التحقيق الجنائي الرقمي وتطهير ووردبريس صغرة كلمة المرور

التحقيق الجنائي الرقمي وتطهير ووردبريس: الدليل العملي الكامل لعلاج اختراق حقن روابط الكازينو والسيو الخبيث (SEO Spam Injection)

1. التشريح التقني لهجمات SEO Spam و Parasite SEO

[ شبكة المهاجم C2 Server ] 
         │
         ▼ (استغلال ثغرة أو تخمين بيانات دخول)
[ تسجيل دخول ناجح إلى ووردبريس ] 
         │
         ├───► رفع إضافة ملغومة (Webshell / Backdoor)
         ├───► إنشاء حسابات مدراء خفية (Service Bots)
         └───► توليد كلمات مرور التطبيقات (Application Passwords)
         │
         ▼ (أتمتة دورية مجدولة)
[ ضخ مئات مقالات الكازينو برمجياً عبر REST API / Backdoor ]
         │
         ▼
[ فهرسة الروابط الخبيثة في جوجل واستغلال سمعة النطاق ]

لماذا يتجنب المهاجم إتلاف الموقع؟

• الحفاظ على التخفي (Stealth Persistence): عند تعطل الموقع، يهرع المدير التقني فوراً لاسترجاع نسخة احتياطية (Backup) أو فحص السيرفر، مما يغلق وصول المهاجم سريعاً. أما عند بقاء الموقع حياً، فإن المقالات الخبيثة تُنشر في مسارات فرعية غير معروضة في القوائم الرئيسية.
• تمرير قوة الروابط (Link Juice Flow): يتطلب رفع ترتيب مواقع القمار في نتائج البحث بقاء الروابط المنشورة على موقعك مفهرسة ومستقرة في خوادم Googlebot لأطول فترة ممكنة.
• الأتمتة الشاملة (Botnets): بمجرد تثبيت نقطة الوصول، يتم نقل بيانات الاتصال إلى منصات أتمتة مركزية تتولى النشر المجدول وإعادة بناء الأبواب الخلفية تلقائياً في حال حذفها يدوياً بشكل غير مكتمل.

2. العلامات والمؤشرات الأولية للاختراق (Indicators of Compromise – IoC)

أبرز مؤشرات الاشتباه التي تم رصدها:

1. ظهور مقالات مجهولة في لوحة التحكم: مقالات منشورة بحالة Published دون أي تسجيل لمؤلف محدد، حيث كانت خانة الكاتب تحمل القيمة Author = 0 بدلاً من أسماء المدراء المشروعة.
2. تطبيقات مجهولة في الملف الشخصي (Application Passwords): وجود مفاتيح REST API بأسماء بوتات مثل sentinel، و auto-bootstrap، و auto-job-a41d50 مقترنة بعناوين IP خارجية مشبوهة استُخدمت لضخ المحتوى عبر الـ API.
3. وجود إضافات غير مألوفة في النظام: رصد إضافات مريبة في قائمة الإضافات البرمجية أو ملفات في مسار المحتوى لم يتم تثبيتها بواسطة مالك الموقع، مثل إضافة باسم easypost برقم إصدار غير قياسي.

3. منهجية التحقيق الجنائي الرقمي (Server Forensics)

الخطوة الأولى: تحديد المسار الحقيقي لسجلات الخادم (Access Logs)

grep -rn "access_log" /etc/nginx/sites-available/

الخطوة الثانية: فحص المؤلف في قاعدة البيانات عبر WP-CLI

wp post list --post_status=publish --fields=ID,post_title,post_author,post_date --allow-root | grep -E "Casino|1win" | head -n 10

226   Hotel Algarve Casino – análise completa, bônus e jogos   0    2026-08-09 05:34:22
225   Пин Ап Казино - Официальный сайт Pin Up Casino           0    2026-08-09 03:35:37
223   Pin Up Casino - Azərbaycanda Onlayn Kazino               0    2026-08-09 03:35:36

تحليل جنائي: ظهور المعرف 0 ككاتب للمقال يؤكد أن المنشورات لم تكن تُنشر عبر حساب مستخدم عادي مسجل الدخول، بل تم إنشاؤها إما عبر تجاوز صلاحيات (Unauthenticated Endpoint) أو عبر سكربت داخلي يستدعي دالة wp_insert_post() مباشرة من داخل نظام الملفات دون تحديد $post_author.

