آموزش صفر تا صد پاکسازی و بازیابی سایت وردپرس هک شده

 

اول بفهمیم «هک شدن» یعنی چه؟

سایت هک شده معمولاً این علائم را دارد:

• سایت به جای دیگری ریدایرکت می‌شود.

• تبلیغات قمار یا اسپم ظاهر می‌شود.

• گوگل اخطار «This site may be hacked» می‌دهد.

• کاربر ادمین ناشناس ساخته شده.

• هاست ایمیل می‌زند که بدافزار پیدا شده.

• سرعت سایت ناگهان خیلی کم می‌شود.

• فایل‌های عجیب داخل هاست دیده می‌شوند.

قانون شماره ۱

وحشت نکن.

۹۰ درصد سایت‌های هک شده قابل بازیابی هستند.

معمولاً نوشته‌ها، محصولات، تصاویر و دیتابیس سالم می‌مانند و فقط فایل‌های آلوده یا چند پلاگین مشکل دارند.

مرحله ۱: سایت را موقتاً از دسترس خارج کن

اگر سایت هنوز باز است:

• وارد هاست شو.

• Maintenance Mode فعال کن.

• یا سایت را موقتاً غیرفعال کن.

هدف این است که:

1. بازدیدکننده آلوده نشود.

2. گوگل بدافزار بیشتری پیدا نکند.

3. هکر نتواند دوباره فعالیت کند.

مرحله ۲: بکاپ بگیر

حتی اگر سایت آلوده است.

از این دو مورد بکاپ بگیر:

• فایل‌های سایت

• دیتابیس

در cPanel:

File Manager → Compress → Download

و:

phpMyAdmin → Export

اگر اشتباه کردی بتوانی برگردی.

مرحله ۳: تمام رمزها را عوض کن

باید این رمزها عوض شوند:

✅ رمز مدیریت وردپرس

✅ رمز هاست

✅ رمز FTP

✅ رمز دیتابیس

✅ رمز ایمیل‌های دامنه

خیلی از افراد فقط رمز وردپرس را عوض می‌کنند ولی هکر هنوز به هاست دسترسی دارد.

مرحله ۴: کاربران ادمین را بررسی کن

برو:

پیشخوان → کاربران

اگر کاربری مثل:

• admin123

• wp-support

• support

• testadmin

دیدی و متعلق به خودت نیست:

❌ حذفش کن.

هکرها معمولاً اول یک ادمین مخفی می‌سازند.

مرحله ۵: افزونه امنیتی نصب کن

بهترین گزینه برای شروع:

• Wordfence

اسکن کامل بزن.

Wordfence → Scan

فایل‌های آلوده را نشان می‌دهد.

گاهی صدها فایل آلوده پیدا می‌شود؛ نترس. اول فقط لیست را ببین.

مرحله ۶: افزونه‌های مشکوک را حذف کن

به این موارد شک کن:

• افزونه نال شده

• قالب رایگان پولی

• افزونه‌ای که سال‌ها آپدیت نشده

• افزونه دانلود شده از سایت‌های متفرقه

روش درست:

1. حذف کامل

2. دانلود مجدد از منبع اصلی

3. نصب نسخه سالم

خیلی از هک‌ها از افزونه‌ها شروع می‌شوند.

مرحله ۷: فایل‌های اصلی وردپرس را جایگزین کن

برو به:

• wp-admin

• wp-includes

این دو پوشه را پاک کن.

سپس نسخه جدید وردپرس را دانلود کن و این دو پوشه را دوباره آپلود کن.

به این پوشه دست نزن:

wp-content

چون تصاویر و قالب و افزونه‌ها داخل آن هستند.

مرحله ۸: فایل‌های خطرناک را پیدا کن

بیشتر بدافزارها در این جاها هستند:

wp-content/uploads
wp-config.php
.htaccess
themes
plugins

اگر کدهای عجیبی مثل این دیدی:

eval(
base64_decode(
gzinflate(

مشکوک هستند.

البته هر کدی را بدون شناخت حذف نکن.

مرحله ۹: فایل htaccess را بررسی کن

گاهی هکر این فایل را تغییر می‌دهد.

اگر داخلش ریدایرکت ناشناس دیدی:

Redirect 301 ...
RewriteRule ...

حذفش کن.

سپس از تنظیمات پیوند یکتا دوباره ذخیره کن تا وردپرس فایل سالم بسازد.

مرحله ۱۰: دیتابیس را بررسی کن

در phpMyAdmin دنبال این‌ها بگرد:

• iframe

• casino

• viagra

• base64

گاهی بدافزار داخل نوشته‌ها یا تنظیمات ذخیره می‌شود و حتی بعد از نصب مجدد هم برمی‌گردد.

