Quét mã độc trên VPS bằng Wordfence CLI – Hướng Dẫn Từ A-Z

apt-get update
apt-get install -y libpcre2-dev libpcre3-dev python3-full pipx

pipx ensurepath
source ~/.bashrc

pipx install wordfence

wordfence --help

wordfence configure

wordfence malware-scan /var/www/yourdomain.com/htdocs

wordfence malware-scan /var/www/site1.com/htdocs /var/www/site2.com/htdocs

wordfence malware-scan /var/www/*/htdocs

wordfence malware-scan /var/www

wordfence malware-scan \
  --output-format csv \
  --output-path /root/scan-result.csv \
  /var/www/yourdomain.com/htdocs

wordfence malware-scan \
--output-format line-delimited \
--output-path /root/scan-result.txt \
/var/www/yourdomain.com/htdocs

nano /root/wordfence-scan.sh

#!/bin/bash

# ==========================================
# WORDFENCE ROTATING SCAN — 20 site/ngày
# ==========================================

WEB_ROOT="/var/www" #Thay lại cho đúng với VPS của bạn

BOT_TOKEN="YOUR_BOT_TOKEN"
CHAT_ID="YOUR_CHAT_ID"
LOG_DIR="/root/scans"
RESULT_FILE="${LOG_DIR}/scan-result.txt"
STATE_FILE="/root/scans/.scan_index"  # Lưu vị trí đang scan
SITES_PER_DAY=20                      # Số site scan mỗi ngày
DELAY_BETWEEN_SITES=60                # Giây nghỉ giữa các site
HOSTNAME=$(hostname)

mkdir -p "$LOG_DIR"

# Xoá trắng file kết quả cho lần quét mới
> "$RESULT_FILE"

# --- HÀM GỬI TELEGRAM ---
send_telegram() {
  local message="$1"
  curl -s -X POST "https://api.telegram.org/bot${BOT_TOKEN}/sendMessage" \
    --data-urlencode "chat_id=${CHAT_ID}" \
    --data-urlencode "text=${message}" \
    --data-urlencode "parse_mode=HTML" \
    > /dev/null
}

# --- HÀM SCAN 1 SITE ---
scan_site() {
  local SITE_PATH="$1"
  local SITE_NAME=$(basename $(dirname "$SITE_PATH"))
  local TEMP_FILE=$(mktemp)
  local START_TIME=$(date +%s)

  echo "[$(date '+%H:%M:%S')] ▶ $SITE_NAME"

  /root/.local/bin/wordfence malware-scan \
    --output-format line-delimited \
    --output-path "$TEMP_FILE" \
    --quiet \
    "$SITE_PATH"

  local DURATION=$(( $(date +%s) - START_TIME ))
  local COUNT=0
  [ -s "$TEMP_FILE" ] && COUNT=$(wc -l < "$TEMP_FILE")

  if [ "$COUNT" -gt 0 ]; then
    # Ghi vào file kết quả chung
    echo "=== ${SITE_NAME} — ${COUNT} file — $(date '+%d/%m/%Y %H:%M:%S') ===" >> "$RESULT_FILE"
    cat "$TEMP_FILE" >> "$RESULT_FILE"
    echo "" >> "$RESULT_FILE"

    local FILE_LIST=$(head -20 "$TEMP_FILE")
    send_telegram "🚨 <b>CẢNH BÁO MALWARE</b>
🖥 Server: <b>${HOSTNAME}</b>
🌐 Site: <b>${SITE_NAME}</b>
📁 Phát hiện: <b>${COUNT} file đáng nghi</b>
⏱ Scan: ${DURATION}s

<code>${FILE_LIST}</code>"
  fi

  rm -f "$TEMP_FILE"
  LAST_SCAN_COUNT=$COUNT
  echo "[$(date '+%H:%M:%S')] ✔ ${SITE_NAME} — ${COUNT} threats — ${DURATION}s"
}

# ==========================================
# DISCOVER TẤT CẢ SITE
# ==========================================
ALL_SITES=()
while IFS= read -r -d '' config; do
  ALL_SITES+=("$(dirname "$config")")
done < <(find "$WEB_ROOT" -maxdepth 4 -name "wp-config.php" -print0 2>/dev/null)

