Một tài khoản Administrator lạ cho phép thay plugin, sửa cấu hình, tạo user khác và duy trì quyền truy cập ngay cả sau khi tệp mã độc đã bị xóa. Nhưng “lạ” không chỉ là username mới: tài khoản cũ bị chiếm, email bị đổi hoặc user được gắn capability trực tiếp cũng cần điều tra.
Lưu ID, username, email, ngày đăng ký, role, capability, session và nội dung do tài khoản sở hữu. Sau đó mới khóa hoặc gỡ quyền theo mức độ khẩn cấp.
Liệt kê tài khoản quản trị
wp user list --role=administrator \
--fields=ID,user_login,user_email,user_registered,rolesDanh sách này là điểm bắt đầu, không phải toàn bộ. Custom capability có thể được gắn trực tiếp và Multisite có Super Admin. Đối chiếu với danh sách nhân sự, nhà cung cấp và tài khoản dịch vụ được phê duyệt.
Dấu hiệu tài khoản cần điều tra
- Email hoặc tên đăng nhập không thuộc tổ chức, đặc biệt đăng ký sát thời điểm sự cố.
- Tài khoản cũ nhưng vừa được nâng lên Administrator.
- Không có người sở hữu hoặc dùng chung cho nhiều nhà cung cấp.
- Application Password, session hoặc token không còn nhu cầu.
- Tài khoản tạo bài spam, plugin lạ hoặc thay đổi option quan trọng.
Kiểm tra role và capability
WordPress dùng role như tập capability; plugin có thể bổ sung role hoặc quyền mới. So sánh role hiện tại với cấu hình chuẩn và rà capability của user nghi vấn. Việc ẩn menu admin không phải là thu hồi quyền; cần kiểm soát capability thật.
Khoá phiên và credential
Với tài khoản bị chiếm, đổi mật khẩu chưa đủ nếu phiên hoặc application password còn hiệu lực. Hủy session, thu hồi application password, thay WordPress salts khi cần kết thúc phiên toàn cục và rà email khôi phục. Đảm bảo thiết bị quản trị sạch trước khi cấp credential mới.
Xóa hay giữ tài khoản để điều tra?
Nếu tài khoản đang gây hại, vô hiệu hóa hoặc gỡ role ngay sau khi lưu bằng chứng. Khi xóa, phải quyết định xử lý nội dung do user sở hữu. Trong môi trường cần pháp lý/tuân thủ, nên giữ snapshot database và audit trail, đồng thời hạn chế truy cập.
Ngăn tình trạng lặp lại
Mỗi người dùng tài khoản riêng, áp dụng quyền tối thiểu, 2FA khi có thể và quy trình thu hồi khi nhân sự/đối tác kết thúc công việc. Rà Administrator định kỳ và cảnh báo khi có user hoặc role mới.
Tên tài khoản không quyết định mức quyền. Hãy kiểm tra role, capability và khả năng thực hiện thao tác nhạy cảm.
Nguồn tham khảo chính thức
Xem WP-CLI user commands, nguyên tắc quyền tối thiểu trong Users Plugin Handbook và mô hình Roles and Capabilities.
Admin lạ đôi khi không mang tên lạ
Attacker có thể chiếm chính user thật, đổi email khôi phục hoặc thêm capability vào user role thấp thay vì tạo tài khoản “hacker”. Chỉ nhìn danh sách Administrator sẽ bỏ sót application password, session và usermeta bị chỉnh.
Giữ bằng chứng trước khi xóa tài khoản
Lưu ID, login, email, ngày tạo, role, metadata và session liên quan. Đối chiếu access log, mail reset, IP và hành động sau đăng nhập. Xóa ngay làm website bớt nguy hiểm nhưng khiến khó xác định credential lộ từ đâu.
Rà toàn bộ vòng đời danh tính
- Ai phê duyệt tạo user và cấp role?
- MFA, recovery và application password đang ở đâu?
- Nhân sự/agency cũ đã được offboard chưa?
- Hosting, SSH, CDN và email có cùng credential không?
Sau sự cố, tách tài khoản dùng chung và thu hồi mọi phiên quan trọng hơn việc chỉ ép một lần đổi mật khẩu.
Thiết bị quản trị có thể là điểm vào
Nếu máy tính chứa password manager hoặc session bị nhiễm, reset trên chính thiết bị đó có thể làm lộ credential mới. Với sự cố account takeover, rà trình duyệt, extension, email và malware trên thiết bị liên quan.
Thông báo cho người dùng đặc quyền
Yêu cầu họ không tự đăng nhập thử nhiều nơi, cung cấp timeline và giữ email cảnh báo. Phối hợp tập trung giúp tránh xóa session hoặc bằng chứng trước khi điều tra hoàn tất.
Cụm điều tra mã độc WordPress
Đi từ dấu vết kỹ thuật đến kết luận có thể kiểm chứng.
Câu hỏi thường gặp
Tài khoản cũ có thể là tài khoản bị chiếm không?
Có. Email, mật khẩu, session hoặc role của tài khoản hợp lệ có thể đã bị thay đổi.
Đổi mật khẩu có hủy mọi phiên không?
Không nên mặc định như vậy; cần chủ động hủy session và thu hồi application password liên quan.
Có nên dùng chung một tài khoản Administrator?
Không. Tài khoản riêng giúp thu hồi đúng người và giữ lịch sử thay đổi rõ ràng.
Cần điều tra website theo dữ liệu thực tế?
WebAnToan có thể rà log, file, database, cron và tài khoản để xác định phạm vi cùng thứ tự xử lý.