مرحله ۱۱: گوگل را مطلع کن

اگر سایت اخطار امنیتی گرفته:

برو به:

Google Search Console

قسمت:

Security Issues

و درخواست بررسی مجدد بده.

بعد از پاکسازی معمولاً اخطار برداشته می‌شود.

آموزش عملی پاکسازی سایت هک شده از طریق cPanel

فرض می‌کنیم:

• فقط به cPanel دسترسی داری.

• وردپرس بالا نمی‌آید.

• هیچ دانشی از برنامه‌نویسی نداری.

من دقیقاً می‌گویم کجا کلیک کنی.

مرحله ۱: ورود به cPanel

معمولاً آدرس‌ها:

yourdomain.com/cpanel

یا:

yourdomain.com:2083

وارد شو.

مرحله ۲: باز کردن File Manager

داخل cPanel روی:

File Manager

کلیک کن.

سمت چپ پوشه‌ها را می‌بینی. معمولاً سایت داخل این پوشه است:

public_html

روی آن دوبار کلیک کن.

مرحله ۳: نمایش فایل‌های مخفی

بالای File Manager:

Settings

را بزن.

تیک:

Show Hidden Files

را فعال کن.

حالا فایل‌های مخفی مثل:

.htaccess

نمایش داده می‌شوند.

مرحله ۴: بکاپ اضطراری

داخل public_html:

1. Select All

2. Compress

3. Zip Archive

یک فایل مثلاً:

backup.zip

ساخته می‌شود.

سپس آن را دانلود کن.

اگر خرابکاری شد می‌توانی برگردی.

مرحله ۵: فایل‌های عجیب را پیدا کن

داخل public_html به دنبال فایل‌هایی مثل این بگرد:

health.php
x.php
cache.php
wp.php
1.php
abc.php
shell.php

یا فایل‌هایی که خودت نساخته‌ای.

فایل‌های ناشناس را فعلاً:

Rename

کن.

مثلاً:

shell.php

↓

shell.php.bak

اگر سایت سالم ماند بعداً حذفشان کن.

مرحله ۶: پوشه uploads را بررسی کن

مسیر:

public_html
└── wp-content
    └── uploads

داخل این پوشه معمولاً فقط این چیزها وجود دارد:

✅ jpg

✅ png

✅ webp

✅ pdf

اگر دیدی:

test.php
admin.php
cache.php

تقریباً مشکوک هستند.

پوشه Uploads نباید فایل PHP داشته باشد.

مرحله ۷: فایل .htaccess را بررسی کن

روی:

.htaccess

راست کلیک کن.

Edit

اگر کدهای عجیب دیدی:

RewriteRule ...
Redirect ...
base64 ...

یا آدرس سایت‌های ناشناس وجود داشت، پاکشان کن.

یک فایل ساده وردپرس شبیه این است:

# BEGIN WordPress
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
# END WordPress

بسیاری از ریدایرکت‌های هک شده در این فایل هستند.

مرحله ۸: پوشه mu-plugins را چک کن

مسیر:

wp-content
└── mu-plugins

بسیاری از سایت‌ها اصلاً این پوشه را ندارند.

اگر فایل‌های ناشناس داخل آن دیدی:

security.php
migration.php
cache.php

مشکوک هستند.

بعضی بدافزارها اینجا پنهان می‌شوند.

مرحله ۹: پوشه wp-admin و wp-includes را حذف کن

این دو پوشه متعلق به خود وردپرس هستند.

داخل public_html:

wp-admin
wp-includes

را حذف کن.

مرحله ۱۰: دانلود وردپرس سالم

برو به:

وب‌سایت رسمی وردپرس

فایل zip را دانلود کن.

مرحله ۱۱: آپلود وردپرس جدید

در File Manager:

Upload

فایل zip وردپرس را آپلود کن.

سپس:

Extract

بزن.

از پوشه wordpress فقط این‌ها را کپی کن:

wp-admin
wp-includes
تمام فایل‌های اصلی

اما این را حذف نکن:

wp-content

چون تصاویر و اطلاعات سایت داخل آن است.

مرحله ۱۲: پوشه Plugins را بررسی کن

مسیر:

wp-content/plugins

اگر افزونه‌ای را نمی‌شناسی:

plugin-old
plugin123
cache-new
security-pro

نام پوشه را تغییر بده.

مثلاً:

plugin123

↓

plugin123_old

اگر سایت درست شد یعنی همان افزونه آلوده بوده است.

