Checklist kiểm tra website sau xử lý malware/hack

Sau khi xóa malware hoặc phục hồi website bị hack, câu hỏi quan trọng không phải là “trang chủ đã mở lại chưa?” mà là có đủ bằng chứng để đưa website trở lại vận hành hay chưa. Một website tải bình thường vẫn có thể còn tài khoản lạ, backdoor, cron độc hại, mã chèn trong database, credential bị lộ hoặc đường tái xâm nhập chưa được đóng.

Phạm vi bài này: post-cleanup verification và quyết định go/no-go. Nếu website vẫn đang bị tấn công hoặc chưa containment/cleanup, bắt đầu từ quy trình xử lý website bị hack.

Không có một dấu hiệu đơn lẻ nào chứng minh website đã sạch

Kết luận nên dựa trên nhiều lớp kiểm tra: file và mã nguồn, tài khoản, database, scheduler/cron, cấu hình hosting, DNS/CDN, credential, log, chức năng website và theo dõi sau phục hồi. Công cụ scan là một nguồn tín hiệu, không phải bằng chứng duy nhất.

Checklist 10 nhóm trước khi đưa website trở lại vận hành

1. Xác minh phạm vi cleanup

Biết thành phần nào đã được kiểm tra và thành phần nào nằm ngoài scope.
Có log thay đổi hoặc danh sách file/tài khoản/thành phần đã xử lý.
Không đánh đồng “đã xóa file phát hiện được” với “đã xác minh toàn bộ hệ thống”.

2. Kiểm tra file và persistence

So sánh core/plugin/theme với nguồn tin cậy khi có thể; kiểm tra file mới/sửa bất thường, mu-plugin, upload có mã thực thi, file cấu hình và các vị trí thường bị lợi dụng để duy trì truy cập. Với WordPress, có thể đối chiếu thêm cách phát hiện backdoor WordPress.

3. Kiểm tra tài khoản và quyền

Không còn admin/user không rõ nguồn gốc.
Quyền của tài khoản hợp lệ đúng nhu cầu.
Tài khoản hosting, SFTP/SSH, database, CDN/DNS và dịch vụ tích hợp đã được rà.

4. Rotate credential và secret có nguy cơ lộ

Nếu credential có thể đã bị truy cập trong thời gian compromise, cần thay đổi theo phạm vi phù hợp: mật khẩu quản trị, hosting, database, API key, token và secret tích hợp. Việc rotate nên có owner và ghi nhận để tránh bỏ sót hoặc làm hỏng integration.

5. Kiểm tra database và nội dung bị chèn

Rà các option/config bất thường, user, nội dung chèn, JavaScript, redirect, SEO spam và dữ liệu persistence có thể không nằm trong filesystem.

6. Kiểm tra cron, scheduled task và automation

Xác minh cron của hệ điều hành/hosting, WordPress cron, scheduled job và webhook/integration có thể tái tạo file, user hoặc redirect sau cleanup.

7. Vá đường xâm nhập đã biết hoặc giảm rủi ro khi chưa chắc root cause

Cập nhật/vô hiệu hóa thành phần dễ bị khai thác, thu hồi quyền không cần thiết và áp dụng biện pháp giảm thiểu phù hợp. Nếu chưa xác định được root cause, phải ghi rõ mức bất định thay vì tuyên bố sự cố đã được giải quyết hoàn toàn.

8. Smoke test chức năng và SEO-critical pages

Trang chủ, trang quan trọng và form hoạt động đúng.
Không còn redirect ngoài ý muốn.
Canonical, robots/noindex và nội dung SEO-critical không bị thay đổi bất thường.
Không còn script hoặc link lạ trong rendered HTML ở các trang mẫu.

9. Kiểm tra log và tín hiệu sau phục hồi

Theo dõi authentication, request bất thường, file change, WAF/CDN, malware alert và các chỉ báo từng xuất hiện trong incident. Xem thêm website security monitoring để thiết kế lớp phát hiện sau phục hồi.

10. Chốt quyết định go/no-go và known issues

Trước khi mở lại đầy đủ, ghi rõ ai quyết định, các kiểm tra đã pass, kiểm tra chưa thể thực hiện, rủi ro còn lại, thời gian theo dõi và điều kiện phải rollback/cô lập lại.

Bảng go/no-go nhanh

Trạng thái	Ý nghĩa
GO	Các lớp kiểm tra chính đã hoàn tất, đường xâm nhập đã biết được xử lý/giảm thiểu và monitoring sẵn sàng.
GO có điều kiện	Còn known issue nhưng đã đánh giá, có owner, biện pháp giảm thiểu và thời hạn xử lý.
NO-GO	Còn persistence/tài khoản lạ/redirect/mã chèn, chưa kiểm soát credential hoặc chưa đủ bằng chứng về phạm vi cleanup.

Sau khi website hoạt động lại

Incident chưa kết thúc ngay khi traffic được mở lại. Cần tiếp tục monitoring, kiểm tra drift, hoàn thành credential actions, xử lý prevention backlog và lưu lại thay đổi. Nếu cần vận hành thành quy trình lặp lại, xem Website Security Operations.

Nếu website còn dấu hiệu malware/backdoor hoặc redirect, xem website nhiễm malware/backdoor và chỉ chuyển sang checklist verification này sau khi containment/cleanup đã được thực hiện trong phạm vi xác định.

Đoàn Trình Dục

Đoàn Trình Dục là Giảng viên Khoa Công nghệ Thông tin tại Đại học Công nghệ Sài Gòn (STU), với hơn 10 năm kinh nghiệm thực chiến trong các lĩnh vực Mạng máy tính, Marketing Online, SEO và Bảo mật hệ thống.
Với nền tảng sư phạm và kinh nghiệm tư vấn cho nhiều doanh nghiệp, thầy chuyên sâu vào việc xây dựng các giải pháp kỹ thuật số toàn diện và hiệu quả.