WordPress被駭 是近年公司面對最嚴重的問題，尤其是Worpess 公司網站被駭的次數愈來愈頻密，很多讀者都找我們18Hall Digital Agency部門同事詢問有關WordPress公司網站被Hack的解決方法。我們今堂就邀請了Gianthouse的WordPress安全顧問戚敬熹（King Chick）為大家探討 WordPress網站被駭的WordPress中毒清理方法，以及探討為何WordPress網站屢屢成為黑客目標。King將會為大家提供WordPress公司網站被Hack時的3個解決方法，同場提供WordPress安全解決方案！
WordPress被駭 中毒成為WordPress安全設定重點！
近日收到不少讀者向我們Digital Agency的同事求助，指出他們的WordPress公司網站被Hack，使公司業務無法正常營運，甚至面臨停止營業的風險！King對此指出，WordPress向來因為容易安裝及在內容管理上簡單易用，加上有很多Plugin來增強網站功能，所以受很多企業所採用，但企業負責的同事往往缺乏Wordpress 公司網站的安全管理意識而沒有要求及購買 WordPress 保安維護服務，以致WordPress 網站容易被黑客入侵！
其實WordPress 在架構上有很多容易被入侵的漏洞缺口，結果吸引很多黑客來攻擊這些缺乏安全管理的Wordpress 公司網站。在駭WordPress 網站技巧上，黑客很容易從安全風險漏洞較多的Plugin方面埋手入侵公司網站，以及針對沒有好好設置WordPress安全防護的WordPress網站，這些都成為了近日最大的公司網站安全風險。而當WordPress被駭入時，最嚴重者，整個網站就會死機，網站無法運作之餘，公司亦隨時因為網站被黑而停擺！
另外，King亦指出近半的網站並沒有安裝Firewall或一些Wordpress Security Plugin，這些都成為最大的WorPress 網站安全漏洞。而當中網站死機，有98％的原因都是WordPress Plugin問題導致網站被Hack。其中最大的原因是使用者在更新WordPress後，並沒有同時更新最新版本的Plugin，造成嚴重WordPress漏洞，這或會成為零日攻擊（Zero Day Exploit），相當於中門大開，非常危險。假如WordPress網站中毒被Hack時，可以如何處理呢？
在此King向你們教授三個WordPress被駭時的解決方法：
WordPress中毒或WordPress被駭解決方法有3個:
WordPress中毒解決方法1：先安裝Security Plugin進行Scanning
King對此解釋，WordPress公司網站被Hack，如果可以進入 Admin 控制台的話，最簡單當然是馬上安裝 security plugin, 做一次 scanning，看看問題出在哪裡，而那些Plugin都可能提供付費服務，解決部份問題。但很多時發現網站被 hack 時都已經太遲，WordPress Admin Panel 可能已經不能進入，要從第二個辦法著手。
WordPress清理中毒解決方法2：進行WordPress Plugin測試
WordPress中毒問題發生時假如已經不能進入控制台時，但仍然能夠進入伺服器，找到WP-Content 的文件夾，只要你擁有能夠修改裡面貯存文件的權限，就可以修改Plugin Folder。King指出，假如仍然能夠進入此步驟，就可以進行Plugin測試，看看哪個Plugin出現問題。例如可逐個Plugin關閉，此為排除法，這樣就可以找到有問題的Plugin，然後再對特定Plugin進行編輯、修改甚至刪除，這樣就可以搶救已被駭的WordPress公司網站。
當然King建議先為Wp-Content 裡面的內容做備份，如果在重新設定Plugin過程時有任何出錯，網站管理員只需要Rollback至最新版本就能夠重新設定Plugin解決當前網站被駭的問題。
WordPress被Hack解決方法3：解除Redirect的問題
WordPress中毒時，除了頁面無法正常運作外，亦有機會被黑客Redirect到其他的網站如成人網站，或導入一些不明的奇怪購物網，目的是騙取你的網站的流量。King表示，可以嘗試從當中的文字或路徑找到特別顯眼的keyword，例如利用Domain搜索的方式，找到這些「特別」的字眼。然後在伺服器、控制台或數據庫搜尋該字眼，繼而把有關記錄刪除/修改後，便有機會解決當前的公司網站被駭問題。
