파일 무결성 검사로 변조된 파일을 자동으로 찾아냅니다

워드프레스 파일 무결성 검사는 해킹 사고 후 복구 작업에서 처음 써봤습니다. 어떤 파일이 언제 바뀌었는지 모르는 상황에서 수천 개의 파일을 하나하나 확인하는 것은 불가능합니다. Wordfence의 무결성 검사 기능을 실행했을 때, 원래 워드프레스 코어 파일과 다르게 변조된 파일 목록이 즉시 나왔습니다. 공격자가 수정한 파일들을 정확하게 짚어냈습니다.

Wordfence 파일 스캔 사용

Wordfence Security 플러그인의 스캔 기능이 가장 간편합니다.

1. Wordfence → 스캔 → 새 스캔 시작
2. “Malware Scan” 결과에서 “WordPress Core Files Modified” 항목 확인
3. 변조된 파일 목록과 원본과의 차이(diff) 확인 가능

스캔이 끝나면 변조된 파일, 의심스러운 코드가 있는 파일, 삭제된 코어 파일 등을 분류해서 보여줍니다.

WP-CLI로 코어 파일 무결성 확인

서버에 WP-CLI가 설치돼 있다면 명령줄에서도 확인할 수 있습니다.

# 워드프레스 코어 파일 체크섬 검증
wp core verify-checksums

# 플러그인 체크섬 확인
wp plugin verify-checksums --all

# 테마 체크섬 확인
wp theme verify-checksums --all

원본과 다른 파일이 있으면 목록이 출력됩니다. 정상 상태에서는 아무 것도 출력되지 않아야 합니다.

find 명령으로 최근 변경 파일 찾기

특정 시간 이후 변경된 파일을 빠르게 찾는 방법입니다.

# 24시간 내 변경된 PHP 파일
find /var/www/html -name "*.php" -newer /var/www/html/wp-config.php -mtime -1

# 최근 7일 내 변경된 모든 파일
find /var/www/html -mtime -7 -type f | grep -v ".log"

공격 날짜를 알고 있다면 그 전후 파일 변경 목록으로 공격 경로를 추적할 수 있습니다.

정기 스캔 자동화

Wordfence에서 스캔 예약 설정:

Wordfence → 스캔 → 스캔 스케줄링 → 자동으로 예약 선택

서버 부하를 고려해 새벽 2~4시 사이 시간대로 설정합니다. 변경 사항이 감지되면 이메일로 알림을 받을 수 있습니다.

파일 무결성 검사는 예방보다 조기 발견에 가깝습니다. 감염됐더라도 빨리 발견하고 빨리 복구하는 것이 피해를 최소화하는 핵심입니다.