الخطوة الثالثة: تتبع طلبات الـ POST في سجلات الوصول

zgrep "POST" /var/log/virtualmin/wp.3wda.net_access_log* | grep -E "31/Jul/2026|08/Aug/2026|09/Aug/2026" | head -n 30

172.70.248.135 - - [09/Aug/2026:03:35:36 +0000] "POST /wp-content/easypost/easypost.php?action=create_post HTTP/1.1" 201 321 "-" "Mozilla/5.0..."
172.70.248.135 - - [09/Aug/2026:03:35:37 +0000] "POST /wp-content/easypost/easypost.php?action=create_post HTTP/1.1" 201 336 "-" "Mozilla/5.0..."

4. الفحص المعمق لشيفرة الباب الخلفي (Backdoor Analysis)

<?php
define('EASYPOST_ENDPOINT_CONFIG', '{"endpoint_version":"2026.06.10","token_id":"ep_e3fcea3ec05744d691373dd268ef1ad7","token_verifier":"v1:...","ota_release_public_key_pem":"-----BEGIN PUBLIC KEY-----\n..."}');

الخصائص الهجومية المكتشفة داخل الكود:

1. المصادقة المشفرة (HMAC Authentication): لا يقبل السكربت أي طلب عشوائي؛ بل يفرض وجود ترويسات أمان مشفرة (x-easypost-token-id, x-easypost-signature) مع التحقق من فارق التوقيت (Timestamp) لمنع هجمات إعادة الإرسال (Replay Attacks).
2. التكامل مع قوالب Elementor: يضم الكود دوال مخصصة (easypost_endpoint_insert_elementor_widget) تقوم بالبحث في قاعدة بيانات الصفحات المصممة بـ Elementor وحقن أدوات نصوص وروابط مخفية داخل هياكل الـ JSON التابعة لها.
3. تقنيات الإخفاء المتعددة (Cloaking & CSS Tricks): يتيح السكربت للمهاجم حقن الروابط بسبعة أساليب إخفاء مختلفة لحجبها عن زوار الموقع وإظهارها فقط لعناكب محركات البحث:
   • White Link: جعل لون النص أبيض ليختفي فوق الخلفية البيضاء.
   • Class Hide: استخدام فئات CSS مثل display:none.
   • Invisible Zone: نقل النص خارج حدود الشاشة عبر إحداثيات سلبية (left:-11407px; top:-10560px; position:absolute;).
   • No Opacity & No Visibility: ضبط الشفافية على الصفر تقريباً (opacity:0.001).
4. تثبيت البقاء التلقائي (Self-Persistence via mu-plugins): في حال حذف مجلد الإضافة، يقوم السكربت تلقائياً بإنشاء ملف تشغيل تنفيذي إجباري في مسار wp-content/mu-plugins/easypost-runtime.php ليظل يعمل مع كل تحميل لصفحات الموقع دون الحاجة لتفعيله كإضافة عادية.
5. التحديث الهوائي التلقائي (OTA Updates): يدعم السكربت استقبال تحديثات برمجية جديدة مشفرة بالمفتاح العام عبر بيئة Bun، حيث يتم التحقق من توقيع الشيفرة (OpenSSL Verification) وتحديث الملف تلقائياً على القرص الصلب.

5. تحديد نقطة الدخول الأولى والتسلسل الزمني للاختراق

zgrep -E "28/Jul/2026" /var/log/virtualmin/wp.3wda.net_access_log* | grep "POST" | head -n 30

خط الدفاع الزمني لاختراق الخادم (Attack Timeline)

6. إجراءات التطهير والاستئصال الشامل (Step-by-Step Remediation)

1. حذف الحسابات الخادعة وإلغاء مفاتيح الـ API

# استعراض قائمة المستخدمين
wp user list --allow-root

# حذف الحسابات الخبيثة وتعيين أي محتوى للحساب الأصلي (ID 1)
wp user delete 3 --reassign=1 --yes --allow-root
wp user delete 4 --reassign=1 --yes --allow-root

# تغيير كلمات المرور لكافة الحسابات الشرعية
wp user update 1 --user_pass='Super_Strong_Random_Password_Here!' --allow-root
wp user update 2 --user_pass='Another_Super_Strong_Password_Here!' --allow-root