不過King提醒，要把相關記錄刪除前，宜先再做一次備份，因為很多時候還有不能輕易被發現的後門程式仍然存在，需要高階的Security Plugin Solution或有經驗技術人員才能徹底剷除。如果不進行備份，資料很容易就化為烏有。
WordPress中毒修復，能否自行處理？
King其實並不建議欠缺IT知識的企業人員自行維修被駭WordPress網站，因為WordPress操作者需要有一定邏輯思維，即使不能從編碼及數據庫層面了解每個動作有機會影響到哪部份，也必須要明白Plugins和編碼相互的關係，萬一導致網站不能正常運作，便要人手還原到上一步。
WordPress 被駭中毒應找 WordPress 保安專家解決
如果沒有備份，那麼企業網站資料就會消失，令公司萬刧不復！為了確保WordPress企業網站能夠盡快運作，企業應該把網站交托給專業WordPress 技術及安全服務供應商如GiantHouse處理，不但可以盡快從無法運作的情況下恢復，亦可以重新審視並安裝Security Plugin和加入防火牆等防護，為WordPress網站保安升級，免除再被駭的後顧之憂。
通常WordPress 技術及安全方案公司如何處理？King指出，他會為網站分開兩個階段—被駭網站除毒和深度安全防護。
首先，他會先問客戶拿取所需資料及備份，只需4小時內，就能找出WordPress 被駭問題所在，網站是被駭還是中毒，發現原因後，一般都能在一個工作天內解決網站被駭問題，包括除毒、封鎖有可疑的IP，同時把網站回復原狀，安裝Security Plugin、把WordPress以及所有Plugin更新至最新版本。他們的WordPress除毒服務已包括基本的WordPress公司網站防護措施及需要人手操作的深度安全防護，可令使用WordPress網站的客戶無後顧之憂，提升WordPress安全，防止 WordPress 被Hack。
King特別提及，WordPress除毒只是一個階段，如果只除毒，卻沒有做好防護，WordPress網站隨時都會再次受到駭客攻擊。所以即使網站沒有被 hack，King建議要進行網站徹底安全漏洞檢查，而Gianthouse有提供免費檢查服務，看看有沒有需要為公司的WordPress 網站做基本或深度的防護，就如看醫生一樣，病向淺中醫。而最重要的，他可以為網站全天候進行管理和監察，一旦發生問題，就會馬上支援，避免情況惡化。Gianthouse展現了以下的優勢：
– 為網站度身訂造合適的Plugin，不單強化網站功能，亦會減少資源，確保網站運作最佳化；
– 全天候更新所有已確認無相容相題的最新Plugin和WordPress；
– 全人手針對解決和堵塞漏洞；
– 強化WordPress 網站，黑客無法輕易獲取資料；
– 多年WordPress管理經驗；
– 使用HTTPS安全通道，防止資料外泄；
– 一個價錢，包含所有服務，性價比行內最高。
WordPress 安全維護管理兩大基本功:
最後King指出，不論把WordPress管理外判，還是自行管理，都必須要注意兩大點才能提升安全等級：一定要安裝WordPress Security Plugin；其次是要即時更新所有的WordPressPlugin，因為有98％的問題都因WordPress Plugin而引起。
有時WordPress 網站出現問題，不一定是黑客入侵，過時的Plugin亦會導致相容性問題。拾捌堂相信你們應該需要更多基本易明的網絡防護知識，現在就馬上看看如何加強雲端保安！
6大編輯相關精選
甚麼是Phishing網絡釣魚？ 拾捌堂Cybersecurity教室系列之一 5分鐘要你看懂！
甚麼是Ransomware勒索軟件？ 拾捌堂Cybersecurity教室系列之二 5分鐘完全令你明白！
什麼是Malware惡意程式？ 拾捌堂Cybersecurity教室系列之三 3分鐘令你學識！
Endpoint Security 比普通防毒軟件的優勝之處在哪裡？
OMG是病毒嗎？拾捌堂教你移除Facebook OMG遊戲程式
請即Follow 拾捌堂Facebook專頁:
想緊貼拾捌堂的最新創科知識、商業案例、投資趨勢、最潮科技產品以及提升商業及個人發展? 請即 Follow 我們的 「拾捌堂」Fanpage 啦!
