Пример: так выглядит план работ и отчёт (структура отчёта, без данных вашего сайта)
Очистка сайта ассоциации: диагностика по резервной копии и план
1. Порядок работ
- Диагностика офлайн: разворачиваем архив Nuxit и вашу копию в изолированной среде. Живой сайт не меняем.
- Файлы: сверяем ядро WordPress, плагины и темы с официальными контрольными суммами. Отдельно смотрим
wp-blog-header.php,index.php,wp-config.php,.htaccess, каталогиuploadsиmu-plugins, ищем следы CMSmap WordPress Shell и другие веб-шеллы. - База данных: админ-аккаунты и их даты создания,
wp_options(active_plugins, siteurl), вставки вwp_posts, cron-задания. - Причина: сопоставляем даты изменённых файлов с логами доступа и версиями плагинов, определяем, откуда зашли и как файл возвращался после восстановления.
- Чистка и закрытие дыры: чистое ядро и плагины, удаление бекдоров, смена паролей и ключей (salts), запрет PHP в uploads, права файлов, 2FA, WAF-правила. Затем контрольная проверка и перенос на рабочий сайт одним шагом.
Почему файл возвращается после восстановления. Обычно бэкдор лежит ещё где-то (другой PHP-файл, cron, скрытый админ), и он заново подменяет файл. Поэтому недостаточно вылечить один файл: чистим всё сразу.
2. Структура итогового отчёта
| Раздел отчёта | Что внутри |
|---|---|
| Найденное | список файлов и записей БД с вредоносным кодом, путь и дата изменения |
| Вектор взлома | плагин, пароль или другая точка входа, с подтверждением по логам |
| Что сделано | перечень изменений по каждому файлу, что удалено и что заменено на чистое |
| Защита | настройки, которые закрывают повтор, и что обновлять дальше |
После сдачи: контрольная проверка через 7 дней.
3. Что нужно от вас
Полная копия сайта (файлы и БД) и архив от Nuxit, примерные даты сбоев и обращений в поддержку, список установленных плагинов. Доступ к рабочему сайту понадобится только на финальном этапе.