2. حذف كافة منشورات الاختراق دفعة واحدة

wp post delete $(wp post list --post_status=publish --author=0 --format=ids --allow-root) --force --allow-root

# تفريغ سلة المهملات نهائياً
wp post empty-trash --allow-root

3. استئصال الإضافات الخبيثة والأبواب الخلفية

cd /home/threewda.net/domains/wp.3wda.net
rm -rf wp-content/easypost
rm -rf wp-content/plugins/easypost
rm -rf wp-content/plugins/wp-core-util
rm -rf wp-content/plugins/wp-security-helper
rm -f wp-content/mu-plugins/easypost-runtime.php

4. تنظيف خيارات قاعدة البيانات (Options Table)

wp option delete easypost_homepage_placements --allow-root

5. تجديد مفاتيح الأمان وجلسات تسجيل الدخول (Salts)

define('AUTH_KEY',         'put-your-unique-phrase-here');
define('SECURE_AUTH_KEY',  'put-your-unique-phrase-here');
define('LOGGED_IN_KEY',    'put-your-unique-phrase-here');
define('NONCE_KEY',        'put-your-unique-phrase-here');
define('AUTH_SALT',        'put-your-unique-phrase-here');
define('SECURE_AUTH_SALT', 'put-your-unique-phrase-here');
define('LOGGED_IN_SALT',   'put-your-unique-phrase-here');
define('NONCE_SALT',       'put-your-unique-phrase-here');

7. تأمين الخادم وإغلاق الثغرات نهائياً (Hardening & Protection)

                 [ حركة المرور الواردة ]
                           │
                           ▼
 ┌──────────────────────────────────────────────────┐
 │  الطبقة الأولى: Cloudflare WAF                  │
 │  • حظر الـ REST API لغير الـ IPs المعتمدة       │
 └─────────────────────────┬────────────────────────┘
                           │
                           ▼
 ┌──────────────────────────────────────────────────┐
 │  الطبقة الثانية: Nginx Web Server                │
 │  • حظر تنفيذ ملفات PHP داخل مجلد uploads        │
 │  • إغلاق ملف xmlrpc.php كلياً                    │
 └─────────────────────────┬────────────────────────┘
                           │
                           ▼
 ┌──────────────────────────────────────────────────┐
 │  الطبقة الثالثة: WordPress Core (wp-config.php)  │
 │  • تعطيل تعديل وتثبيت الإضافات عبر المتصفح      │
 │  • قفل التسجيل المفتوح وتجديد الـ Salts          │
 └──────────────────────────────────────────────────┘

أولاً: التحصين على مستوى ووردبريس (wp-config.php)

// منع تعديل الملفات البرمجية من لوحة التحكم
define( 'DISALLOW_FILE_EDIT', true );

// منع تثبيت وتحديث الإضافات والقوالب من المتصفح (التثبيت يتم عبر سطر الأوامر فقط)
define( 'DISALLOW_FILE_MODS', true );

wp option set users_can_register 0 --allow-root

ثانياً: التحصين على مستوى خادم Nginx

# 1. إغلاق xmlrpc.php نهائياً لمنع هجمات التخمين
location = /xmlrpc.php {
    deny all;
    return 403;
}

# 2. منع تشغيل وتنفيذ أي ملفات PHP داخل مجلدات الرفع والملفات الثابتة
location ~* ^/wp-content/(uploads|mu-plugins)/.*\.php$ {
    deny all;
    return 403;
}

# 3. منع تنفيذ ملفات PHP العشوائية الموضوعة مباشرة في جذر wp-content
location ~* ^/wp-content/[^/]+\.php$ {
    deny all;
    return 403;
}

# 4. تقييد عمليات النشر عبر REST API لسيرفرات الأتمتة المعتمدة فقط (مثل n8n)
location ~ ^/wp-json/wp/v2/(posts|pages|users) {
    limit_except GET HEAD {
        allow 198.51.100.45; # استبدله بعنوان IP الخاص بسيرفر الأتمتة
        deny all;
    }
    try_files $uri $uri/ /index.php?$args;
}

sudo nginx -t && sudo systemctl reload nginx

ثالثاً: التحصين على مستوى جدار حماية Cloudflare WAF

1. التوجه إلى Security ثم WAF ثم Custom Rules.
2. إنشاء قاعدة جديدة: Restrict WP API Modifications.
3. ضبط المعايير:
   • URI Path starts with /wp-json/wp/v2/
   • AND Request Method in {"POST", "PUT", "DELETE", "PATCH"}
   • AND IP Source Address ne YOUR_N8N_SERVER_IP
4. تحديد الإجراء (Action): Block.

