WordPress là CMS phổ biến nhất tạo website và e-commerce. Tuy nhiên, độ phổ biến làm nó thành mục tiêu thường xuyên của hacker và SEO spammer. Hacker tấn công site WP bằng nhiều loại malware. Kỹ thuật phổ biến nhất: thao túng search index để đưa nội dung không xứng đáng lên vị trí tìm kiếm nổi bật. Kỹ thuật Black Hat SEO (hacking) này gọi là 'WordPress Pharma hack hoặc SEO Spam'.
Tại Sao Hacker Nhắm WordPress Với Pharma Hack?
Câu trả lời đơn giản. Tìm kiếm online là nguồn referral giá trị, SEO hack là cách dễ dàng đạt được mà không cần nỗ lực. Nó đảm bảo cho hacker vị trí hợp pháp trong SERP bằng cách hack vào site high-authority và nhiễm spam redirect hack. Tấn công gần đây "Pharma Hack" hoặc "Pharma SEO Spam" tương tự Spam Link Injection, là một trong kỹ thuật Black Hat SEO phổ biến nhất hacker dùng.
Pharma Hack Là Gì?
Pharma hack là malware nhiễm site WordPress khiến site hợp pháp redirect sang trang spam hiển thị quảng cáo bán hàng giả/hàng cấm: Viagra, Cialis. Đôi khi sản phẩm pharma khác. Tuy nhiên Viagra, Cialis phổ biến nhất. Gần đây thấy phiên bản sophisticated: hacker tùy chỉnh Google search results với tên site trong title – khiến người ta tin site hợp pháp thực sự bán pharma.
Cách Kiểm Tra Site WordPress Có Bị Pharma Hack Không
SEO spam khó phát hiện vì không trực tiếp nhìn thấy. Spammer giấu công việc, dùng 'cloaking'. Tuy nhiên có cách check. Đọc tiếp để biết cách tìm WordPress pharma hack:
Phương Pháp 1: Kiểm Tra Bằng Google Search
Tìm site bị ảnh hưởng bằng Google search từ khóa viagra wp-page. Do chính sách webmaster Google, site bị ảnh hưởng không hiện trang 1. Cuộn tới trang 3-4. Nếu site bạn xuất hiện → nạn nhân Pharma Hack hoặc Black Hat SEO Spam khác. Kết quả không chỉ site nhiễm mà cả fake page. Click fake page có thể redirect hoặc load content trên cùng trang do nhiễm. Kiểm tra trang nào bị nhiễm viagra SEO spam: thêm từ khóa 'viagra' với domain vào Google: viagra mydomain.com. Có khi chỉ vài trang bị nhiễm, không thấy trực tiếp. Search này lộ trang nhiễm. Nếu redirect sang site bán Viagra/Cialis → nhiễm SEO spam. Đôi khi content load trên cùng trang do nhiễm.
Phương Pháp 2: Kiểm Tra Kết Quả Như Google Bot
Như đã nói, trang spam không hiện trên search engine nhưng user agent nhất định (Googlebot) thấy được. Để xem Googlebot thấy gì, dùng browser User-Agent Switcher (cài cho Chrome/Firefox).
- Cài User-Agent Switcher add-on yêu thích
- Truy cập trang nghi nhiễm
- Sửa User-Agent string thành một trong:
a) Mozilla/5.0 (compatible; Googlebot/2.1; +https://www.google.com/bot.html)
b) Googlebot/2.1 (+https://www.google.com/bot.html) - Right-click trang → view page source. Sẽ thấy redirect.
Lưu ý: Giữ User-Agent Switcher active lâu có thể bị block/blacklist bởi site có bảo mật tốt vì bạn xuất hiện như Googlebot.
Tương tự, nếu muốn xóa pharma hack trên Drupal CMS hoặc PHP site thì đọc hướng dẫn Drupal pharma hack.
Cấu Trúc WordPress Pharma Hack
Sự Xảy Ra (Occurrence)
Để thực hiện pharma hack, attacker khai thác lỗ hổng biết hoặc zero-day. Danh sách exhaustive mọi thứ có thể sai. Đơn giản hóa, vài nguyên nhân phổ biến:
- SQL injection hoặc XSS do coding standard kém. Theo dõi hai thứ này.
- Mật khẩu account/FTP yếu – nguyên nhân lớn thứ 2. Gần đây GitHub repo Linux Gen bị hack do credential yếu.
- Thường bật content listing và hiển thị lỗi → file quan trọng đọc được công khai.
- Dùng plugin chưa vá lỗi/lỗi thời – nguyên nhân lớn hack WP. Luôn cập nhật!
Sự Duy Trì (Persistence)
Pharma hack hoạt động bằng cách thay đổi nội dung root directory. Hầu hết spam attack qua folder /misc và /includes. Spammer duy trì truy cập lâu (persistence) bằng:
- Sửa file như
index.php, wp-page.php, nav.php... - Thêm trang mới như
leftpanelsin.php, cache.php... - Sửa
xmlrpc.phptránh detection webmaster. - Dùng base64 encoding obfuscate code.
- Giấu file spam trong
/imagesfolder – crawler không ngờ file ở đây → tránh detection. - Thêm dấu chấm trước extension. Đổi tên trang thành
.somefileđể ẩn. - Cloaking: Phân biệt crawler bằng user-agent. Content Googlebot thấy khác content Mozilla user thấy.
