WordPress presmerováva na inú stránku: ako nájsť a odstrániť presmerovanie

Prečo presmerovanie nevidíte

Presmerovanie vložené pri napadnutí si vyberá, koho sa týka. Najčastejšie šetrí toho, kto web spravuje, aby zostalo na mieste čo najdlhšie. Najbežnejšie podmienky:

• Odkiaľ návštevník prichádza: presmerovaní sú len návštevníci, ktorí prichádzajú z vyhľadávača alebo zo sociálnej siete. Kód číta hlavičku požiadavky Referer.
• Zariadenie: presmerované sú len telefóny. Kód číta hlavičku User-Agent.
• Prihlásenie: administrátor prihlásený do WordPressu vidí normálny web.
• Prvá návšteva: cookie si zapamätá, že návštevník už bol presmerovaný, a ďalšia návšteva prebehne normálne. Porucha potom vyzerá ako občasná.

Správu od zákazníka v zmysle „váš web ma posiela inam“ preto berte vážne, aj keď sa vám všetko zobrazuje správne.

Ako presmerovanie vyvolať

Vžite sa do situácie návštevníka, ktorého presmerovanie zasiahne:

1. Otvorte okno súkromného prehliadania, vyhľadajte názov svojej firmy vo vyhľadávači a kliknite na svoj výsledok.
2. Zopakujte to z telefónu, na mobilných dátach namiesto Wi-Fi.
3. Poznačte si cieľovú adresu, čas a zariadenie: tieto tri údaje sa hodia poskytovateľovi hostingu a neskôr aj pri žiadosti o kontrolu v Googli.

Ak máte prístup k terminálu, tento príkaz si vyžiada vašu úvodnú stránku a predstaví sa pritom ako iPhone, ktorý prichádza z Googlu:

curl -s -i -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X)" -e "https://www.google.com/" https://www.vas-web.com/

Prečítajte si prvé riadky odpovede. Kód 301 alebo 302, za ktorým nasleduje riadok Location: s neznámou adresou, znamená presmerovanie vykonané serverom: nachádza sa v .htaccess alebo v súbore PHP. Kód 200, hoci sa prehliadač presmeruje, znamená presmerovanie vykonané v stránke, v JavaScripte: najčastejšie sa nachádza v databáze alebo v súbore témy.

Skôr než sa dotknete webu: tri kroky

1. Úplná kópia v súčasnom stave. Súbory aj databáza, s dátumom, uložené mimo servera. Slúži ako dôkaz, ako bod na porovnanie a ako poistka, ak čistenie odstráni niečo užitočné.
2. Heslá, z čistého zariadenia. Zákaznícka zóna poskytovateľa hostingu, účty FTP alebo SFTP, používateľ databázy (nové heslo zapíšte do wp-config.php, konštanta DB_PASSWORD) a potom každý administrátorský účet WordPressu.
3. Bezpečnostné kľúče. Nahraďte osem riadkov od AUTH_KEY po NONCE_SALT v wp-config.php novou sadou vygenerovanou na https://api.wordpress.org/secret-key/1.1/salt/. Všetky otvorené relácie sa ukončia, vrátane relácie útočníka.

wp config shuffle-salts

Kde sa presmerovanie skrýva

1. Súbor .htaccess

V koreňovom adresári webu, a niekedy aj v podadresári, môže .htaccess obsahovať pravidlá prepisovania adries, ktoré pridal útočník. Blok, ktorý zapisuje samotný WordPress, je krátky a ohraničený riadkami # BEGIN WordPress a # END WordPress:

# BEGIN WordPress
# Inštrukcie (riadky) medzi “BEGIN WordPress” a “END WordPress” sú
# dynamicky generované a mali by byť upravené iba pomocou filtrov WordPress.
# Akékoľvek zmeny inštrukcií medzi týmito značkami budú prepísané.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

# END WordPress

Pravidlo RewriteCond, ktoré testuje %{HTTP_REFERER} (google, bing, facebook) alebo %{HTTP_USER_AGENT} (android, iphone, mobile), nasledované pravidlom RewriteRule smerujúcim na vonkajšiu adresu, je samotné presmerovanie. Pluginy pre cache a zabezpečenie zapisujú aj vlastné bloky, označené svojím názvom: skôr než blok odstránite, porovnajte ho so zoznamom svojich pluginov.

2. Súbory PHP

WP-CLI porovná súbory jadra WordPressu a pluginov s kontrolnými súčtami, ktoré zverejňuje WordPress.org, a vypíše každý zmenený alebo pridaný súbor:

wp core verify-checksums
wp plugin verify-checksums --all

Druhý príkaz pokrýva pluginy distribuované cez repozitár WordPress.org. Plugin kúpený u vydavateľa sa porovnáva s čerstvou kópiou stiahnutou z vášho účtu u neho. Je to častý prípad: z 540 webov malých a stredných firiem na WordPresse v našom meraní z 1. septembra 2026 nesie 66 % aspoň jeden plugin, ktorý vo verejnom repozitári nie je.

