Backdoor là cơ chế bí mật giúp kẻ tấn công quay lại hệ thống sau khi mật khẩu đã đổi hoặc tệp mã độc dễ thấy đã bị xóa. Trong WordPress, backdoor có thể nằm trong plugin giả, theme, mu-plugin, tệp tải lên, wp-config.php, cron, database hoặc một tài khoản quản trị được tạo kín đáo.
Backdoor không nhất thiết là một tệp có tên đáng ngờ. Nó có thể là vài dòng mã được chèn vào một tệp hợp lệ hoặc một hook chỉ chạy khi có tham số, cookie hay user-agent cụ thể.
Vì sao quét mã độc một lần chưa đủ?
Máy quét dựa trên chữ ký giỏi phát hiện mẫu đã biết nhưng có thể bỏ qua mã bị làm rối, mã mới hoặc thay đổi rất nhỏ trong tệp hợp lệ. Vì vậy cần kết hợp so sánh với nguồn sạch, xem thời gian sửa tệp, tìm tệp mới, rà tài khoản và quan sát hành vi sau làm sạch.
Những nơi cần kiểm tra có hệ thống
- WordPress core: đối chiếu checksum hoặc thay bằng gói chính thức cùng phiên bản phù hợp.
- Plugin và theme: so sánh với bản phát hành tin cậy, đặc biệt plugin không còn nguồn cài đặt.
- wp-content/uploads: tìm PHP và tệp thực thi không cần thiết.
- mu-plugins, drop-ins và wp-config.php: các thành phần dễ bị bỏ quên khi chỉ nhìn trang Plugins.
- Database: rà options, nội dung widget, script chèn, user và quyền quản trị.
- Cron hệ điều hành và WP-Cron: phát hiện tác vụ tải lại mã hoặc tạo tài khoản.
Dấu hiệu một đoạn mã cần điều tra
Các chuỗi giải mã dài, hàm thực thi động, yêu cầu tới tên miền không liên quan, mã chạy theo cookie bí mật hoặc thao tác tạo tệp là tín hiệu cần xem xét. Tuy nhiên, một hàm “nguy hiểm” có thể xuất hiện hợp lệ trong plugin; không nên kết luận chỉ từ một từ khóa. Hãy đọc ngữ cảnh, nguồn gốc tệp và lịch sử thay đổi.
Cách thay thế mã nguồn an toàn
WordPress core, plugin và theme từ nguồn chính thức nên được thay bằng bản sạch thay vì chỉ xóa dòng bị đánh dấu. Với code tùy biến, so sánh với repository hoặc bản triển khai đáng tin. Không ghi đè mù toàn bộ wp-content vì uploads và cấu hình doanh nghiệp có thể bị mất; cũng không dùng gói tải từ nguồn không xác minh.
Đóng đường quay lại
Xóa backdoor chỉ giải quyết phần tồn tại. Cần vá plugin/theme dễ tổn thương, xóa thành phần không dùng, thu hồi credential, thay secret keys, rà máy tính quản trị và kiểm tra website cùng tài khoản hosting. Nếu không tìm được điểm vào, cần tăng giám sát thay đổi tệp và log sau khi mở lại.
Phân tích tệp nghi vấn phải diễn ra trong môi trường cách ly. Đổi đuôi tệp hoặc mở trong trình soạn thảo an toàn; không truy cập trực tiếp qua trình duyệt.
Xác minh sau khi gỡ backdoor
Quét lại từ nhiều lớp, rà tệp mới sửa, kiểm tra tài khoản và cron, thử luồng đăng nhập, form, thanh toán và theo dõi ít nhất qua một chu kỳ vận hành. Nếu dấu hiệu quay lại, hãy coi đây là bằng chứng còn đường xâm nhập hoặc persistence chưa được xử lý.
Nguồn tham khảo chính thức
Xem hướng dẫn thay thế core, rà tệp và kiểm soát truy cập trong FAQ My site was hacked và tài liệu Hardening WordPress.
Backdoor tồn tại vì attacker cần đường quay lại
Nó có thể là file PHP, admin ẩn, cron, application password, SSH key hoặc code trong database. Tìm một webshell không chứng minh chỉ có một cơ chế persistence.
Đặc điểm khiến backdoor khó nhận ra
Tên giống core, timestamp giả, code chia nhỏ, chỉ chạy với tham số bí mật hoặc tải payload từ xa. Scanner signature giúp sàng lọc nhưng phải kết hợp checksum, behavior, owner và log.
Xử lý một mẫu backdoor
- Lưu hash, metadata và nội dung vào vùng cách ly.
- Tìm mọi bản sao/pattern liên quan.
- Truy ngược request hoặc user tạo nó.
- Đóng lỗ hổng và xoay credential.
- Theo dõi file, cron và outbound sau khi gỡ.
Xóa file trước khi hiểu nguồn tạo thường dẫn tới vòng lặp “dọn rồi tái nhiễm”.
Tiếp tục theo quy trình ứng cứu
Các bài trong cụm này đi từ nhận biết đến xử lý và phòng tái nhiễm.
Câu hỏi thường gặp
Backdoor có luôn nằm trong một tệp PHP lạ không?
Không. Nó có thể nằm trong tệp hợp lệ, database, mu-plugin, cron hoặc tài khoản quản trị.
Cài lại WordPress core có xóa hết backdoor không?
Không nếu backdoor nằm trong wp-content, database, cấu hình máy chủ, cron hoặc tài khoản.
Có nên tìm theo các hàm PHP nguy hiểm?
Có thể dùng làm tín hiệu, nhưng phải đọc ngữ cảnh vì plugin hợp lệ cũng có thể dùng các hàm đó.
Cần kiểm tra website theo hiện trạng thực tế?
WebAnToan có thể rà dấu hiệu, khoanh vùng phạm vi và đề xuất thứ tự xử lý phù hợp với website của bạn.
Kết nối access log, tệp, database, cron và tài khoản thành một timeline có thể kiểm chứng.
Gia cố cấu hình, vùng ghi, danh tính, endpoint, WAF và monitoring thành bảy lớp có thể kiểm thử.