مرحله ۱۳: قالب را بررسی کن

مسیر:

wp-content/themes

فقط قالب‌های خودت را نگه دار.

مثال:

astra
hello-elementor

اگر دیدی:

new-theme
temp-theme
backup-theme

و متعلق به تو نیست، حذفش کن.

مرحله ۱۴: فایل wp-config.php

فایل:

wp-config.php

را باز کن.

اگر خطوط عجیب دیدی:

eval(
base64_decode(
gzinflate(
shell_exec(

مشکوک هستند.

در حالت عادی wp-config.php کوتاه و ساده است.

مرحله ۱۵: تغییر رمزها

حتماً عوض کن:

✅ رمز cPanel

✅ رمز وردپرس

✅ رمز FTP

✅ رمز دیتابیس

✅ رمز ایمیل هاست

اگر رمزها عوض نشوند ممکن است سایت دوباره آلوده شود.

مرحله ۱۶: ورود به وردپرس

حالا برو:

yourdomain.com/wp-admin

وارد شو.

مرحله ۱۷: نصب افزونه امنیتی

پیشنهاد:

• Wordfence

اسکن کامل اجرا کن.

چک‌لیست نهایی

✓ بکاپ گرفتم
✓ فایل‌های ناشناس را حذف کردم
✓ uploads را بررسی کردم
✓ .htaccess را پاک کردم
✓ wp-admin را جایگزین کردم
✓ wp-includes را جایگزین کردم
✓ افزونه‌های مشکوک را حذف کردم
✓ رمزها را عوض کردم
✓ اسکن امنیتی انجام دادم

مهم‌ترین پوشه‌هایی که باید چک کنی

public_html
wp-content/uploads
wp-content/plugins
wp-content/themes
wp-content/mu-plugins
.htaccess
wp-config.php

آموزش پاکسازی سایت هک شده در DirectAdmin

اگر قبلاً با cPanel کار کرده‌ای، خبر خوب این است که در دایرکت ادمین هم تقریباً همان کارها را انجام می‌دهی؛ فقط جای دکمه‌ها فرق می‌کند. حتی بسیاری از مدیران هاست معتقدند کار با آن برای وردپرس تقریباً مشابه cPanel است.

مرحله ۱: ورود به DirectAdmin

معمولاً آدرس ورود:

yourdomain.com:2222

یا:

server-ip:2222

نام کاربری و رمز هاست را وارد کن.

مرحله ۲: باز کردن File Manager

از منوی:

System Info & Files
↓
File Manager

وارد مدیریت فایل شو. File Manager دایرکت ادمین امکان ویرایش، حذف، تغییر نام، آپلود و دانلود فایل‌ها را مستقیماً از مرورگر می‌دهد.

مرحله ۳: پیدا کردن فایل‌های سایت

معمولاً مسیر سایت این است:

domains
└── yourdomain.com
    └── public_html

یا:

/home/username/domains/yourdomain.com/public_html/

همه فایل‌های وردپرس اینجا قرار دارند.

مرحله ۴: بکاپ فوری بگیر

قبل از هرکاری.

داخل پوشه:

public_html

تمام فایل‌ها را انتخاب کن.

سپس:

Compress

یا:

Create Archive

اگر بخش Backup در دایرکت ادمین فعال باشد، از آن هم می‌توانی بکاپ کامل بگیری.

مرحله ۵: پوشه uploads را بررسی کن

مسیر:

public_html
└── wp-content
    └── uploads

اینجا باید فقط فایل‌های عکس و فایل‌های رسانه‌ای باشد.

اگر فایل‌هایی مثل این دیدی:

shell.php
cache.php
1.php
admin.php

تقریباً مشکوک هستند.

بسیاری از بدافزارها داخل uploads مخفی می‌شوند.

مرحله ۶: فایل‌های ناشناس را پیدا کن

به دنبال فایل‌هایی مانند:

wp.php
x.php
temp.php
cache.php
license.php

باش.

اگر مطمئن نیستی، اول نام آنها را عوض کن:

shell.php

↓

shell.php.bak

اگر سایت سالم ماند بعداً حذفشان کن.

مرحله ۷: فایل .htaccess را بررسی کن

در public_html فایل:

.htaccess

را باز کن.

اگر کدهای عجیب یا ریدایرکت به سایت‌های ناشناس دیدی، حذفشان کن.

فایل سالم معمولاً شبیه این است:

# BEGIN WordPress
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
# END WordPress

هک‌های ریدایرکتی اغلب از این فایل استفاده می‌کنند.

