0 – Les précautions à prendre

Mettez votre site internet en mode maintenance. Pour ce faire, créez un fichier .Maintenance vide à la racine de votre site internet. Cependant le mieux est de complètement désactiver votre hébergement si votre hébergeur vous le permet (chez Cubis cette option se trouve dans votre panel de configuration).

Si vous utilisez le même mot de passe sur d’autres outils / comptes, changez lesdits mots de passe, car les pirates peuvent les récupérer. Avertissez également vos collaborateurs…

Sachez que votre mot de passe de connexion à la base de données MySQL est sûrement récupéré par les hackeurs… Alors changez-le.

Si vous utilisiez un mot de passe Root, votre base de données entière est peut-être piratée… Changez donc tous les mots de passe et pensez à faire des sauvegardes.

1 – Sauvegarder votre site internet

Si ce n’est pas déjà fait par vous ou votre hébergeur, sauvegardez immédiatement votre site internet (fichier & base de données).

Si vous avez accès à l’administration de WordPress, exportez le contenu de votre site depuis l’onglet Outils > Exporter.

(*) Renseignez-vous quand même auprès de votre hébergeur, car ce dernier effectue sûrement des sauvegardes.

Cette sauvegarde nous permettra d’avoir un point de départ et surtout d’éviter que la situation se détériore davantage.

2 – Déplacez le site internet sur un serveur local sans internet

Cette étape n’est pas obligatoire mais fortement recommandée.

Une fois la sauvegarde effectuée, vous allez devoir héberger localement votre site internet pour pouvoir constater l’étendu des dégâts.

https://agence-web.cubis-helios.com/wamp-creer-site-internet-ordinateur

En faisant cela, coupez votre accès à internet pour empêcher le vol d’informations.

La plupart du temps, les hackers modifient sur WordPress

• Les fichiers du thème courant pour injecter leur code ;
• Des articles / pages de votre site internet ;
• Créent de nouveaux fichiers (infectés ou non).

2-1 Scanner toute votre sauvegarde WordPress à l’antivirus

Si vous disposez d’un antivirus sur votre machine, faites un clic-droit sur le dossier et votre antivirus devrait vous proposer des scanners le dossier.

Votre antivirus ne trouvera pas le hack, en revanche il pourrait trouver d’éventuels logiciels malveillants diffusés via votre site internet.

2-2 Récupérer les téléversements de vos médias

WordPress par défaut téléverse tous vos médias dans le dossier /wp-content/uploads.

Sous Linux, cette ligne de commande permet de lister récursivement tous les fichiers du répertoires uploads, sans compter les images, par ordre de modification.

find ./wp-content/uploads -type f ! -regex '\(.*jpeg\|.*png\|.*jpg\|.*bmp\|.*gif\|.*mp4\)' -printf "%T@ %Tc %p\n" | sort -n

Regardez ensuite dans cette liste si un fichier uploadé vous semble malveillant (vérifiez le contenu des .htaccess).

Ce dossier sera à réimporter sur votre nouvelle installation de WordPress, il contient tout ce que vous avez mis à travers la rubrique “Médias” de WordPress.

3 – Localiser le piratage sur son site internet WordPress

Je vous conseille pour commencer de créer une nouvelle installation de WordPress.

Vous pouvez connecter cette nouvelle instance à votre base de données actuelle. Si tout fonctionne normalement, alors on supposera que la base de données est intact.

Si votre base de données est corrompu, il vous faudra réimporter à la main votre une nouvelle instance de WordPress en créant une nouvelle base de données, ce qui est déjà plus compliqué.

3-0 Vérifier le piratage de son site internet WordPress

A chaque nouvelle étape, nous vous recommandons de vérifiez votre site internet en naviguant dessus.

Si tout semble correct et qu’aucun problème apparaît, continuez le tutoriel sur le dé-piratage de WordPress. Pour vérifier le contenu du site, une astuce de développeur consiste à charger l’onglet Network de Google Chrome (CTRL+ MAJ + I)  (c’est un i majuscule) ou l’onglet Réseau de Mozilla Firefox (F12) et de regarder ce qui passe par le réseau.

Pensez à inspecter le réseau dans les prochaines étapes…

3-1 Dans l’administration de WordPress, vérifier le contenu suivant

• Les Articles / Pages / Formulaires… : vérifiez que tout le contenu présent, vous l’avez créé vous-même ;
• Les Réglages : Vérifiez que vos paramètres sont restés intacts.

Repérer le contenu malicieux dans les posts depuis la base de données

Les commandes suivantes permettent de détecter le contenu malveillant dans vos pages / articles WordPress.

SELECT * FROM `wp_posts` WHERE `post_content` LIKE '%<iframe%';
SELECT * FROM `wp_posts` WHERE `post_content` LIKE '%<noscript%'; 
SELECT * FROM `wp_posts` WHERE `post_content` LIKE '%<script%'; 
SELECT * FROM `wp_posts` WHERE `post_content` LIKE '%display:%';
SELECT * FROM `wp_posts` WHERE `post_content` LIKE '%base64%';
SELECT * FROM `wp_posts` WHERE `post_content` LIKE '%<?php%';

Merci à WP-Formation pour leur lignes.

Ces commandes sont directement à taper dans phpMyAdmin : sur votre base de données dans le menu “SQL“.

Si vous constatez des réponses à ces commandes, vérifiez scrupuleusement le contenu de ces articles.

3-2 Importer votre thème dans le nouveau WordPress

Avant d’importer le thème dans le nouveau WordPress, vérifiez qu’il n’y a rien d’étrange dans les fichiers suivants (Comme du code sous la forme “d45e1de2z5dezdzedgjytjhg3re12fe…”, un lien vers un site inconnu… etc).

1. /.htaccess
2. /robots.txt (attention au ‘Disallow: /’ !)
3. /index.php
4. wp-config.php (attention à la base de données ; vous pouvez comparer ce fichier avec wp-config-sample.php)find -regex ‘\(.*jpeg\|.*png\|.*jpg\|.*bmp\)’
5. /wp-content/themes/votre-theme/index.php
6. /wp-content/themes/votre-theme/header.php
7. /wp-content/themes/votre-theme/footer.php
8. Les fichiers Javascripts de votre thèmes

Parcourez l’arborescence de votre site internet à la recherche de fichiers qui ne devraient pas être là.

Si malgré le nouvel import votre thème est toujours piraté, pensez à récupérer la feuille de style et d’en re-télécharger un nouveau (cela vous prendra moins de temps que de chercher le code malveillant).

3-3 Réinstallez vos plugins depuis votre nouvelle installation

Ne réimporter pas vos plugins car ils pourraient être corrompus, re-téléchargez-les, pour la plupart vous ne perdrez pas la configuration car elle sera en base de données.

Conclusion sur le piratage de votre site internet WordPress

Nous savons que ce que nous expliquons est assez compliqué et requière certaines compétences globales en administration de sites internet.

“Vérifiez que tout est correct”, “Recherchez du code étrange qui ne devrait pas être là”, ces phrases sont trop flous si vous ne nagez pas un minimum dans l’univers de WordPress… et nous en sommes désolés. Cependant difficile pour nous de mieux vous aider car Webmaster est un métier qui ne s’apprend pas en un article de blog.

Si jamais c’est trop compliqué et si vous n’arrivez pas à en venir à nous, notre équipe est là pour vous aider.

• Hébergement sécurisé pour site internet
• Comment sécuriser son site internet WordPress ?