Masz na stronie dziwne przekierowania albo podejrzane reklamy po instalacji dodatku? Jeśli zastanawiasz się, jak sprawdzić czy wtyczka WordPress nie zawiera złośliwego kodu, jesteś we właściwym miejscu. Pokażę ci konkretne kroki, które możesz wykonać samodzielnie lub z pomocą developera.
Jak rozpoznać złośliwą wtyczkę?
Podejrzana wtyczka często zdradza się zachowaniem całej strony. Po jej instalacji lub aktualizacji możesz zauważyć nagłe spowolnienie, problemy z logowaniem czy komunikaty przeglądarki o niebezpiecznej witrynie. Czasem objawy są bardziej subtelne i wychodzą na jaw dopiero po kilku dniach, na przykład jako spadek pozycji w wyszukiwarce lub skargi użytkowników.
Dobrze jest regularnie sprawdzać, czy po instalacji nowego dodatku nie pojawiły się nietypowe elementy na stronie. Szczególnie zwróć uwagę na zmiany w treści, nowe konta administratorów oraz nieznane podstrony. To często pierwszy sygnał, że wtyczka dołożyła coś od siebie w sposób, którego nie planowałeś.
Jeśli masz wątpliwości, przejdź przez krótką checklistę symptomów, które mogą wskazywać na zainfekowany dodatek:
- nieznane podstrony w wynikach wyszukiwarki, na przykład po komendzie „site:twoja-domena.pl”,
- przekierowania użytkowników na inne strony bez twojej zgody,
- nowi użytkownicy z uprawnieniami administratora, których nie tworzyłeś,
- nagły wzrost wysyłanych z serwera wiadomości e‑mail,
- pliki o dziwnych, losowych nazwach w katalogu wtyczki.
Jak ręcznie sprawdzić kod wtyczki?
Najpewniejsza metoda, jak sprawdzić czy wtyczka WordPress nie zawiera złośliwego kodu, to zajrzenie do jej plików. Połącz się z serwerem przez FTP lub menedżer plików w panelu hostingu i otwórz katalog wp-content/plugins. Wejdź do folderu podejrzanego dodatku i poszukaj tam plików PHP o nietypowych nazwach albo zmienionych dat.
W plikach głównych wtyczki sprawdź pierwsze linie kodu. Złośliwy kod bywa ukryty przed otwierającym tagiem PHP lub po wielu wciśnięciach spacji i tabulatorów. Jeśli przesuniesz poziomy suwak w edytorze i zobaczysz długi, niezrozumiały ciąg znaków, który jest dekodowany przed funkcją wykonującą kod, to mocny sygnał ostrzegawczy.
Szczególną czujność powinny wzbudzać fragmenty korzystające z funkcji, które często pojawiają się w malware. W plikach wtyczki zwróć uwagę na między innymi:
- długie ciągi znaków przepuszczane przez funkcje typu base64_decode albo gzuncompress,
- wywołania funkcji wykonujących kod, na przykład eval lub assert,
- polecenia systemowe, takie jak system lub exec, uruchamiane na podstawie danych z zewnątrz,
- pobieranie kodu z zewnętrznych adresów za pomocą file_get_contents czy podobnych funkcji.
Czasem złośliwy dodatek podmienia też treści w bazie danych. Warto więc zajrzeć do bazy przez phpMyAdmin i wyszukać w tabeli wpisów i stron podejrzane fragmenty, na przykład tagi „script” lub „iframe” z obcymi domenami.
Jak skanować wtyczki pod kątem malware?
Ręczna analiza plików jest dokładna, ale bywa czasochłonna. Dlatego warto połączyć ją ze skanem automatycznym. Najlepiej działają narzędzia uruchamiane bezpośrednio na serwerze, które mają dostęp do wszystkich plików i nie ograniczają się tylko do tego, co widzi przeglądarka. Dobrze skonfigurowany skaner potrafi wskazać konkretne pliki i linie kodu wymagające dogłębnego sprawdzenia.
Bez względu na to, z jakiego narzędzia korzystasz, zawsze trzymaj się tego schematu postępowania:
- zrób pełną kopię zapasową plików i bazy danych strony,
- włącz tryb konserwacji lub tymczasowo ogranicz dostęp użytkownikom,
- uruchom skan całej instalacji, ale szczególnie zwróć uwagę na katalog wp-content/plugins,
- każdy wykryty plik przeanalizuj ręcznie, zanim go usuniesz lub nadpiszesz czystą kopią,
- na koniec powtórz skan, aby upewnić się, że nic nie zostało pominięte.
Dobrym uzupełnieniem jest też sprawdzanie wyników w wyszukiwarce za pomocą operatora „site:twoja-domena.pl”. Jeżeli pojawiają się tam podstrony z treściami, które nie pasują do profilu witryny, wtyczka mogła wstrzyknąć spamowe wpisy lub linki.
Jak wybierać bezpieczne wtyczki WordPress?
Najłatwiejszy sposób, aby nie martwić się o złośliwy kod, to nie instalować dodatków z podejrzanych źródeł. Pliki typu „nulled” czy płatne wtyczki pobierane z forów w formie „kopii” często mają już wgrane backdoory. Lepiej sięgnąć po oficjalne repozytorium lub sprawdzonych autorów, którzy regularnie aktualizują swoje projekty.
Przed instalacją nowego dodatku sprawdź podstawowe informacje o nim. Zwróć uwagę, kiedy ostatnio był aktualizowany, jak dużo osób faktycznie go używa oraz jakie ma opinie. Dobrą praktyką jest także ograniczanie liczby zainstalowanych wtyczek do tych naprawdę potrzebnych. Każdy dodatkowy moduł to kolejny fragment kodu, który ktoś może spróbować wykorzystać.
Jeśli chcesz pogłębić temat analizy kodu i bezpieczeństwa, przydatne materiały znajdziesz między innymi na stronie mlodyhaker.pl, gdzie krok po kroku omawiane są realne przykłady podatności.
Jak zabezpieczyć stronę po wykryciu złośliwego dodatku?
Kiedy masz już pewność, że wtyczka jest zainfekowana, nie wystarczy samo jej wyłączenie w panelu. Najpierw usuń ją całkowicie z katalogu wp-content/plugins, a następnie sprawdź, czy nie zostawiła dodatkowych plików w innych folderach, na przykład w uploads. Jeśli masz czysty backup sprzed instalacji dodatku, rozważ przywrócenie strony właśnie z tej kopii.
Po usunięciu wtyczki zmień wszystkie hasła powiązane ze stroną. Dotyczy to kont administratorów, panelu hostingu, FTP oraz bazy danych. Zaktualizuj też WordPress, pozostałe wtyczki i motywy, usuń nieużywane dodatki i ogranicz liczbę kont z uprawnieniami administratora. To jeden z najpewniejszych sposobów, jak sprawdzić czy wtyczka WordPress nie zawiera złośliwego kodu i jednocześnie nie dopuścić do ponownego ataku.
Artykuł powstał przy współpracy z mlodyhaker.pl.
Artykuł sponsorowany
