уже поселился вредоносный код, то судя по всему, уже подобрали. Пароль от админки, естественно, надо поменять на сложный, и файлы с вредоносными кодами удалить, но этого мало. Если вы не уберете уязвимость на вашем сайте на вордпресс, то все это обязательно повторится. Делаем следующее:

  1. Устанавливаем плагин Limit Login Attempts, он не даст злоумышленникам сделать более 4 подборов и заблокирует их на сутки. В настройках плагина выбираем вариант «За прокси», а то защитите свой сайт на вордпресс не только от злоумышленников, но и от добропорядочных граждан. Смотрите в видео, где именно эту настройку искать.
  2. Устанавливаем плагин Disable XML-RPC и активируем его. Все, теперь мы отключили этот злосчастный и не очень-то нужный xmlrpc.php. Если вы пользуетесь дистанционным управлением админки, то эту функцию вам отключать нельзя, ищите другое решение проблемы с чрезмерной нагрузкой на сервер и защитой ваших сайтов на вордпресс от подборки пароля и внедрению вредоносных кодов.
  3. Закрываем wp-login, так как в некоторых случаях плагин может не сработать. В файл .htaccess добавляем следующий код (см. в видео ниже):
    <Files wp-login.php>
    Order Deny,Allow
    Deny from all
    </Files>
  4. Переименовываем файл wp-login, предварительно его скопировав и изменив внутри него все «wp-login» на новое имя файла (см. в видео).

Все, теперь можете спать спокойно.


Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

пятнадцать − 3 =