Injektionsprüfung
Spam-Links von gehackten Seiten: Seiten finden, die Sie nie veröffentlicht haben
Einige Linkfluten sind nicht auf Sie gerichtet. Sie verweisen auf Junk-Seiten, die ein Angreifer auf Ihrer Domain platziert hat, und die Lösung beginnt auf Ihrem Server, nicht in einer Disavow-Datei.
Fehler und Korrekturen nach einer Injektion
| Fehler | Warum es schadet | Lösung |
|---|---|---|
| Löschen der Spam-Seiten und damit Schluss | Der Hintereingang bleibt bestehen und die Seiten kehren zurück | Den Einstiegspunkt finden: veraltetes Plugin, gestohlenes Passwort, schwacher FTP- oder SSH-Zugang |
| Links zu den injizierten URLs disavowen | Links zu Seiten, die nicht mehr existieren, benötigen keine Datei | 404 oder 410 für die Seiten zurückgeben und sie verfallen lassen |
| Spam-URLs in der robots.txt blockieren | Google kann nicht sehen, dass sie verschwunden sind | Crawling erlauben, 410 ausliefern, dann bei Bedarf Entfernung anfordern |
| Die .htaccess und die Datenbank überspringen | Weiterleitungen und Spam-Beiträge verstecken sich dort | Durchsuchen Sie die Dateien und die Beitrags-Tabelle, nicht nur den Theme-Ordner |
| Um Überprüfung bitten, bevor die Seite sauber ist | Die Anfrage wird abgelehnt und Zeit geht verloren | Säubern, überprüfen, dann einreichen |
Wie eine Injektion in den Linkdaten sichtbar wird
Das Muster ist seltsam. Ihre Liste der Top-Seiten enthält URLs, die Sie nicht wiedererkennen, oft mit seltsamen Parametern oder japanischen oder pharmazeutischen Begriffen im Pfad.
Rufen Sie toppages für Ihre Domain auf und lesen Sie die Liste langsam durch, da eine normale Seite ihre Startseite, einige Leitfäden und einige Produkte ganz oben hat. Zeilen, die wie /wp-content/uploads/xyz-cheap-watches.html aussehen, bedeuten, dass jemand Seiten auf Ihre Domain platziert und dann Links zu ihnen aufgebaut hat.
Eine site:yourdomain.com-Suche in Google, kombiniert mit Begriffen wie Casino oder Replica, findet die indizierte Seite derselben Geschichte. Die Linkdaten zeigen Ihnen, welche dieser Seiten der Angreifer förderungswürdig fand, und das sagt Ihnen, wo Sie mit der Bereinigung beginnen sollten.
Gefundene Seiten ohne Crawler finden
Bevor Sie ein Tool für Spam-Links von gehackten Seiten kaufen, lesen Sie, was Sie bereits haben. Der Export der Top-Seiten, die Liste der indizierten Seiten in der Search Console und eine einfache Verzeichnisauflistung auf dem Server zeigen jeweils einen anderen Ausschnitt desselben Problems. Vergleichen Sie die drei.
Suchen Sie nach Ordnern, die Sie nicht erstellt haben. Angreifer legen oft ein Verzeichnis mit einem produktähnlichen Namen ab oder verwenden einen Upload-Ordner, den Ihr CMS nie berührt. Zählen Sie die Dateien in jedem Ordner. Fast identische Stubs sind schwer zu erklären.
Den Ordnerbaum lesen
Der Dateibaum Ihres Servers sollte der Struktur Ihrer Website entsprechen. Ein Ordner mit zufälligen Zeichen oder eine Kopie eines Plugins mit einem zusätzlichen Wort im Namen ist einen Blick wert. Notieren Sie die Änderungsdaten, aber verlassen Sie sich nicht allein darauf, da Zeitstempel geändert werden können.
Schreiben Sie jeden Ordner auf, den Sie nicht erklären können. Ein unerklärter Ordner ist kein Beweis für einen Angriff, aber es ist eine Frage, die Sie beantworten müssen, bevor Sie die Seite als sauber bezeichnen.
Behalten Sie die Referenzliste zusammen mit Ihren Exporten. Die nächste Person, die den Vorfall liest, sollte sehen, was überprüft, was sauber und was entfernt wurde, in dieser Reihenfolge.
Titel und Beschreibungen vergleichen
Ein gehacktes CMS überschreibt manchmal Titel und Beschreibungen auf Hunderten von Seiten gleichzeitig. Exportieren Sie die Titel Ihrer indizierten Seiten und sortieren Sie sie. Der Export kommt als Liste zurück, die Sie lesen können. Eine wiederkehrende unbekannte Phrase macht das Muster in Minuten sichtbar und zeigt, welche Vorlagen betroffen waren.
