Site Başka Siteye Yönlendiriyor: WordPress Hack Yönlendirmesi Nasıl Bulunur ve Temizlenir?

Mobilde Başka Siteye Yönlendiriyor ya da Google’dan Girince Farklı Site Açılıyorsa

Bu iki belirti, şikâyetin büyük kısmını oluşturur ve en sık hack’e ya da sayfaya eklenmiş üçüncü taraf reklam koduna işaret eder. Google Search Central’ın gizli mobil yönlendirmeler yazısı, reklam göstermek için eklenen bir script’in site sahibinin haberi olmadan mobil kullanıcıları başka siteye gönderebildiğini, hacklenmiş sitelerde de yalnızca mobil kullanıcıya spam yönlendirmesi görülebildiğini anlatır. Aynı yazı, sitenin akıllı telefonla Google arama sonuçlarından ziyaret edilerek kontrol edilmesini önerir.

Mobilde başka siteye yönlendiriyor şikâyeti müşteriden geldiyse, müşterinin hangi tarayıcıyı kullandığı ve siteye nereden tıkladığı sorulmalıdır. Google’dan girince farklı site açılıyor ama doğrudan adres yazınca açılmıyorsa, referrer koşulu neredeyse her zaman devrededir. Bu bilgiler, aşağıdaki teşhis adımlarının hangisinden başlanacağını belirler.

Yönlendirme Adım Adım Nasıl Doğrulanır?

Doğrulamanın amacı, yönlendirmenin hangi koşulda çalıştığını ve Google’ın sayfayı nasıl gördüğünü belgelemektir. Adımlar şu sırayla yapılır:

1. Gizli pencere: WordPress oturumu ve çerezler olmadan, tarayıcının gizli veya özel penceresinde ana sayfa ve birkaç iç sayfa açılır.
2. Mobil veri ile telefon: Ofis Wi-Fi’si yerine mobil veriyle, yönetici olarak giriş yapılmamış bir telefondan aynı sayfalara bakılır.
3. Google’dan tıklama: Telefonda Google’da marka adı veya bir hizmet aranır, çıkan sonuca tıklanır; doğrudan yazarak girişle sonuç karşılaştırılır.
4. site: araması: Google’da site:alanadi.com yazılarak dizinde siteye ait olmayan Japonca, ilaç veya bahis başlıklı sayfalar olup olmadığına bakılır.
5. URL Denetimi canlı testi: Search Console’da URL Denetimi aracında “Canlı URL’yi test et” çalıştırılır, ardından “Test edilen sayfayı göster” ile ekran görüntüsü ve ham HTML incelenir. Burada Google’ın tarayıcısının aldığı sayfa görülür; site sahibinin ekranında olmayan spam metin veya script burada çıkabilir.
6. Güvenlik Sorunları raporu: Search Console’da Güvenlik ve Manuel İşlemler altındaki rapor, Google’ın tespit ettiği örnek URL’leri listeler.
7. Not alma: Saat, cihaz, tarayıcı ve gidilen adres yazılır; bu kayıt temizlikten sonraki inceleme isteğinde de kullanılır.

Teknik okur için: curl ile farklı kimlikle istek

Komut satırı kullanılabiliyorsa sunucunun telefondan ve Google’dan gelen ziyaretçiye ne döndürdüğü tek satırla görülebilir:

curl -sI -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X)" -e "https://www.google.com/" https://alanadi.com/

Burada -A isteği iPhone gibi gösterir, -e Google’dan gelinmiş gibi referrer ekler, -sI ilerleme çıktısı olmadan yalnızca yanıt başlıklarını yazdırır. Yanıtta başka bir alan adına giden Location: satırı varsa yönlendirme sunucu tarafında, büyük olasılıkla .htaccess veya PHP’de yapılıyordur. Başlıklar temiz ama tarayıcıda yönlendirme oluyorsa kod JavaScript ile çalışıyordur; bu durumda -I çıkarılıp sayfa kaynağında tanımadık <script> etiketleri aranır.

WordPress Hack Yönlendirmesi En Sık Nerede Saklanır?

