Spamové odkazy z infikovaných stránek: hledání stránek, které jste nikdy nevytvořili

Jak se vložení projeví v datech o odkazech

Vzor je podivný. V seznamu vašich nejnavštěvovanějších stránek se objevují URL adresy, které nerozpoznáváte, často s podivnými parametry nebo slovy v cestě, jako jsou japonská slova nebo slova související s farmaceutickými výrobky.

Zavolejte toppages pro vaši doménu a čtěte seznam pomalu, protože u běžného webu se na začátku seznamu objevují domovská stránka, několik návodů a několik produktů. Řádky ve tvaru /wp-content/uploads/xyz-cheap-watches.html znamenají, že někdo umístil stránky na vaši doménu a následně pro ně vytvořil odkazy.

Vyhledávání site:yourdomain.com na Googlu v kombinaci se slovy, jako je casino nebo replica, odhalí indexovanou část stejného příběhu. Data o odkazech vám řeknou, které z těchto stránek útočník považoval za hodné propagace, a to vám řekne, kde začít s úklidem.

Nalezení vložených stránek bez crawleru

Než si koupíte nástroj pro hledání spamových odkazů z infikovaných stránek, přečtěte si, co již máte k dispozici. Export nejnavštěvovanějších stránek, seznam indexovaných stránek ve Search Console a prostý výpis složek na serveru ukazují každý jiný úsek stejného problému. Porovnejte tyto tři zdroje.

Hledejte složky, které jste nevytvořili. Útočníci často umístí adresář s názvem připomínajícím produkt nebo využijí složku pro nahrávání, kterou váš CMS nikdy nepoužívá. Spočítejte soubory v každé z nich. Téměto identické kostry je těžké vysvětlit.

Přečtěte si strom složek

Souborový strom vašeho serveru by měl odpovídat struktuře vašich stránek. Složka s náhodnými znaky nebo kopie pluginu s dalším slovem v názvu stojí za prozkoumání. Zapište si data úpravy, ale nespoléhejte na ně samotná, protože časová razítka lze změnit.

Zapište si každou složku, kterou nedokážete vysvětlit. Nevyjasněná složka není důkazem útoku, ale je otázkou, na kterou musíte odpovědět, než označíte stránku za vyčištěnou.

Uchovejte seznam referencí spolu s vašimi exporty. Další osoba, která bude incident studovat, by měla vidět, co bylo zkontrolováno, co bylo v pořádku a co bylo odstraněno, v tomto pořadí.

Porovnávejte tituly a popisy

Některé infikované CMS přepíše najednou tituly a popisy u stovek stránek. Exportujte tituly vašich indexovaných stránek a seřaďte je. Export se vrátí jako seznam, který lze číst. Opakovaný neznámý výraz odhalí vzor během minut a ukáže, které šablony byly změněny.

Zkontrolujte popisy stejným způsobem. Pokud zmiňují produkty, které jste nikdy neprodávali, našli jste druhou vrstvu vložení.

Pokud se tituly změnily pouze na stránkách, které nerozpoznáváte, vložené stránky vypráví celý příběh. Pokud se změnily na stránkách, které stále rozpoznáváte, byla změněna šablona a oprava spočívá ve vaší šabloně.

• Tituly sdílející jeden neznámý výraz
• Popisy, které zmiňují produkty, které neprodáváte
• Stránky bez odkazu z vaší vlastní navigace

Zkontrolujte zdroj stránky

Zobrazte zdroj domovské stránky a několika návodů. Vložené odkazy často sídlí v patičkách, v skrytých blocích nebo uvnitř skriptu načítaného z jiného hostitele. Skryté bloky zůstávají na obrazovce neviditelné. Přečtěte si surové HTML.

Zapište si všechny externí domény, které zdroj načítá. Doména, kterou nedokážete zařadit do vašeho vlastního stacku, si zaslouží řádek v deníku incidentu. Výstup toppages stojí 2 kredity a vrací JSON, takže můžete tyto vložené odkazy umístit vedle vložených stránek v jedné tabulce.

Proč je vstupní bod důležitější než úklid

Odstranění spamových stránek je viditelná polovina práce. Neviditelnou polovinou je způsob vstupu, a tato cesta obvykle zůstává otevřená, dokud ji někdo nenajde. Dbejte na vstupní bod jako první. Ne jako poslední.

Pokud ho přehlédnete, vložené stránky se vrátí do několika dnů a úklid začíná znovu od nuly. Výsledkem je cyklus vyčistit, znovu infikovat a znovu vyčistit, a každá iterace stojí čas, který během incidentu nemůžete věnovat.

Zastaralé pluginy a šablony

Staré komponenty jsou častým dveřním průchodem. Aktualizujte CMS, každou šablonu a každý plugin, poté odstraňte vše, co je opuštěno. Plugin bez nedávných aktualizací není bezpečný, i když stále funguje.

Zapište si, co jste odstranili a kdy. Tento seznam je užitečným důkazem, pokud se hostitel nebo vyhledávač později zeptá, co se stalo.

Opakovaná nebo ukradená hesla

Heslo používané na druhé stránce nebo uložené ve sdíleném sešitu může útočníkovi zajistit stejný přístup i zítra. Změňte společně přístupová data k hostingu, databázi, administrátorovi CMS, FTP a SSH klíčům, nikoliv po jednom. Jinak útočník stále drží funkční klíč.

Odstraňte administrátory, které nerozpoznáváte, a po změně hesla seznam znovu zkontrolujte.

Ověřovací soubory, které jste nepřidali

Útočník s přístupem k souborům může také přidat ověřovací soubor pro vaši vlastnost ve Search Console. Zkontrolujte seznam majitelů a odstraňte kohokoli, koho nerozpoznáváte. Poté se podívejte ve složce root na HTML soubory, které jste nikdy nenahráli.

Opakujte kontrolu majitelů týden po vyčištění. Trvá to minutu a zachytí případ, kdy byl přístup udržován tiše.

Mapy webu, tituly a strukturovaná data po vyčištění

Jakmile jsou vložené URL adresy pryč, tři místa mohou stále obsahovat starý příběh. Každé z nich je rychlé na kontrolu. Snadné také zapomenout. Věnujte každému z nich řádek ve vašem deníku incidentu.

Použijte stejný datovaný export, který jste vytvořili na začátku, abyste přesně viděli, co se změnilo.

Mapy webu

Otevřete mapu webu generovanou vaším CMS a přečtěte si každou URL adresu v ní. Vložené stránky někdy cestují v mapě webu, kterou vytvořil plugin, a mapa webu plná odpadu říká crawlerům, kam jít. Po vyčištění soubor regenerujte a znovu ho odeslete.

Uchovejte starou mapu webu jako důkaz místo jejího smazání.

Strukturovaná data

Některé vložené markupy popisují produkty nebo recenze, které na vašich stránkách nikdy neexistovaly. Zkontrolujte zdroj stránky na bloky schématu, které jste nepřidali, a otestujte několik vložených URL adres nástrojem pro testování strukturovaných dat.

Jakýkoli markup, který nedokážete vysledovat zpět k vašim šablonám, je úkolem na odstranění, nikoliv na úpravu obsahu.