TOTAL_SITES=${#ALL_SITES[@]}

if [ "$TOTAL_SITES" -eq 0 ]; then
  echo "Không tìm thấy site nào."
  exit 1
fi

# ==========================================
# ĐỌC INDEX HIỆN TẠI — xoay vòng
# ==========================================
START_INDEX=0
if [ -f "$STATE_FILE" ]; then
  START_INDEX=$(cat "$STATE_FILE")
  # Reset về 0 nếu đã quét hết
  if [ "$START_INDEX" -ge "$TOTAL_SITES" ]; then
    START_INDEX=0
    echo "🔄 Đã quét hết tất cả site — bắt đầu lại từ đầu"
  fi
fi

END_INDEX=$(( START_INDEX + SITES_PER_DAY ))
[ "$END_INDEX" -gt "$TOTAL_SITES" ] && END_INDEX="$TOTAL_SITES"

BATCH_COUNT=$(( END_INDEX - START_INDEX ))

# Tính ngày hoàn thành 1 vòng
DAYS_LEFT=$(( (TOTAL_SITES - END_INDEX + SITES_PER_DAY - 1) / SITES_PER_DAY ))

echo "=========================================="
echo "Tổng site: $TOTAL_SITES"
echo "Hôm nay scan: site $((START_INDEX+1)) → $END_INDEX ($BATCH_COUNT site)"
echo "Còn lại: ~$DAYS_LEFT ngày để hoàn thành 1 vòng"
echo "=========================================="

# Gửi thông báo bắt đầu
send_telegram "🔍 <b>Wordfence Rotating Scan</b>
🖥 Server: <b>${HOSTNAME}</b>
📦 Hôm nay: site <b>${START_INDEX+1} → ${END_INDEX}</b> / ${TOTAL_SITES}
🗓 Còn ~${DAYS_LEFT} ngày để hoàn thành 1 vòng
🕐 Bắt đầu: $(date '+%d/%m/%Y %H:%M')"

# ==========================================
# SCAN BATCH HÔM NAY
# ==========================================
CURRENT=0
TOTAL_THREATS=0
INFECTED_SITES=""

LAST_SCAN_COUNT=0

for (( i=START_INDEX; i<END_INDEX; i++ )); do
  CURRENT=$(( CURRENT + 1 ))
  SITE_PATH="${ALL_SITES[$i]}"
  SITE_NAME=$(basename $(dirname "$SITE_PATH"))

  echo ""
  echo "[$CURRENT/$BATCH_COUNT] (site $(( i+1 ))/$TOTAL_SITES)"

  scan_site "$SITE_PATH"

  if [ "$LAST_SCAN_COUNT" -gt 0 ]; then
    TOTAL_THREATS=$(( TOTAL_THREATS + LAST_SCAN_COUNT ))
    INFECTED_SITES="${INFECTED_SITES}\n⚠️ ${SITE_NAME}: ${LAST_SCAN_COUNT} file"
  fi

  # Nghỉ giữa các site (trừ site cuối)
  if [ "$CURRENT" -lt "$BATCH_COUNT" ]; then
    echo "[$(date '+%H:%M:%S')] Nghỉ ${DELAY_BETWEEN_SITES}s..."
    sleep "$DELAY_BETWEEN_SITES"
  fi
done

# ==========================================
# LƯU INDEX CHO NGÀY MAI
# ==========================================
echo "$END_INDEX" > "$STATE_FILE"

# ==========================================
# BÁO CÁO TỔNG KẾT
# ==========================================
if [ "$TOTAL_THREATS" -gt 0 ]; then
  send_telegram "📊 <b>KẾT QUẢ HÔM NAY</b>
🖥 Server: <b>${HOSTNAME}</b>
📦 Đã scan: <b>${BATCH_COUNT} site</b> (${START_INDEX+1}→${END_INDEX}/${TOTAL_SITES})
🚨 Site bị nhiễm: $(echo -e "$INFECTED_SITES")
🔢 Tổng file nghi: <b>${TOTAL_THREATS}</b>
🕐 Hoàn thành: $(date '+%d/%m/%Y %H:%M')"
else
  send_telegram "✅ <b>SCAN XONG — SẠCH</b>
🖥 Server: <b>${HOSTNAME}</b>
📦 Đã scan: <b>${BATCH_COUNT} site</b> (${START_INDEX+1}→${END_INDEX}/${TOTAL_SITES})
🕐 Hoàn thành: $(date '+%d/%m/%Y %H:%M')"
fi

chmod +x /root/wordfence-scan.sh
/root/wordfence-scan.sh

crontab -e
0 2 * * * /root/wordfence-scan.sh >> /root/scans/cron.log 2>&1