Hãy tưởng tượng năm sau: lợi nhuận gấp đôi, nhiều thời gian cho người thân. Vấn đề: Web liên tục bị hack. Mất giờ dọn dẹp. Chi phí dọn dẹp đắt đỏ.
Không ai muốn sống trong nỗi sợ hack. Không ai muốn trả hàng trăm USD/tháng giải quyết cùng một vấn đề lặp lại.
Đó là lý do chúng tôi tồn tại. Hàng trăm khách web bị hack lại sau khi dọn nhiều lần. Chúng tôi cung cấp giải pháp vĩnh viễn cho Website Backdoors.
Bài viết này bao gồm:
- Tại sao backdoor được gieo vào web
- Cách hacker cài backdoor
- Cách xóa backdoor
- Cách bảo vệ web khỏi backdoor
TL;DR: Để xóa backdoor: cài WordPress Backdoor Removal (MalCare). Quét 1 phút, dọn 1 phút. Dưới 2 phút web sạch bong.
Đảm bảo web không backdoor tương lai: quay lại đọc phần bảo vệ.
Website Backdoor Là Gì?
Backdoor = điểm truy nhập ẩn cho phép truy cập không giới hạn web cho bất kỳ ai biết nó.
Làm sao biết web có backdoor? Đơn giản: web bị hack lại sau khi dọn sạch.
Tại sao backdoor khó phát hiện? Chúng畢竟像其他恶意代码 (như favicon.ico virus)。
Backdoor đặc biệt. Chúng "lén lút", giấu rất kỹ. Tìm kim trong đống rơm. Thiết kế khiến dễ nhầm lẫn với code bình thường. Có thể giấu ở bất kỳ đâu trên web.
Hầu hết plugin bảo mật không phát hiện backdoor vì dùng kỹ thuật lỗi thời. Quét và dọn web mà backdoor không bị phát hiện. Backdoor không phát hiện = bệnh bí ẩn. Bác sĩ không chẩn đoán ra bệnh = người bệnh suy kiệt, thậm chí tử vong. Tương tự, backdoor không phát hiện = phá hủy web.
Tác Hại Của Nhiễm Backdoor
Nhiễm backdoor gây thiệt hại nặng:
- Mất traffic do khách bị chuyển hướng sang web độc hại.
- Popup bí ẩn trên nhiều trang yêu cầu khách tải software về máy.
- Gửi email spam cho user web.
- Hacker lưu file pirated (phim, phần mềm...) trên server > web chậm.
- Hacker cắp thông tin thẻ tín dụng, hồ sơ y tế bán online.
- Chiếm quảng cáo của bạn, hiển thị quảng cáo của chúng, kiếm tiền từ click khách.
- Giảm rank SEO do web chậm, traffic bị chuyển hướng, kết quả tìm kiếm bị thao túng từ khóa spam.
- Search engine/hosting phát hiện hack > blacklist, treo web, treo AdWords.
Để ngăn chặn, phải xóa backdoor khỏi web.
Cách Xóa Backdoor Vĩnh Viễn
- Cài MalCare Security Scanner trên web.
- WP Dashboard > menu chọn MalCare.
- Nhập email > bấm Secure Site Now.
- MalCare yêu cầu đặt mật khẩu và thêm site. Plugin tự động quét. Vài phút phát hiện backdoor.
- Quét xong, MalCare báo tìm thấy file độc.
- Dọn web ngay. Trên dashboard MalCare, phần Security, nút Auto-Clean. Bấm nó, MalCare dọn web.
(Auto-Clean là tính năng premium $99/1 site/năm. Gia hạn hàng năm.)
MalCare xóa mọi dấu vết backdoor trong dưới 1 phút.
Ngoài MalCare, có nhiều plugin bảo mật khác phát hiện/dọn backdoor. Xem Best WordPress security plugins.
Cách Bảo Vệ Website Khỏi Backdoor
Backdoor chỉ được gieo khi hacker có quyền truy cập web.
Để bảo vệ web khỏi backdoor:
- Thứ nhất: bảo mật web khỏi hacker & bot
- Thứ hai: nếu hacker vẫn xâm nhập, ngăn chặn họ gieo backdoor
Bảo Vệ Web Khỏi Hacker & Bot
1. Dùng Firewall
Firewall đặt rào chắn giữa web và traffic đến. Mọi người truy cập web đều được firewall kiểm tra trước. Xác định IP có từng bị gắn cờ độc hại không. Có = chặn truy cập. Firewall chặn tấn công trước khi hacker chạm web.
2. Luôn Cập Nhật Web
Plugin, theme, core WordPress phát sinh lỗ hổng. Developer phát hiện > vá qua update. Không update/trì hoãn = web để lộ lỗ hổng. Hacker khai thác để xâm nhập. Cập nhật thường xuyên = bảo mật web.
