Website WordPress tự redirect sang một trang lạ là tình huống người truy cập bị chuyển sang URL hoặc domain mà chủ website không chủ động cấu hình. Đây có thể là dấu hiệu compromise, nhưng cũng có thể bắt nguồn từ cấu hình redirect, plugin, CDN hoặc cache. Vì vậy, bước đầu tiên là xác minh hiện tượng trước khi kết luận website nhiễm malware.
Xác nhận redirect có thực sự bất thường
Ghi lại URL bắt đầu, URL đích, thời điểm, thiết bị, trình duyệt và nguồn truy cập. Thử ở phiên đăng xuất và môi trường sạch. Nếu redirect chỉ xảy ra với một nhóm người dùng hoặc một nguồn traffic, thông tin đó rất quan trọng vì hành vi độc hại có thể được kích hoạt có điều kiện.
Phân biệt redirect hợp lệ và redirect đáng ngờ
Redirect hợp lệ thường có lý do rõ ràng như đổi URL, chuyển HTTP sang HTTPS hoặc canonical hóa hostname. Redirect đáng ngờ thường dẫn đến domain không liên quan, quảng cáo, trang lừa đảo hoặc xuất hiện dù quản trị viên không tạo rule tương ứng.
Kiểm tra các lớp có thể tạo redirect
Cấu hình web server và CDN
Đối chiếu redirect rule tại web server, reverse proxy hoặc CDN với cấu hình đã được phê duyệt. Không nên xóa toàn bộ rule chỉ vì thấy redirect; một số rule có thể cần thiết cho website.
WordPress, plugin và theme
Kiểm tra thay đổi gần đây, plugin có chức năng redirect, code tùy chỉnh và các thành phần có thể can thiệp request hoặc output. So sánh với phiên bản tin cậy thay vì chỉ dựa vào tên file.
File và dữ liệu bị thay đổi trái phép
Nếu không tìm thấy cấu hình hợp lệ giải thích hiện tượng, cần mở rộng kiểm tra sang file, database và tài khoản. Redirect độc hại có thể chỉ là biểu hiện nhìn thấy của một compromise rộng hơn.
Tại sao quản trị viên có thể không thấy redirect?
Một số hành vi chỉ kích hoạt theo cookie, referrer, user agent, IP hoặc trạng thái đăng nhập. Vì vậy, việc admin truy cập website bình thường không đủ để bác bỏ báo cáo của người dùng. Hãy lưu bằng chứng từ phiên bị ảnh hưởng và đối chiếu server-side.
Khi nào redirect là dấu hiệu của malware?
Nghi ngờ tăng mạnh khi redirect xuất hiện cùng URL spam, file bị sửa ngoài dự kiến, tài khoản lạ, cảnh báo malware hoặc các thay đổi không được phép khác. Danh sách rộng hơn nằm trong bài dấu hiệu WordPress bị nhiễm malware.
Không nên xử lý bằng cách nào?
Không nên xóa ngẫu nhiên file, vô hiệu hóa hàng loạt thành phần trên production hoặc chèn thêm redirect để che hiện tượng. Những cách này có thể làm mất bằng chứng, gây downtime hoặc khiến nguyên nhân thật vẫn tồn tại.
Bước tiếp theo
Nếu xác minh được thay đổi trái phép, hãy ghi nhận bằng chứng và đánh giá phạm vi compromise. Nếu phát hiện tài khoản quản trị không rõ nguồn gốc, xem cách xác minh tài khoản Admin lạ trên WordPress. Để hiểu bối cảnh mã độc rộng hơn, xem Malware WordPress là gì?.
Kết luận
Redirect sang trang lạ là một triệu chứng cần điều tra, không phải chẩn đoán duy nhất. Xác định chuỗi redirect, điều kiện kích hoạt và lớp tạo redirect giúp phân biệt lỗi cấu hình với hành vi độc hại và tránh sửa nhầm website.