- Dùng cron job để tái nhiễm.
Kết Quả
- Site mất uy tín do hiển thị quảng cáo Viagra, Cialis.
- Có thể bị Google blacklist – khôi phục uy tín khó khăn.
- User không tin site.
- Search ranking giảm.
- Site tạo click cho site khác mà bạn vất vả xây dựng.
Google hiển thị kết quả Pharma spam cho site bạn? Nhắn tin chat widget.
Cách Khắc Phục WordPress Pharma Hack
Pharma Hack ẩn giấu. Tìm file nhiễm và xóa là tác vụ dài, mệt mỏi. Đây là quy trình:
1. Backup
Backup hoàn chỉnh site – thực hành khuyến khích. Hữu ích nếu dọn dẹp sai sót. Luôn có chiến lược backup. Backup phải bao gồm: core files, database, plugin & theme files.
2. Quét Website Tìm Malware
Dùng tool online như VirusTotal flag nhiễm. Hoặc Astra Malware Scanner cho quét chính xác hơn. Flag tất cả file/code độc trong vài phút, đẩy nhanh quy trình dọn malware.
3. Xóa File Nhiễm
Kết nối hosting server qua FTP hoặc file manager. Điều hướng đến /wp-contents/ tìm file hack trong plugin. File hack thường có từ: .class, .cache, .old để ngụy trang plugin. Dấu chấm (.) trước tên file làm ẩn trừ khi bật "show hidden files". Xóa file đó.
4. Dọn Thư Mục Temp
Thư mục /wp-contents/temp/ có thể xuất hiện do nhiễm. Vào /wp-contents/temp/ xóa nội dung. Hacker dùng temp folder và file TMP tránh corruption khi cài malware.
5. Kiểm Tra File .htaccess
.htaccess = file config server. Xác định cách server xử lý request. Hacker dùng quyền file tạo backdoor. Tìm code như:
RewriteEngine On
RewriteCond %{ENV:REDIRECT_STATUS} 200
RewriteRule ^ - [L]
RewriteCond %{HTTP_USER_AGENT} (google|yahoo|msn|aol|bing) [OR] #checks for Google, Yahoo, msn, aol and bing crawler
RewriteCond %{HTTP_REFERER} (google|yahoo|msn|aol|bing)
RewriteRule ^(.*)$ somehackfile.php?$1 [L] #redirects to a hack fileCó thể regenerate .htaccess: Dashboard → Settings → Permalink → Click Save!
6. Xóa Code Độc Khỏi Database
Khuyến nghị cao: backup database trước khi sửa. Nếu chưa từng làm, hãy làm ngay – bước này nhạy cảm. Có thể thuê dịch vụ dọn malware chuyên nghiệp hoặc tự dọn:
- Vào phpMyAdmin
- Chọn database
- Click bảng wp_options
- Dùng tab Search tìm entry độc
Entry độc cần tìm:
- wp_check_hash
- class_generic_support
- widget_generic_support
- ftp_credentials
- fwp
Lưu ý: Cẩn trọng không xóa info quan trọng wp_options – site có thể crash/malfunction.
Lưu ý: Nếu không rành kỹ thuật, tốt nhất nhờ hỗ trợ ngoài.
7. Tìm & Xóa Code Nghi Ngờ
Code trông nghi ngờ thường là nguyên nhân lớn hack WP. Code mẫu:
<ul id="menu">
<li><a href="attackerdomain.com">Something1</a></li>Code này redirect site sang domain attacker. Kiểm tra domain không quen thuộc. Nguyên nhân lớn pharma hack. Attacker thường ẩn code base64 – ví dụ attackerdomain.com thành "YXR0YWNrZXJkb21haW4uY29t". Tìm base64 trong file dùng grep:
find . -name "*.php" -exec grep "base64"'{}'\; -print &> b64-detections.txtCode tìm base64 trong file .php, lưu kết quả vào b64-detections.txt. Dùng tool online decode xem chuyện gì xảy ra sau hậu trường.
8. Dọn Thư Mục Temp (Lại)
Vào /wp-contents/temp/ xóa nội dung. Hacker dùng temp folder và TMP files tránh corruption khi cài malware.
9. Quét Khác Biệt Nội Dung
Dùng plugin online quét thay đổi file. Ví dụ: Exploit Scanner. Quét tất cả core file và file 3rd party trong repo chính thức WP tìm tên file/entry nghi ngờ/đặc biệt. Sau khi biết file nào hack → xóa code độc hoặc restore file plugin. Dọn dẹp code triệt để – code độc sót lại có thể tái nhiễm.
Cách Ngăn Chặn WordPress Pharma Hack
- Dùng credential/password mạnh cho website và database login. Hacker dễ brute-force credential yếu → hack site.
- Triển khai Website Firewall cho site WP. Bảo vệ chống Pharma hack và nhiều cyber threat khác.
- Giới hạn folder permission tránh truy cập không muốn.
- Vô hiệu hóa/gỡ cài plugin/theme nghi ngờ hoặc không dùng. Plugin/theme dễ thành entry point do lỗ hổng.
- Core CMS, plugin, theme lỗi thời → update sớm nhất để ngăn khai thác lỗ hổng gây Pharma hack.
- Luôn nắm rõ lỗ hổng/loophole bảo mật site WP. Để khám phá và fix trước hacker khai thác – thực hiện security audit định kỳ cho website và bảo vệ chống Pharma hack.