Update web có thách thức. Xem How to Update WordPress?.
3. Không Dùng Plugin & Theme Pirated (Nulled)
Pirated = phần mềm premium dùng miễn phí. Nhưng có cái giá. Pirated chứa sẵn backdoor. Cài pirated = cho hacker truy cập web mà không hay.
Tại sao ai tặng premium miễn phí trừ khi có mưu đồ? Không bao giờ dùng pirated. Đang dùng? Xóa ngay. Quét định kỳ theme/plugin hiện có tìm mã độc.
4. Bảo Vệ Trang Đăng Nhập
Ngoài plugin/theme, trang login là điểm yếu. Trang dễ bị tấn công nhất. Hacker dùng bot đoán user/pass. Bot thử hàng trăm credential/phút. Lặp đến khi đúng. Gọi là brute force attack.
Nhiều biện pháp bảo vệ login: user/pass mạnh, khó đoán. CAPTCHA protection. Dùng MalCare dọn backdoor? MalCare đã bảo vệ login bằng CAPTCHA.
Thêm biện pháp: xem WordPress login security.
Ngăn Chặn Nhiễm Backdoor
Dù đã bảo mật, web vẫn có thể bị hack. Ví dụ: plugin có lỗ hổng, developer mất vài ngày ra patch. Trong lúc đó web có thể bị hack.
Cần chuẩn bị cho trường hợp xấu. Ngăn hacker gieo backdoor bằng:
1. Hardening Website
Các biện pháp hardening:
→ Chặn Cài Đặt Plugin & Theme
Hacker ngụy trang backdoor khó nhận diện. Có thể gieo qua plugin/theme độc. Web dùng nhiều plugin/theme, dễ cài plugin mới chứa backdoor mà không ai hay.
Nhưng có thể chặn cài đặt plugin/theme trên web. Quan trọng: Cách này cần chèn code thủ công – rủi ro nếu không am hiểu WP. Sai nhỏ = gãy web. Dùng MalCare: 1 click chặn cài plugin/theme.
→ Tắt File Editor
Ngoài cài plugin độc, hacker chèn backdoor vào plugin/theme hiện có. Ai có quyền admin đều làm được: vào Appearance, mở Theme Editor, chèn code độc.
Xem disable plugin and theme editors. MalCare: 1 click tắt file editor.
Thêm hardening: xem WordPress hardening guide.
2. Triển Khai Nguyên Tắc Quyền Tối Thiểu (Least Privileged Access)
Cách gieo backdoor: sửa plugin/theme editor. Cần quyền admin. Cho thấy quan trọng cấp quyền admin cho ai.
WP cho 6 vai trò: Superadmin (chỉ multisite), Admin, Editor, Contributor, Author, Subscriber.
Trước khi cấp quyền, xem vai trò phù hợp:
- Người không tin cậy > vai trò quyền thấp.
- Cần đăng bài, duyệt comment > Editor.
- Admin chỉ cho 2-3 người.
Xem thêm: WordPress user roles and capabilities.
3. Thuê Developer Uy Tín
Cần developer làm web > phải cấp toàn quyền. Phải tìm developer tin cậy – không gieo backdoor để truy cập sau khi hết hợp đồng. Tìm developer giỏi & tin cậy lâu và mệt. Nên dùng platform kiểm duyệt developer: WordPress Jobs, Smashing Jobs, Codeable.io, WPMU Dev Pros, Stack Overflow Careers.
Các biện pháp trên giúp ngăn hacker gieo backdoor.
Các Loại Backdoor Khác Nhau
Chúng tôi nghiên cứu backdoor gần 10 năm. Gặp nhiều loại, tất cả khó phát hiện. Phân loại: Simple, Complex, CMS Specific.
Simple Backdoors: One-liner shortcode, trông vô hại, rất khó nhận diện.
Complex Backdoors: Multi-line code, dễ nhận thấy bằng mắt chuyên nghiệp. Nhưng hacker có thể obfuscate (làm rối) code để scanner khó phát hiện.
CMS Specific Backdoors: Hacker viết code riêng cho CMS. Backdoor built-in chỉ dành cho WordPress, không thấy trên Joomla/Drupal.
Kết Luận
Bị hack 1 lần đã tệ, bị hack lặp lại = ác mộng! Backdoor không chỉ khó chịu mà cực kỳ hại web. Xóa backdoor đảm bảo web an toàn nhưng không đảm bảo an toàn mãi mãi.
Phải có biện pháp bảo vệ web khỏi hacker/bot. Plugin bảo mật là công cụ hoàn hảo.
MalCare Security Plugin bật website firewall lọc traffic xấu. Quét hàng ngày. Cho phép site hardening. Web bị hack > MalCare dọn dẹp ngay lập tức.
Cùng 250.000 chủ web dùng MalCare Ngay!