Überprüfen Sie die Beschreibungen auf die gleiche Weise. Wenn sie Produkte erwähnen, die Sie noch nie verkauft haben, haben Sie eine zweite Ebene der Injektion gefunden.
Wenn sich die Titel nur auf Seiten geändert haben, die Sie nicht wiedererkennen, erzählen die platzierten Seiten die ganze Geschichte. Wenn sie sich auf Seiten geändert haben, die Sie noch wiedererkennen, wurde die Vorlage berührt und die Lösung liegt in Ihrem Theme.
- Titel, die eine unbekannte Phrase teilen
- Beschreibungen, die Produkte erwähnen, die Sie nicht verkaufen
- Seiten ohne Link in Ihrer eigenen Navigation
Den Quellcode der Seite prüfen
Sehen Sie sich den Quellcode Ihrer Startseite und einiger Leitfäden an. Injizierte Links sitzen oft in Fußzeilen, in versteckten Blöcken oder in einem Skript, das von einem anderen Host geladen wird. Versteckte Blöcke bleiben auf dem Bildschirm unsichtbar. Lesen Sie den rohen HTML-Code.
Notieren Sie jede externe Domain, die der Quellcode lädt. Eine Domain, die Sie in Ihrer eigenen Infrastruktur nicht benennen können, verdient eine Zeile im Vorfallsprotokoll. Ein toppages-Abfrage kostet 2 Credits und gibt JSON zurück, sodass Sie diese platzierten Links neben den platzierten Seiten in einem Blatt zusammenfassen können.
Bereinigungsreihenfolge
- Schalten Sie die Seite während der Arbeit hinter eine Wartungsseite oder beschränken Sie den Admin-Zugang
- Ändern Sie jedes Anmeldeinformation: Hosting, Datenbank, CMS-Admins, FTP und SSH-Schlüssel
- Aktualisieren Sie das CMS, Themes und Plugins; entfernen Sie alles, was aufgegeben wurde
- Vergleichen Sie Dateien mit einer sauberen Kopie oder einem frischen Download Ihres CMS
- Durchsuchen Sie die Datenbank nach injizierten Beiträgen, Links und unbekannten Admin-Benutzern
- Liefern Sie 404 oder 410 für die platzierten URLs aus und reichen Sie eine neue Sitemap ein
- Überprüfen Sie die Sicherheitsprobleme und manuellen Maßnahmen in der Search Console nach der Bereinigung
Warum der Einstiegspunkt wichtiger ist als die Bereinigung
Das Entfernen der Spam-Seiten ist die sichtbare Hälfte der Arbeit. Die unsichtbare Hälfte ist der Einstiegspunkt, und dieser Weg bleibt meist offen, bis jemand ihn findet. Setzen Sie den Einstiegspunkt an die erste Stelle. Nicht an die letzte.
Wenn Sie ihn verpassen, kehren die platzierten Seiten innerhalb von Tagen zurück und die Bereinigung beginnt wieder bei Null. Das Ergebnis ist eine Schleife aus Bereinigen, Neuinfizieren und Wiederbereinigen, und jeder Durchgang kostet Zeit, die Sie während eines Vorfalls nicht entbehren können.
Veraltete Plugins und Themes
Alte Komponenten sind eine häufige Tür. Aktualisieren Sie das CMS, jedes Theme und jedes Plugin, und entfernen Sie dann alles, was aufgegeben wurde. Ein Plugin ohne aktuelle Updates ist kein sicheres, auch wenn es noch funktioniert.
Notieren Sie, was Sie entfernt haben und wann. Diese Liste ist nützliches Beweismaterial, wenn ein Host oder eine Suchmaschine später fragt, was passiert ist.
Wiederverwendete oder gestohlene Passwörter
Ein Passwort, das auf einer zweiten Seite verwendet wird oder in einer gemeinsamen Tabelle gespeichert ist, kann einem Angreifer morgen denselben Zugang gewähren. Ändern Sie die Zugangsdaten für Hosting, Datenbank, CMS-Admin, FTP und SSH gemeinsam, nicht einzeln. Andernfalls hält der Angreifer immer noch einen funktionierenden Schlüssel.
Entfernen Sie Admin-Benutzer, die Sie nicht erkennen, und überprüfen Sie die Liste nach der Passwortänderung erneut.