8. التعامل مع تبعات محركات البحث (Google Search Console & SEO Recovery)

• رمز الاستجابة السليم (404 / 410): عند حذف المنشورات، تعود خوادم الموقع بإرجاع رمز 404 Not Found أو 410 Gone لطلبات تلك الصفحات. هذا الرمز يُعد إشارة صريحة لخوارزميات Googlebot بأن المحتوى تم حذفه نهائياً، مما يؤدي إلى إزالته تدريجياً من الفهرس.
• فحص لوحة Search Console: الدخول إلى قسم Security & Manual Actions للتأكد من عدم تصنيف الموقع كـ “موقع مخترق بحقن روابط سبام”.
• إعادة إرسال خريطة الموقع (Sitemap): تحديث ملف sitemap.xml وإعادة إرساله عبر Search Console لتسريع عملية إعادة زحف محركات البحث إلى الصفحات النظيفة فقط.

9. إدارة المستودعات (Git Best Practices) للإنتاج

1. عزل مجلد الوسائط: يجب إضافة مجلد الرفع uploads/ إلى ملف .gitignore:

   Code snippet

   wp-content/uploads/
   wp-content/upgrade/
   *.log
   

2. إلغاء التتبع التلقائي للتغييرات المحلية: إذا تم تعديل ملفات نواة أو إضافات تلقائياً عبر ووردبريس، يُفضل تثبيت بيئة الإنتاج على فرع مستقر ومنع التعديل المباشر عليها.
3. تنظيف الكاش فور نشر التحديثات:

   Bash

   # مسح كاش ووردبريس الداخلي
   wp cache flush --allow-root
   
   # إعادة تشغيل معالج PHP لقراءة ملفات الذاكرة المخبأة (OPcache)
   systemctl reload php*-fpm
   
   # تحديث قواعد إعادة التوجيه
   wp rewrite flush --allow-root
   

الخلاصة وقائمة التحقق الأمنية السريعة (Security Checklist)

// منع تعديل وتثبيت الإضافات والقوالب من لوحة التحكم نهائياً
define( 'DISALLOW_FILE_MODS', true );
define( 'DISALLOW_FILE_EDIT', true );

wp option set users_can_register 0 --allow-root

# فحص كل طلبات POST في تاريخ 31 يوليو و 8 و 9 أغسطس
zgrep "POST" /var/log/virtualmin/wp.3wda.net_access_log* | grep -E "31/Jul/2026|08/Aug/2026|09/Aug/2026" | head -n 30

zgrep -E "wp-json|admin-ajax\.php" /var/log/virtualmin/wp.3wda.net_access_log* | grep "POST" | head -n 30

wp plugin list --allow-root

find /home/threewda.net/domains/wp.3wda.net/public_html/wp-content/uploads/ -type f -name "*.php"

# فحص ملفات نواة ووردبريس الأساسية
wp core verify-checksums --allow-root

# فحص الإضافات المثبتة من المستودع الرسمي
wp plugin verify-checksums --all --allow-root

find /home/threewda.net/domains/wp.3wda.net/ -type f -name "*.php" -mtime -35 -ls

grep -rnE "(eval\(|base64_decode\(|gzinflate\(|str_rot13\(|assert\(|passthru\(|shell_exec\()" /home/threewda.net/domains/wp.3wda.net/wp-content/ --exclude-dir={plugins,themes}

# فحص أول 20 سطراً في ملفات التشغيل الأساسية
head -n 20 /home/threewda.net/domains/wp.3wda.net/index.php
head -n 20 /home/threewda.net/domains/wp.3wda.net/wp-blog-header.php
head -n 20 /home/threewda.net/domains/wp.3wda.net/wp-load.php

# فحص ملفات التكوين وقواعد التوجيه المخفية
cat /home/threewda.net/domains/wp.3wda.net/.htaccess 2>/dev/null