آخر تحديث:
باختصارC99 Shell واحد من أشهر سكربتات «الويب شل»: ملف PHP خبيث يرفعه المخترق إلى موقعك فيتحكم من المتصفح في الملفات وقاعدة البيانات ويرسل البريد المزعج. يصل غالباً من إضافة قديمة أو قالب مقرصن أو نموذج رفع ملفات غير محمي. تكتشفه بفحص الملفات وملاحظة ملفات PHP غريبة، وتمنعه بالتحديث وإيقاف تشغيل PHP في مجلد الرفع.
ما هو الويب شل (Web Shell)؟ #
الويب شل سكربت يعطي من يفتحه في المتصفح لوحة تحكم كاملة في موقعك: يتصفح الملفات ويعدّلها، ويقرأ قاعدة البيانات، ويرفع ملفات جديدة، وينفّذ أوامر على السيرفر. C99 من أقدمها وأشهرها، وتوجد نسخ كثيرة معدّلة منه بأسماء مختلفة.
كيف يصل إلى موقعك؟ #
1إضافة أو قالب قديمثغرة معروفة تسمح برفع ملف دون تسجيل دخول.
2نسخ مقرصنةقوالب وإضافات «مجانية» من مواقع غير رسمية تحمل الشل مخفياً.
3نموذج رفع غير محمينموذج يقبل أي نوع ملف، فيرفع المهاجم ملف PHP على أنه صورة.
4كلمة مرور مسروقةدخول إلى لوحة ووردبريس أو FTP ثم رفع الملف مباشرة.
علامات وجوده في موقعك #
- ملفات PHP داخل مجلد الرفع
wp-content/uploads، وهذا المجلد يجب أن يحتوي صوراً وملفات فقط. - ملفات بأسماء غريبة أو تشبه ملفات ووردبريس الأصلية في غير مكانها.
- كود فيه دوال مثل
evalوbase64_decodeوgzinflateبشكل مشفر وطويل. - رسائل بريد مزعجة تخرج من حسابك، أو تنبيه من الاستضافة بارتفاع الإرسال.
- مستخدم مدير جديد لا تعرفه، أو تحويل زوار موقعك إلى مواقع أخرى.
كيف تحذفه وتنظف موقعك؟ #
- خذ نسخة احتياطية من الوضع الحالي: حتى لو كانت مصابة، تحتاجها لمراجعة ما حدث.
- افحص الملفات: شغّل فحص ImunifyAV من cPanel، فيعرض الملفات المصابة ويعالجها.
- احذف الملفات الخبيثة وابحث عن غيرها: المخترق يترك عادة أكثر من باب خلفي. افحص مجلدات القوالب والإضافات والرفع.
- حدّث كل شيء واحذف غير المستخدم: ووردبريس والإضافات والقوالب، واستبدل أي نسخة مقرصنة بنسخة رسمية.
- غيّر كل كلمات المرور: لوحة ووردبريس وcPanel وFTP وقاعدة البيانات والبريد.
- أو استرجع نسخة نظيفة: إذا كانت لديك نسخة احتياطية قبل الإصابة، فاسترجاعها ثم التحديث أسرع وأضمن. اتبع خطوات إزالة البرامج الضارة من ووردبريس.
امنعه: أوقف تشغيل PHP في مجلد الرفع #
مجلد الرفع لا يحتاج أن يشغّل ملفات PHP أبداً. أنشئ ملفاً باسم .htaccess داخل wp-content/uploads من مدير الملفات في cPanel، وضع فيه:
<FilesMatch "\.(php|phtml|php5|php7|phar)$"> Require all denied </FilesMatch>
بعدها حتى لو رُفع ملف شل إلى هذا المجلد، لن يعمل.
كيف نحمي موقعك في حياة هوست؟ #
- ImunifyAV يفحص ملفات المواقع يومياً، وImunify360 يكتشف سكربتات الويب شل المعروفة ويمنع رفعها.
- قواعد ModSecurity تصد طلبات الرفع والاستغلال المعروفة قبل وصولها إلى موقعك.
- عزل الحسابات بـ CloudLinux، فإصابة موقع لا تنتقل إلى موقعك.
أسئلة شائعة #
هل يكفي حذف ملف الشل؟
غالباً لا. المخترق يترك أكثر من باب خلفي، ويبقى الباب الأصلي (الإضافة القديمة أو كلمة المرور) مفتوحاً. نظّف الموقع كاملاً وأغلق سبب الإصابة.
هل إيقاف PHP في مجلد الرفع يعطل موقعي؟
لا، لأن مجلد الرفع يحتوي صوراً وملفات فقط. بعض الإضافات القليلة قد تحفظ ملفات PHP فيه، فجرّب موقعك بعد التغيير.
هل تساعدونني في تنظيف موقع مخترق؟
نعم، افتح تذكرة ونساعدك في الفحص وقراءة السجلات وتحديد سبب الإصابة.
