EN

Bị hack · Bị Google chặn · Chạy chậm

Web WordPress của bạn đang có vấn đề. Mình tìm ra nguyên nhân, rồi sửa.

Gỡ mã độc, lấy lại uy tín với Google, tăng tốc website — bắt đầu bằng một lượt kiểm tra chỉ-đọc, để bạn thấy chuyện gì đang thật sự xảy ra trước khi có bất cứ thứ gì bị sửa. Bản báo cáo là của bạn, kể cả khi bạn không thuê mình sửa tiếp.

Nhận chẩn đoán miễn phí Xem việc mình đã làm

  • Kiểm tra chỉ-đọc trước khi sửa bất cứ thứ gì
  • Sửa trên bản sao, không mò trực tiếp trên web đang chạy
  • Có báo cáo viết hẳn ra, dù bạn thuê hay không
wp-audit.sh 
$ ./wp-audit.sh -p /var/www/html
[CRITICAL] 1 core file differs from the official release
             wp-includes/load.php
[CRITICAL] Executable PHP inside wp-content/uploads
             uploads/2026/03/wp-cache-min.php
[CRITICAL] Image file containing PHP code (polyglot)
             uploads/2026/03/sunset.jpg
[CRITICAL] .htaccess directives typical of a backdoor
             php_value auto_prepend_file ...
[HIGH    ] Unexpected file inside wp-admin/
             wp-admin/wp-admin.php
[OK      ] salts unique · registration closed · xmlrpc off

CRITICAL 6   HIGH 3   MEDIUM 5   LOW 3   OK 5
Output thật của wp-audit.sh trên bản lab bị cố tình cho nhiễm — nguyên văn trong bài case study.
0file bị thay đổi trong lúc kiểm tra — công cụ chỉ đọc
6phát hiện CRITICAL bắt được ở bản lab
2,9sLCP mobile sau khi tối ưu, từ 4,7s

Ba việc, làm cho tới

từ1.900.000VNĐ

Kiểm tra bảo mật & báo cáo

Quét toàn bộ bản cài đặt ở chế độ chỉ-đọc — đối chiếu file lõi với checksum chính thức của WordPress, soi thư mục uploads, cron, danh sách user, header — rồi mở từng phát hiện ra đọc bằng tay trước khi nó vào báo cáo của bạn. Báo động sai bị loại, không đẩy sang cho bạn tự đoán.

Khoảng 2 giờ. Mua riêng được, và trừ vào giá dọn mã độc nếu bạn làm tiếp.

từ3.200.000VNĐ

Gỡ mã độc & gia cố

Bịt đường vào trước, dọn file sau — làm ngược thứ tự này chính là lý do nhiều web “đã dọn sạch” bị nhiễm lại trong một tuần. Dọn cả cơ chế trụ lại: cron ngầm, auto_prepend_file, admin lạ. Xong mình chạy lại lượt kiểm tra và gửi bạn kết quả sạch làm bằng chứng.

3–6 giờ. Cần gấp trong 24 giờ thì cộng 50%.

từ3.200.000VNĐ

Tăng tốc website

Đo Lighthouse trước đã, vì thứ đang ăn mất mấy giây của bạn hiếm khi là thứ mọi người vẫn đoán. Sửa, rồi đo lại đúng cách đó — con số bạn tự chạy lại được ngay hôm sau khi mình bàn giao.

4–8 giờ. Báo kết quả bằng Core Web Vitals, không bằng danh sách thủ thuật.

Gói chăm sóc định kỳ — 800.000 – 1.900.000 VNĐ/tháng. Cập nhật thử trên bản staging trước khi chạm vào web thật, quét mỗi tuần, backup để ở nơi khác, và mỗi quý phục hồi thử một lần cho chắc. Đây là phần giữ cho web không rơi vào rắc rối, thay vì kéo nó ra khỏi rắc rối.

Việc bạn đọc được trước khi quyết định

Hai bài viết với số đo thật và output thật. Không tên khách hàng, không “trước/sau” tự bốc.

CRITICAL 6HIGH 3MEDIUM 5LOW 3OK 5

Mổ xẻ một webshell WordPress

Một bản sao cô lập bị cố tình cho nhiễm, rồi đem kiểm tra. Bài viết đi qua cách tìm ra và dọn từng thứ — con shell trong uploads, cái cron dựng lại nó, đoạn loader chèn vào file lõi — theo đúng thứ tự đó.

Đọc bài viết →

Một việc chạy thế nào

  1. Quyền đọc trước. SFTP hoặc SSH, kèm một dòng cho phép bằng văn bản. Mình không kiểm tra thứ mình không đọc được, và không quét website khi chủ site chưa đồng ý.
  2. Kiểm tra chỉ-đọc. Không ghi gì ngoài file báo cáo. Quét mất một đến năm phút, rồi mới tới phần lâu: mở từng phát hiện nghiêm trọng ra đọc bằng tay.
  3. Báo cáo và phương án. Bạn thấy mình tìm được gì và định làm gì trước khi có thứ gì bị thay đổi. Nếu câu trả lời thật lòng là “cái này nên làm lại từ đầu chứ không phải dọn”, bạn nhận được câu đó chứ không phải một báo giá.
  4. Sửa trên bản sao. Bịt đường vào trước, rồi mã độc và cơ chế trụ lại, rồi gia cố — với một bản backup mình đã phục hồi thử một lần.
  5. Bằng chứng hoàn thành. Chạy lại lượt kiểm tra, gửi bạn kết quả sạch kèm ghi chú bàn giao.

Những điều mình sẽ không hứa

Nên đọc trước khi thuê bất cứ ai làm việc này, kể cả mình.

  • Rằng web bạn đã sạch. Không ai chứng minh được điều đó. Mình sẽ nói đúng những gì đã kiểm, tìm thấy gì, và những gì chưa thể loại trừ.
  • Rằng kết quả máy quét là bản án. base64_decode() nằm trong cả những plugin hoàn toàn bình thường. Phát hiện chỉ là tín hiệu; một báo cáo chưa được đọc bằng tay thì không có giá trị gì.
  • Rằng nó không thể tái diễn. Nếu đường vào là một plugin bạn buộc phải dùng mà nó không còn được cập nhật, mình sẽ nói thẳng, và mình bàn với bạn cách khác.

Bắt đầu bằng một lượt chẩn đoán miễn phí

Kể mình triệu chứng — web bị chuyển sang trang lạ, hosting gửi cảnh báo, Google báo đỏ, hay chỉ là tải chậm — kèm địa chỉ web. Bạn nhận được nhận định đầu tiên bằng lời dễ hiểu: chuyện gì có lẽ đang xảy ra và sửa nó tốn cỡ nào, trước khi có đồng nào chuyển đi. Nếu đó là thứ bạn tự sửa trong mười phút, mình cũng nói luôn.

    Lên đầu trang