Yönlendirme kodu ya sunucu yapılandırmasında, ya PHP dosyalarında, ya da veritabanında durur; çoğu vakada birden fazla yere kopya bırakılır. WordPress.org’un “My site was hacked” sayfası, enfeksiyon türü ne olursa olsun .htaccess dosyasının en sık değiştirilen dosyalardan biri olduğunu yazar. Aşağıdaki tablo belirtiyle olası saklanma yerini eşleştirir:

.htaccess yönlendirme kuralları

Apache sunucularda kök dizindeki .htaccess, istek WordPress’e ulaşmadan yönlendirme yapabilir. Saldırganlar RewriteCond satırlarıyla HTTP_USER_AGENT veya HTTP_REFERER koşulu ekleyip ardından dış alan adına RewriteRule yazar. WordPress.org, .htaccess’in yalnızca kökte değil başka dizinlerde de bulunabileceğini hatırlatır; wp-content ve uploads altındaki kopyalar da açılıp okunmalıdır.

wp-config.php, functions.php ve çekirdek dosyalar

Her sayfa isteğinde çalışan dosyalar saldırganın ilk tercihidir. WordPress.org’un listelediği dosyalar index.php, header.php, footer.php ve functions.php’dir; wp-config.php de en başta yüklendiği için sık hedeftir. Dosyanın en başına ya da en sonuna eklenmiş, base64_decode, eval, gzinflate gibi fonksiyonlarla gizlenmiş uzun tek satırlar en tipik işarettir.

Veritabanı: wp_options ve yazı içerikleri

wp_options tablosundaki siteurl ve home değerleri değiştirilirse site ve yönetim paneli tümüyle başka adrese yönlenir. Daha sinsi yöntemde ise wp_posts tablosundaki yazı ve sayfa içeriklerine veya widget ayarlarına <script> eklenir; dosyalar tertemiz görünürken yönlendirme sürer. Veritabanında saldırganın alan adı, <script ve eval( gibi ifadelerle arama yapmak bu kayıtları ortaya çıkarır.

Nulled eklenti ve tema

Ücretli bir eklentinin lisanssız dağıtılan kopyası çoğu zaman arka kapıyla gelir. WordPress’in güvenlik sıkılaştırma belgesi, eklenti ve temaların güvenilmeyen kaynaklardan alınmamasını, WordPress.org deposu veya bilinen firmalarla sınırlı kalınmasını önerir. Temizlenen site aynı nulled eklentiyle yeniden kurulursa yönlendirme geri döner.

wp-content/uploads içindeki PHP dosyaları

Uploads klasörü görsel ve belge içindir; içinde .php uzantılı dosya bulunması güçlü bir şüphe işaretidir. Bu dosyalar çoğu zaman saldırganın yeniden girmesini sağlayan arka kapıdır. WordPress.org da kurulum araçlarının yalnızca var olan dosyaların üzerine yazdığını, hack’lerin ise sıklıkla yeni dosya eklediğini vurgular.

WordPress Redirect Hack Temizleme: Hangi Sırayla Yapılır?

Temizlik, önce mevcut durumu kaydedip sonra kaynağı kapatmak üzerine kurulur; sırayı bozmak hem kanıtı hem de geri dönüş yolunu kaybettirir. WordPress.org’un adımlarına dayanan sıra şöyledir:

