Que faire si votre site WordPress a été piraté?

Dans de cet article nous allons voir une procédure (parmi d’autres bien sur)  qui vous permettra de revenir au plus vite à une version propre de votre site fondé sous WordPress et comment faire pour nettoyer votre WordPress proprement?

Faire la restauration de votre sauvegarde la plus récente

Pour aller au plus simple, vous pouvez restaurer une sauvegarde pas trop ancienne et qui vous semble saine. Problème, si vous avez été piraté une fois, cela recommencera. Votre WordPress n’est pas secure alors remettre la version de la veille, c’est juste reculer pour mieux sauter…

Reprenons, vous avez donc une sauvegarde, vous restaurez et votre WordPress revient à son état initial. Il faut maintenant vérifier que votre WordPress est à jour et ses plugins aussi. A ce stade, je vous conseille de changer immédiatement logins et mots de passe de ce dernier mais également ceux de votre FTP et de la base de données. Vérifiez également l’intégrité de votre fichier htaccess.

Pour vérifier que vos plugins ne contiennent pas de failles de sécurité, installez le plugin security scanner et activez-le.

Identifier le problème

Comment ont-ils fait ? C’est la question qui devrait vous hanter. Plugin avec faille ? Mot de passe cracké ? Commencez déjà par vérifier vos fichiers config.php et index.php, on y trouve souvent le problème.

Vous pouvez également vous aider des logs de votre hébergeur. Les fichiers logs gardent traces de toute activité sur votre hébergement (accès, actions). Vous pouvez essayer de voir dans ces fichiers les traces et actions de votre hacker puis prendre les mesures nécessaires (suppression plugin, changement login, mot de passe…).

Scanner vos fichiers avec un antivirus

Ici nous allons télécharger le site complet sur notre ordinateur et le passer à l’antivirus. Commencez par vous assurer que votre environnement de travail est sain puis téléchargez votre site complet via FTP et copiez-le sur votre PC. Faites tourner votre antivirus préféré et si problème il y a, il devrait vous le trouver.

Les antivirus classiques tels que Avast ou Bitdefender donnent de bons résultats et peuvent aussi scanner votre répertoire /uploads/ pour y trouver du code malicieux caché dans des fichiers images.

Changer vos mots de passe

On ne va pas prendre de risque inutile, piraté une fois….

On en profite donc pour revoir tous les mots de passe FTP, base de données, login et mot de passe WordPress. N’hésitez pas à utiliser des mots de passe complexes et longs on ne le répétera jamais assez.

Réinstallation de WordPress

Solution ultime et plus longue que la restauration de sauvegarde, la réinstallation complète. C’est à mon sens la plus sûre et la plus efficace. L’idée est de repartir sur du neuf.

Je m’explique : Réinstaller complètement WordPress, ses plugins (à jour) et la dernière version  du thème puis injecter articles, pages, menus et images via l’outil natif d’import/export de votre WordPress.

Voici comment procéder en 10 points:

1. Copiez par FTP l’intégralité de votre site et sa base de données via PhpMyAdmin sur votre PC (par sécurité et juste au cas où;)
2. Depuis votre WordPress piraté, exportez tout le contenu (articles, pages, commentaires, champs personnalisés, termes, menus de navigation et types de contenus personnalisés) via l’outil natif « Export » (Outils>>Exporter>>Tout le contenu), et enregistrez le fichier XML ainsi généré sur votre PC
3. Supprimez via FTP tout votre ancien contenu (dossiers WordPress, fichiers à la racine etc…) à l’exception des répertoires de votre hébergeur (cgi-bin, log, ssl…)
4. Supprimez votre base données et créez-en une toute nouvelle avec nom et mot de passe complexe
5. Téléchargez la toute dernière version de WordPress et installez la
6. Installez la toute dernière version de votre thème
7. Importez tout le contenu du fichier XML (créé au point 2) via votre nouveau WordPress depuis le menu Outils>>Importer>>WordPress
8. Installez les dernières versions (à jour et sans faille connue) de vos plugins
9. Voilà, il ne vous reste plus qu’à remettre en forme (Accueil, Widgets, CSS éventuel….)

Vérifier votre base de données

Pour vous aider à trouver les liens, scripts ou iframes douteux, la requête SQL ci-dessous, isole les messages dans votre base de données  (attention toutefois aux faux positifs, il est fortement recommandé de faire une sauvegarde avant toute modification de la BDD):

SELECT * FROM wp_posts WHERE post_content LIKE '%<iframe%' 
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%<noscript%' 
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%display:%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%base64%'

Nota: n’oubliez pas de remplacer le préfixe « wp_ » utilisé dans cet exemple par le vôtre.