WordPress 遭駭？最初 24 小時該怎麼做

服務簡介

WordPress 遭入侵通常代表有人取得了修改檔案、資料庫或使用者帳號的能力。常見跡象包括：不明的管理員使用者、陌生的外掛或檔案、被注入的 JavaScript、被搜尋引擎收錄的垃圾頁面、只影響部分訪客的重新導向、對外寄送的垃圾郵件，或來自瀏覽器或搜尋引擎的警告。常見的入侵途徑包括：過時或已停止維護的外掛與佈景主題、重複使用或強度不足的密碼、遭盜用的代管或 FTP 憑證，以及不安全的檔案權限。最初 24 小時的重點是確認發生了什麼、防止進一步損害、保留紀錄，並為徹底清理做好準備；逐一檔案的詳細清理會作為獨立步驟隨後進行。

適用對象

本清單適用於：

• 在沒有專職資安團隊的情況下管理 WordPress 網站的企業主與行銷團隊
• 為剛被通報遭入侵的客戶網站提供支援的代理商
• 收到代管停用通知或瀏覽器警告的內部 IT 人員
• 需要在清理工作開始前向服務商清楚說明情況的任何人

有助釐清的問題

依照本清單操作，有助於釐清：

• 網站是否確實遭到入侵，還是出現了設定或外掛故障
• 發生了哪些變化、何時發生，以及可能涉及哪些帳號
• 誰擁有代管、網域、DNS 與備份，以及誰有權核准變更
• 客戶資料或付款流程是否可能受到影響，是否需要另行處理

包含內容

• 第 0–2 小時：記下發現了什麼、何時發現、由誰發現；將警告、重新導向與陌生頁面截圖
• 第 0–2 小時：確認誰掌控代管、網域註冊商、DNS、CDN 與 WordPress 管理後台
• 第 1–4 小時：完整複製目前狀態的檔案與資料庫，並另行存放；不要覆蓋較早的備份
• 第 1–4 小時：如訪客正受到損害，可考慮將網站切換為維護模式，或請代管服務商限制存取
• 第 2–6 小時：使用一台乾淨的裝置，變更代管、FTP/SFTP、資料庫與 WordPress 管理員的密碼；在可用時啟用多重要素驗證
• 第 2–6 小時：審查 WordPress 使用者，刪除或停用您不認識的帳號，並記錄刪除了哪些帳號
• 第 4–12 小時：收集可取得的伺服器存取日誌與代管服務商的安全通知
• 第 6–24 小時：將您的紀錄、日誌與備份副本提供給合格的服務商，並約定清理範圍

不包含內容

• 惡意軟體清除指令，或在沒有備份的情況下編輯核心檔案的說明
• 關於是否需要發出資料外洩通知的法律建議
• 宣稱僅變更密碼就能解決入侵問題
• 建議聯絡攻擊者或對其進行報復

適用時機

一旦懷疑網站遭到入侵，請在開始刪除檔案或還原備份之前使用本清單。如果網站處理付款或儲存客戶個人資料，請盡早讓負責隱私與法律義務的人員參與；通知義務取決於具體事實與司法管轄區，本文不構成法律建議。如果代管服務商已停用帳號，請詢問對方需要您提供什麼才能恢復存取，以及對方是否保存了可供使用的日誌。

我們的方法

優先做好圍堵與紀錄，而不是追求表面清理的速度。一個看起來恢復正常的網站，仍可能藏有後門，讓攻擊者在幾天內捲土重來。在未封堵入侵途徑的情況下還原舊備份，往往會導致再次感染。完成初始步驟後，清理工作應涵蓋檔案、資料庫、使用者、排程工作與伺服器設定，接著封堵入侵途徑並進行強化。我們的 Incident Recovery 服務提供：對約定網站或 WordPress 問題的初步審查與分類、實際圍堵處置、清除惡意程式碼、後門與未經授權的使用者、安全還原、封堵已識別的入侵途徑，以及附有強化建議的書面報告。這是針對已確認網站、範圍明確的工作，法律判定則由您的法律顧問負責。無論由誰協助您，都請對方說明發現了什麼、變更了什麼，並將該報告與您的紀錄一併保存。

Incident Recovery

常見問題

相關文章