1. Yedek: Temiz bir yedek olsa bile, enfekte hâliyle dosya ve veritabanının bir kopyası daha alınır. WordPress.org bu kopyanın işler ters giderse başvuru için saklanmasını önerir.
2. Kaynağı bul: Teşhiste görülen alan adı ve koşullar dosyalarda, .htaccess kopyalarında ve veritabanında aranır; son değişen dosyalar tarih sırasına göre incelenir.
3. Temizle: wp-admin ve wp-includes klasörleri, sitede kullanılan sürümün aynısıyla FTP/SFTP üzerinden değiştirilir. Eklenti ve temalar resmi kaynaktan yeniden yüklenir, nulled olanlar kaldırılır, uploads içindeki PHP’ler ve veritabanındaki script’ler temizlenir.
4. Şifre ve salt: FTP/SFTP, WordPress yönetici, hosting paneli ve veritabanı şifreleri tüm kullanıcılar için değiştirilir; tanınmayan yönetici hesapları silinir. wp-config.php’deki güvenlik anahtarları yenilenerek açık oturumlar kapatılır.
5. Güncelle: WordPress, eklentiler ve tema son sürüme alınır; temizlik doğrulandıktan sonra şifreler bir kez daha değiştirilir.
6. İnceleme isteği: Search Console’da güvenlik sorunu görünüyorsa, yönlendirmenin artık çalışmadığı teşhis adımlarıyla tekrar doğrulandıktan sonra inceleme istenir.

WordPress.org, yeniden kurulum için yönetim panelindeki yeniden yükleme seçeneği yerine dosyaların FTP/SFTP ile elle değiştirilmesini önerir. Daha geniş kapsamlı kurtarma süreci, KVKK bildirimi ve erişim yenileme listesi WordPress hacklenmiş siteyi kurtarma sayfasında ayrıca anlatılır; bu yazı yalnızca yönlendirme türüne odaklanır.

Search Console’da inceleme isteği nasıl gönderilir?

Güvenlik Sorunları raporunda bir uyarı varsa, temizlik bittikten sonra raporda “İnceleme İsteğinde Bulunun” seçilir ve yapılan iş açıklanır. Google’ın Güvenlik Sorunları raporu sayfasına göre iyi bir istek üç şey içerir:

• Sitedeki sorunun tam olarak ne olduğu
• Sorunu gidermek için uygulanan adımlar
• Yapılan çalışmaların sonucunun belgelenmesi

Google, yeniden değerlendirme incelemelerinin birkaç gün ile birkaç hafta arasında sürebileceğini yazar. Sorun tümüyle giderilmeden gönderilen istek reddedilebileceği için önce gizli pencere, mobil, Google’dan tıklama ve URL Denetimi testleri temiz sonuç vermelidir. Teşhis aşamasında tutulan notlar bu açıklamanın omurgasını oluşturur.

Yanlış Alarm mı? Hack Olmayan Yönlendirmeler

Her yönlendirme zararlı değildir; ziyaretçi aynı sitenin başka bir adresine gidiyorsa çoğu zaman meşru bir ayardır. Google’ın spam politikası da geçerli yönlendirme örnekleri olarak siteyi yeni adrese taşımayı, birden fazla sayfayı tek sayfada birleştirmeyi ve giriş yapan kullanıcıyı site içindeki bir sayfaya göndermeyi sayar. Paniğe kapılmadan önce şu durumlar elenmelidir:

• www ve https yönlendirmesi: http’den https’e ya da www’suz adresten www’li adrese geçiş normaldir ve alan adı değişmez.
• Yönlendirme eklentileri: Silinen sayfalar için kurulmuş 301 kuralları ziyaretçiyi aynı sitedeki yeni sayfaya taşır.
• Dil veya ülke yönlendirmesi: Çok dilli sitelerde tarayıcı diline göre /en/ gibi bir alt dizine geçiş yapılabilir.
• Ödeme ve giriş akışları: Sepetten banka veya ödeme sayfasına geçiş, işlem bitince siteye dönüşle birlikte beklenen davranıştır.
• Reklam ağı script’i: Sitede reklam gösteriliyorsa, Google’ın da belirttiği gibi reklam kodu mobil kullanıcıyı başka siteye gönderebilir; bu hack olmasa da ziyaretçi açısından sonuç aynıdır.

Ayırt edici soru, ziyaretçinin gittiği alan adının kime ait olduğudur. Başka bir alan adına, özellikle bahis veya reklam sayfasına gidiliyorsa ve site sahibi böyle bir ayar yapmadıysa durum hack ya da istenmeyen üçüncü taraf kodu olarak ele alınmalıdır.

Güvenlik Eklentisiyle Tarama mı, Elle İnceleme mi?

