PHP 웹쉘 탐지 사이트 해킹 복구 점검 순서

1. 해킹이 의심되는 징후를 확인합니다

검색 결과에 모르는 문구가 나오거나, 접속자에게만 다른 화면(스팸·도박 등)이 보이거나, 모르는 관리자 계정이 생겼거나, 서버 자원이 이유 없이 높아지면 침해를 의심해야 합니다.

관리자 화면에서는 이상이 없어 보여도 검색엔진이나 모바일에서만 다르게 보이는 경우가 있으니 여러 환경에서 확인하세요.

• 모르는 페이지·문구가 검색 결과에 노출
• 접속 환경에 따라 다른 화면 표시
• 모르는 관리자 계정·플러그인
• 서버 CPU·트래픽 급증
• 최근 수정된 낯선 PHP 파일

2. 먼저 피해를 막고 증거를 보존합니다

가능하면 서비스를 점검 모드로 돌리거나 접속을 막아 피해 확산을 막습니다. 복구를 서두르다 로그와 감염 파일을 지우면 원인을 찾기 어려우니 파일과 서버 로그를 먼저 따로 복사해 두세요.

KISA 인터넷 보호나라&KrCERT는 침해사고 신고와 원인 분석·대응조치 서비스 메뉴를 안내하고, 해킹·스팸·개인정보침해 상담은 118로 받는다고 안내합니다. 기업 서비스나 개인정보 유출이 걸려 있으면 신고와 상담을 함께 검토하세요.

3. 웹쉘과 변조된 파일을 찾습니다

업로드 폴더나 캐시 폴더처럼 PHP 파일이 있을 이유가 없는 곳의 .php 파일, 최근에 수정된 낯선 파일, 이름이 무작위이거나 정상 파일처럼 꾸민 파일을 우선 찾습니다.

워드프레스라면 WP-CLI의 wp core verify-checksums 명령으로 코어 파일을 워드프레스.org의 정상 체크섬과 비교할 수 있습니다. 서버가 침해된 상태에서는 검사 도구 자체가 조작될 수 있으니 결과를 맹신하지 말고 정상 사본과 직접 비교하세요.

• 업로드·캐시 폴더 안 PHP 파일 확인
• 최근 수정 파일 목록 확인
• 코어 파일을 정상 사본과 비교(WP는 verify-checksums)
• 의심 파일은 지우기 전에 보관
• DB의 관리자 계정·옵션 값 확인

4. 정상 파일로 되돌리고 접근 정보를 바꿉니다

가능하면 침해 이전의 깨끗한 백업으로 복원하고, 코어와 플러그인·테마는 공식 사이트에서 새로 받아 덮어씁니다. 감염 파일만 지우면 다른 곳에 숨은 백도어가 남을 수 있습니다.

복구 뒤에는 서버·FTP·DB·관리자 비밀번호와 인증 키를 모두 바꾸고, 모르는 계정과 예약 작업(cron)이 없는지 확인합니다.

5. 재발을 막는 점검을 이어갑니다

침입 경로(오래된 PHP 버전, 업데이트 안 된 플러그인, 약한 비밀번호, 업로드 취약점)를 찾아 고치지 않으면 다시 당합니다. PHP 버전을 최신 보안 버전으로 올리고 설정과 코드를 점검하세요.

복구 뒤 일정 기간은 로그와 파일 변경을 자주 확인합니다. 구글 검색 결과에 스팸이 남았다면 정리한 뒤 검색 콘솔의 검토 요청 절차를 이용할 수 있습니다.