Bez WP-CLI poskytnú prvý výber dve vyhľadávania:

find . -name "*.php" -mtime -30
find wp-content/uploads -name "*.php"

Prvé vypíše súbory PHP zmenené za posledných 30 dní, druhé súbory PHP uložené v priečinku médií, kde sú už z podstaty podozrivé (niektoré pluginy tam vkladajú prázdny index.php, ktorý je v poriadku). Dátum zmeny sa dá sfalšovať: starý súbor na nesprávnom mieste si preto prezrite tiež.

Najprv otvorte wp-config.php, index.php v koreni, functions.php a header.php aktívnej témy a priečinok wp-content/mu-plugins: pluginy v ňom sa načítavajú automaticky a v administrácii sa nedajú deaktivovať. Čo hľadať: eval(, base64_decode(, gzinflate(, str_rot13(, dlhé nečitateľné reťazce alebo window.location nasledované adresou, ktorú nepoznáte.

3. Databáza

Presmerovanie v JavaScripte sa často ukladá do obsahu stránok alebo do nastavení, kde ho žiadny súbor neukáže. WP-CLI vyhľadá reťazec vo všetkých tabuľkách WordPressu:

wp db search "<script"
wp db search "fromCharCode"

Bez WP-CLI spustíte rovnaké vyhľadávania v phpMyAdmin, na karte SQL:

SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%<script%';
SELECT option_name FROM wp_options WHERE option_value LIKE '%<script%';

Niektoré výsledky sú legitímne: nástroj na meranie návštevnosti, lišta cookies alebo widget, ktorý ste vložili sami. Preskúmajte všetko, čo nezodpovedá ničomu, čo ste inštalovali, najmä skript, ktorý skladá adresu z kódov znakov.

4. Nastavenia adresy a účty

V ponuke Nastavenia > Všeobecné musia polia „Adresa (URL) WordPress-u“ a „Adresa stránky (URL)“ obsahovať vašu doménu. Rovnaké hodnoty sa dajú vynútiť vo wp-config.php konštantami WP_HOME a WP_SITEURL: skontrolujte obe miesta.

wp option get home
wp option get siteurl
wp user list --role=administrator

Keď sú konštanty definované, prvé dva príkazy vrátia ich hodnotu. Posledný vypíše administrátorov s dátumom registrácie; v administrácii získate rovnaký zoznam v ponuke Používatelia, s filtrom na rolu Administrátor. Účet, ktorý nikto nepozná, zmažte a jeho obsah priraďte legitímnemu účtu.

Odstrániť presmerovanie, potom aj prístup, ktorým prišlo

Zmazaním riadku, ktorý presmerováva, zastavíte príznak. Prístup, ktorý útočník použil, zostáva otvorený, kým ho nenájdete, a presmerovanie sa v priebehu niekoľkých dní vráti. Poradie, ktoré funguje:

1. Nahraďte súbory jadra čerstvou kópiou: zmažte priečinky wp-admin a wp-includes a spustite wp core download --skip-content --force, ktorý jadro prepíše bez toho, aby sa dotkol vašich pluginov, tém a médií. Príkaz prepisuje existujúce súbory, ale pridané súbory ponechá: preto sa oba priečinky mažú najprv a preto neznáme súbory PHP v koreni odstránite ručne.
2. Preinštalujte tému a každý plugin z ich oficiálneho zdroja a zmažte tie, ktoré web už nepoužíva, vrátane deaktivovaných: ich súbory na serveri zostávajú.
3. Odstráňte cudzie súbory PHP z wp-content/uploads, pravidlá pridané do .htaccess a skripty nájdené v databáze.
4. Skontrolujte naplánované úlohy príkazom wp cron event list: úloha s neznámym názvom môže kód vložiť znova.
5. Aktualizujte WordPress, tému a pluginy.
6. Zopakujte testy zo začiatku, z viacerých zariadení a počas niekoľkých dní.

Ak web uchováva osobné údaje (formuláre, zákaznícke účty, objednávky), poznačte si čas, keď ste napadnutie zistili. V Európskej únii všeobecné nariadenie o ochrane údajov (GDPR) ukladá oznámiť porušenie ochrany osobných údajov dozornému orgánu najneskôr do 72 hodín po tom, čo sa o ňom prevádzkovateľ dozvedel, s výnimkou prípadov, keď nie je pravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb.

Google a to, čo vidia vaši návštevníci

Keď Google presmerovanie odhalí, Chrome môže pred otvorením webu zobraziť červené upozornenie „Nebezpečný web“ a Google môže pod váš výsledok vyhľadávania pripísať „Tento web je možno hacknutý“. Časť Problémy so zabezpečením v Google Search Console ukazuje, čo bolo zistené a na ktorých adresách. Keď je web vyčistený, požiadajte v tej istej časti o kontrolu, ktorá spustí overenie.