Чеклист: анализ гипотез после взлома сайта

Когда сайт взломали, первое желание — как можно быстрее всё восстановить. но без анализа причин инцидент может повториться. мы подготовили чек-лист ключевых гипотез, которые помогут найти слабое место и не допустить повторной атаки.

• Проверить access.log и error.log на:
  • Подозрительные HTTP-запросы (SQL-инъекции, XSS, LFI, RFI).
  • Попытки обращения к несуществующим .php, .bak, .zip, .env и другим файлам.
  • Запросы с подозрительными параметрами.
  • Необычные User-Agent или IP-адреса.


• Проверить логи CMS:
  • Попытки входа (успешные и неудачные).
  • Подозрительные изменения контента, настроек или пользователей.


• Проверить текущую версию CMS, тем, всех плагинов:
  • Сравнить с известными CVE (Common Vulnerabilities and Exposures).


• Проверить уязвимости форм:
  • SQL-инъекции.
  • XSS (отражённый, сохранённый).
  • RCE (удалённое выполнение команд).
  • CSRF (межсайтовая подделка запросов).


• Проверить загрузку файлов:
  • Можно ли загрузить .php, .phtml, .jsp, .exe?
  • Можно ли выполнить команды из загруженных файлов?


• Проверить содержимое папок с загрузками на наличие:
  • Web shell (например, cmd.php, r57, c99, b374k, и др.).
  • Поддельных страниц (index2.php, pay.php, invoice.html, и т.п.).
  • Необычных .htaccess файлов.


• Проверить наличие следующих следов в коде:
  • Вредоносные iframe, скрипты, редиректы.