Überprüfungsdateien, die Sie nicht hinzugefügt haben
Ein Angreifer mit Dateizugang kann auch eine Überprüfungsdatei für Ihre Search Console-Eigenschaft hinzufügen. Überprüfen Sie die Liste der Eigentümer und entfernen Sie alle, die Sie nicht erkennen. Suchen Sie dann im Root-Ordner nach HTML-Dateien, die Sie nie hochgeladen haben.
Wiederholen Sie die Eigentümerprüfung eine Woche nach der Bereinigung. Es dauert eine Minute und fängt den Fall ab, in dem der Zugang still gehalten wurde.
Priorität
Schließen Sie die Tür, bevor Sie den Boden fegen
Wenn der Einstiegspunkt offen bleibt, kehren die Spam-Seiten innerhalb von Tagen zurück. Linkdaten helfen Ihnen, zu finden, was gefördert wurde, aber die Ursache liegt auf dem Server. Ein Malware-Scan durch Ihren Host oder Sucuri ist ein sinnvoller erster Schritt.
- Behandeln Sie Links zu toten injizierten URLs als harmlos
- Behalten Sie den toppages-Export als Beweis für das Geschehene
- Fügen Sie die Domain anschließend zu Ihrer monatlichen Überwachung hinzu, sehen Sie sich den Einrichtungsleitfaden an
Sitemaps, Titel und strukturierte Daten nach einer Bereinigung
Sobald die platzierten URLs verschwunden sind, können drei Orte immer noch die alte Geschichte enthalten. Jeder ist schnell zu überprüfen. Auch leicht zu vergessen. Geben Sie jedem von ihnen eine Zeile in Ihrem Vorfallsprotokoll.
Verwenden Sie denselben datierten Export, den Sie zu Beginn erstellt haben, damit Sie genau sehen können, was sich geändert hat.
Sitemaps
Öffnen Sie die Sitemap, die Ihr CMS generiert, und lesen Sie jede URL darin. Platzierte Seiten fahren manchmal in einer Sitemap mit, die ein Plugin erstellt hat, und eine Sitemap voller Müll sagt Crawlern, wohin sie gehen sollen. Generieren Sie die Datei nach der Bereinigung neu und reichen Sie sie erneut ein.
Behalten Sie die alte Sitemap als Beweis bei, anstatt sie zu löschen.
Strukturierte Daten
Einige injizierte Markup-Beschreibungen beziehen sich auf Produkte oder Bewertungen, die auf Ihrer Seite nie existiert haben. Überprüfen Sie den Quellcode der Seite auf Schema-Blöcke, die Sie nicht hinzugefügt haben, und testen Sie einige platzierte URLs mit einem Tool zum Testen strukturierter Daten.
Jedes Markup, das Sie nicht auf Ihre Vorlagen zurückführen können, ist eine Aufgabe zum Entfernen, keine zur Inhaltspflege.
Die API nutzen, um den Schaden einzugrenzen
Top-Seiten abrufen
action=toppages&q=yourdomain.com&per=1000. Zwei Credits, $0.0002.
Markieren Sie, was Sie wiedererkennen
Kopieren Sie die Zeilen in ein Blatt und markieren Sie jede URL als Ihre oder nicht. Die unbekannte Gruppe ist die Injektions-Spur.
Verweisende Domains für eine platzierte Seite abrufen
action=backlinks gibt die verlinkenden Seiten zurück. Wenn sie von Hunderten von unrelated Domains mit demselben Anchor kommen, haben Sie die Spike-Signatur.
Nach der Bereinigung erneut ausführen
Die nächste monatliche Aktualisierung sollte zeigen, wie diese URLs verschwinden, obwohl tote Links eine Weile aufgelistet bleiben können.
Häufig gestellte Fragen
Muss ich Links zu gehackten Seiten disavowen?
Normalerweise nicht. Wenn die Seiten jetzt 404 oder 410 zurückgeben, verweisen die Links auf nichts. Investieren Sie die Mühe in das Entfernen des Hintereingangs. Disavowen Sie nur, wenn eine manuelle Maßnahme diese Links zitiert oder Sie ein offensichtliches Bezahl-Schema nachweisen können.
Wie lange dauert es, bis der Spam aus Google verschwindet?
Das variiert je nach Crawling-Rate und Seitengröße. Das Ausliefern eines klaren 410 und das Einreichen einer aktualisierten Sitemap beschleunigt den Prozess, aber wir versprechen kein Datum. Überprüfen Sie die Search Console nach jedem monatlichen Abruf.
