WordPress bị redirect sang trang lạ: cách kiểm tra

Website WordPress tự redirect sang một trang lạ là tình huống người truy cập bị chuyển sang URL hoặc domain mà chủ website không chủ động cấu hình. Đây có thể là dấu hiệu compromise, nhưng cũng có thể đến từ CDN, reverse proxy, web server, plugin redirect, cache hoặc code tùy chỉnh. Vì vậy cần xác định redirect xảy ra ở lớp nào trước khi kết luận malware.

Flow kiểm tra từ ngoài vào trong

Ghi redirect chain. Lưu URL bắt đầu, từng hop, status code, URL đích, timestamp, thiết bị, trình duyệt, referrer và trạng thái đăng nhập.
So sánh browser với HTTP response. Nếu server trả 3xx ngay từ đầu, ưu tiên kiểm tra CDN/proxy/web server/PHP. Nếu response đầu là 200 nhưng browser mới chuyển trang, ưu tiên JavaScript, meta refresh hoặc code frontend.
Kiểm tra rule hợp lệ. Đối chiếu CDN, reverse proxy, web server và plugin redirect với change record đã phê duyệt.
Kiểm tra WordPress và file cấu hình. Nếu không có rule hợp lệ giải thích hiện tượng, mở rộng sang plugin/theme, .htaccess, wp-config.php, index.php và dữ liệu liên quan.
Đối chiếu log và timeline. So request bị redirect với thay đổi file, đăng nhập Admin, deploy/update và cron gần cùng thời điểm.

Ví dụ cách đọc redirect chain

Quan sát	Gợi ý lớp cần kiểm tra	Không nên kết luận vội
301/302 xuất hiện ngay ở response đầu	CDN, reverse proxy, web server, PHP/plugin	Không mặc định là malware nếu có migration/HTTPS/hostname rule hợp lệ
Response 200 rồi browser tự chuyển trang	JavaScript, meta refresh, injected frontend code	Không chỉ nhìn server redirect rules
Chỉ một số referrer/user-agent/cookie bị redirect	Conditional code, cloaking, cache variation	Admin không thấy không có nghĩa user report sai
Redirect đến casino/pharma/phishing hoặc domain không liên quan	Incident priority cao hơn	Vẫn cần xác định source và phạm vi compromise

Kiểm tra từng lớp có thể tạo redirect

CDN, reverse proxy và web server

Đối chiếu redirect rule hiện tại với cấu hình đã được phê duyệt. Không xóa hàng loạt rule chỉ vì thấy 301/302: redirect HTTP→HTTPS, canonical hostname, route migration hoặc maintenance có thể hoàn toàn hợp lệ.

WordPress, plugin và theme

Kiểm tra plugin có chức năng redirect, security, cache, localization, affiliate hoặc A/B testing; sau đó xem code tùy chỉnh trong theme/plugin và các thay đổi gần thời điểm incident. Nếu redirect gắn với file trọng yếu, dùng hướng dẫn kiểm tra wp-config.php, .htaccess và index.php bị sửa.

JavaScript và client-side malware

Nếu server trả 200 nhưng trình duyệt mới chuyển trang, kiểm tra DevTools Network và Initiator để xác định script nào tạo navigation hoặc tải resource đáng ngờ. Workflow riêng: WordPress bị chèn JavaScript lạ.

Database và dữ liệu

Code hoặc URL redirect có thể nằm trong option, widget, post content hoặc dữ liệu plugin. Khi file không giải thích được hiện tượng, mở rộng sang kiểm tra database WordPress bị chèn mã độc hoặc spam.

Evidence nên lưu trước khi sửa

URL bắt đầu và URL đích.
Từng hop trong redirect chain và status code.
Timestamp, user-agent, referrer, cookie/login state.
Response headers nếu redirect đến từ server.
Script/Initiator nếu redirect từ browser.
Rule/file/plugin liên quan và diff/timestamp nếu có.
Access-log request tương ứng để dựng timeline.

Khi nào mức độ nghi ngờ malware tăng mạnh?

Ưu tiên incident cao hơn khi redirect xuất hiện cùng URL spam, tài khoản Admin lạ, file bị sửa ngoài dự kiến, cảnh báo malware hoặc malware tái xuất hiện sau cleanup. Google cũng lưu ý một số cuộc tấn công có thể chèn HTTP 3xx redirect hoặc canonical cross-domain tới URL độc hại/spam. Xem Google Search Central — Canonicalization troubleshooting.

Không nên xử lý bằng cách nào?

Không chèn thêm redirect để “che” redirect độc hại.
Không xóa ngẫu nhiên file hoặc vô hiệu hóa hàng loạt component trên production mà chưa có snapshot/rollback.
Không kết luận “đã sạch” chỉ vì redirect tạm biến mất; cache hoặc điều kiện kích hoạt có thể làm triệu chứng không ổn định.
Không bỏ qua log và timeline nếu redirect chỉ xảy ra với một nhóm người dùng.

Khi nào nên escalation?

Nếu redirect đang đưa người dùng tới trang lừa đảo/malware, chỉ xuất hiện có điều kiện khó tái hiện, đi kèm tài khoản đặc quyền trái phép, nhiều site cùng bị ảnh hưởng hoặc bạn không thể xác định layer tạo redirect an toàn, nên dừng thay đổi ngẫu nhiên và escalation. WordPress đơn lẻ cần cleanup + verification có thể đi theo Malware Removal; incident rộng hoặc đang diễn ra xem Incident Response.

Nguồn kỹ thuật tham khảo

Kết luận

Redirect sang trang lạ là triệu chứng, không phải chẩn đoán. Cách kiểm tra đáng tin cậy là phân tách server-side và client-side, ghi lại chain và điều kiện kích hoạt, đối chiếu cấu hình hợp lệ rồi mới mở rộng sang file, database, tài khoản và log. Mục tiêu không chỉ là dừng redirect mà còn xác định source, phạm vi và nguyên nhân để ngăn tái diễn.