مرحله ۸: پوشه Plugins را چک کن

مسیر:

wp-content/plugins

اگر افزونه‌ای را نمی‌شناسی:

security-pro
cache-new
plugin123

نام پوشه را تغییر بده:

plugin123_old

سپس سایت را تست کن.

افزونه‌های قدیمی و نال‌شده یکی از رایج‌ترین دلایل هک هستند.

مرحله ۹: پوشه Themes را بررسی کن

مسیر:

wp-content/themes

فقط قالب‌هایی را نگه دار که خودت نصب کرده‌ای.

مثلاً:

astra
hello-elementor

اگر قالب ناشناس دیدی:

new-theme
backup-theme

حذفش کن.

مرحله ۱۰: فایل wp-config.php را باز کن

این فایل در ریشه سایت قرار دارد:

public_html/wp-config.php

اگر چنین چیزهایی دیدی:

eval(
base64_decode(
gzinflate(
shell_exec(

مشکوک هستند.

مرحله ۱۱: جایگزین کردن فایل‌های اصلی وردپرس

این پوشه‌ها را حذف کن:

wp-admin
wp-includes

سپس وردپرس سالم دانلود کن.

وب‌سایت رسمی وردپرس:

WordPress.org Download

فایل ZIP را در DirectAdmin آپلود کن و Extract بزن.

سپس:

• wp-admin

• wp-includes

• فایل‌های اصلی

را جایگزین کن.

به این پوشه دست نزن:

wp-content

چون تصاویر و اطلاعات سایت آنجاست.

مرحله ۱۲: لاگ‌ها را بررسی کن

دایرکت ادمین لاگ‌های مختلفی دارد.

پوشه‌هایی مثل:

logs

یا:

domains/domain.com/logs

می‌توانند خطاها را نشان دهند.

همچنین مدیر سرور می‌تواند لاگ‌های امنیتی را بررسی کند.

مرحله ۱۳: همه رمزها را تغییر بده

حتماً این موارد را عوض کن:

✅ رمز DirectAdmin

✅ رمز وردپرس

✅ رمز FTP

✅ رمز ایمیل

✅ رمز دیتابیس

اگر هکر هنوز رمز را داشته باشد، دوباره برمی‌گردد.

چک‌لیست نهایی

✓ بکاپ گرفتم
✓ uploads را بررسی کردم
✓ فایل‌های مشکوک را حذف کردم
✓ .htaccess را بررسی کردم
✓ افزونه‌های ناشناس را حذف کردم
✓ قالب‌های ناشناس را حذف کردم
✓ wp-admin را جایگزین کردم
✓ wp-includes را جایگزین کردم
✓ رمزها را تغییر دادم

مهم‌ترین مسیرهای DirectAdmin

domains/yourdomain/public_html

wp-content/uploads

wp-content/plugins

wp-content/themes

wp-config.php

.htaccess

اگر هیچ بکاپی نداریم چه؟

باز هم می‌توان سایت را نجات داد.

روش:

1. از دیتابیس خروجی بگیر.

2. وردپرس را از اول نصب کن.

3. فقط تصاویر و دیتابیس را منتقل کن.

4. افزونه‌ها را دوباره نصب کن.

5. قالب سالم نصب کن.

خیلی از سایت‌ها بدون بکاپ هم بازیابی می‌شوند.

اشتباهات مرگبار

❌ فقط تغییر رمز وردپرس

❌ فقط حذف فایل آلوده

❌ استفاده دوباره از قالب نال

❌ برگرداندن بکاپ آلوده

❌ نصب چندین افزونه امنیتی همزمان

❌ نادیده گرفتن علت هک

اگر دلیل ورود هکر پیدا نشود، سایت دوباره آلوده می‌شود.

چک‌لیست نهایی

بعد از پاکسازی:

✅ آپدیت وردپرس

✅ آپدیت قالب

✅ آپدیت افزونه‌ها

✅ فعال کردن فایروال

✅ بکاپ روزانه

✅ فعال کردن ورود دو مرحله‌ای

✅ حذف افزونه‌های اضافی

✅ استفاده از رمزهای قوی

اگر بخواهم خیلی ساده در یک جمله بگویم:

1. سایت را ببند.

2. بکاپ بگیر.

3. همه رمزها را عوض کن.

4. کاربرهای مشکوک را حذف کن.

5. اسکن بزن.

6. افزونه و قالب آلوده را حذف کن.

7. فایل‌های وردپرس را جایگزین کن.

8. گوگل را مطلع کن.

9. امنیت را تقویت کن.