Güvenlik eklentisi bilinen kalıpları hızla yakalar, ancak koşullu yönlendirmenin tamamını tek başına bulamayabilir; elle inceleme ise taramanın kaçırdığını yakalar. WordPress.org da tek bir çözümün en iyi yaklaşım olmadığını, uygulama içi ve uzaktan tarayıcıların birlikte kullanılmasının şansı artırdığını belirtir. İki yöntemin farkı şöyledir:

Eklenti, temizliğin ilk adımı ve sonrasında düzenli izleme için değerlidir. Yönlendirme temizlikten sonra geri geliyorsa sorun çoğu zaman taramanın ulaşmadığı bir arka kapı ya da açık kalmış bir erişim bilgisidir.

Sık Yapılan Hatalar ve Doğru Yöntem

En sık hata, sitenin kendi bilgisayardan normal açılmasına bakıp sorunu yok saymaktır; koşullu yönlendirme tam olarak bu yanılgıya göre tasarlanır. Sık görülen diğer hatalar ve doğru karşılıkları şunlardır:

• Yalnızca görünen kodu silmek: Kodu yeniden yazan dosya, kullanıcı hesabı veya zamanlanmış görev aranmazsa yönlendirme geri gelir.
• Yedekten körlemesine geri dönmek: Yedek, enfeksiyon başlamadan önce alınmış olmalıdır; aksi hâlde sorun da geri yüklenir.
• Şifreyi temizlikten önce bir kez değiştirip bırakmak: WordPress.org, şifrelerin site temizlendikten sonra yeniden değiştirilmesini önerir.
• Yalnızca yönetici şifresini değiştirmek: FTP, hosting paneli ve veritabanı erişimi de yenilenmelidir.
• İnceleme isteğini erken göndermek: Tüm testler temiz çıkmadan gönderilen istek süreci uzatabilir.

Tekrar Etmemesi İçin Kısa Önlemler

Yönlendirmenin geri gelmemesi, temizlik kadar sonrasında sürdürülen bakıma bağlıdır. WordPress’in sıkılaştırma belgesinden öne çıkan temel önlemler şunlardır:

• WordPress çekirdeği, eklentiler ve tema düzenli güncellenir; kullanılmayan eklentiler silinir.
• Eklenti ve tema yalnızca WordPress.org deposundan veya bilinen firmalardan alınır.
• wp-config.php’ye define( 'DISALLOW_FILE_EDIT', true ); eklenerek panelden PHP dosyası düzenleme kapatılır.
• Veritabanı dahil düzenli yedek alınır ve sunucu dışında saklanır.
• Yönetici hesaplarında uzun, benzersiz şifre ve iki adımlı doğrulama kullanılır.

Düzenli güncelleme, yedek ve izleme işi için yıllık WordPress bakım ve güncelleme hizmeti aylık 500–2.000 TL aralığında, sitenin büyüklüğüne göre planlanır.

Onur Freelance Yönlendirme Sorununda Nasıl Çalışır?

Onur Freelance, 2019’dan beri Maltepe/İstanbul merkezli olarak WordPress siteleri kuran ve bakımını yapan bir web tasarım ve dijital pazarlama stüdyosudur. Yönlendirme şikâyetinde önce yukarıdaki teşhis adımlarıyla hangi koşulda çalıştığını belgeliyoruz, sonra dosya, veritabanı ve kullanıcı hesaplarını birlikte inceliyoruz. Her hack farklı derinlikte olduğu için ücret duruma göre 3.000–10.000 TL arasında değişir; kesin tutar kapsam incelendikten sonra yazılı olarak verilir.

Süreç şeffaftır: yapılan her değişiklik not edilir, temizlik öncesi kopya saklanır ve Search Console açıklaması bu notlardan hazırlanır. Hack dışı WordPress hataları için WordPress problem çözme hizmeti, kapsamlı kurtarma gerekiyorsa hacklenmiş site kurtarma süreci uygulanır. Hiçbir temizlik sitenin bir daha saldırıya uğramayacağı anlamına gelmez; riski azaltan şey düzenli bakımdır.