Медиатека на 427 тысяч лишних файлов — и найденный по ходу взлом

Сначала определили, что удалять нельзя. Сняли HTML всех опубликованных карточек и собрали эталон из фотографий, которые реально показываются на сайте: 1 831 адрес, 8 803 файла со всеми размерами. Ручные загрузки администратора, 995 файлов, отсекли по имени — у фото из фида это 32-символьный хеш, у ручных человеческое. Удаление запустили, только когда списки «сохранить» и «удалить» не пересеклись ни одним файлом.

Удалили 427 412 файлов двумя проходами и освободили около 30 ГБ. Удалённые адреса отдают 404, живые фотографии, логотип и PDF-ценники открываются. Проверку вели небольшими выборками с паузами, чтобы не нагружать хостинг, пока работает импорт фида.

Причина нашлась там, где её обычно не ищут. Фото машин попадают в ACF-галерею, а у поля галереи своя настройка поиска фото в медиатеке, и общая настройка импорта на неё не распространяется. Настроили сверку с медиатекой прямо в поле галереи, включили защиту от дублей вложений и загрузку только новых картинок. Теперь импорт узнаёт фото, которое уже есть на сайте, и не качает его повторно.

Результат подтвердили замером: посчитали файлы в папке месяца, прогнали полный импорт фида и посчитали снова. Было 8 446, стало 9 111. Прирост в 665 файлов — это 133 новые фотографии по пять размеров, все с чистыми именами и без копий. До исправления такой же прогон добавлял около 8 000 файлов. Автоочистка по расписанию не понадобилась: новых копий нет, чистить нечего.

Взлом, найденный по ходу

Среди фотографий попались программные файлы. В медиатеке их быть не должно. Разбор показал закладку для удалённого управления: 26 файлов в пяти папках и два вредоносных плагина — в одном файловый менеджер без пароля, открытый любому, кто знает адрес, в другом рассыльщик спама с домена клиента. Ещё нашлись пятеро чужих администраторов. Часть файлов маскировалась под родные файлы системы, у части были подделаны даты, а один прятал остальные из панели администратора.

Обычная чистка здесь не помогла бы. Тело закладки, 131 128 байт, лежало в базе данных под видом служебной записи, и раз в час удалённые файлы возвращались — сканер отчитался бы «чисто», а через час всё было бы на месте. Поэтому вырезали всю цепочку: файлы, вставку в файл настроек, запись в базе, задание планировщика и чужие доступы. Администраторов удалили с подтверждения владельца сайта.

После чистки в папке загрузок запретили запуск программ, сменили пароль администратора и ключи сессий. Все 7 159 PHP-файлов сайта проверили по дате изменения и содержимому: остатков нет.