Verifica iniezioni
Link spam da sito compromesso: trovare pagine che non hai pubblicato tu
Alcuni picchi di link non sono diretti contro di te. Colpiscono pagine di scarso valore create da un attaccante sul tuo dominio e la soluzione parte dal tuo server, non da un file disavow.
Errori e correzioni dopo un'iniezione
| Errore | Perché fa male | Soluzione |
|---|---|---|
| Eliminare le pagine spam e fermarsi lì | La backdoor rimane e le pagine tornano | Trovare il punto di ingresso: plugin obsoleto, password rubata, account FTP o SSH deboli |
| Disavoware i link verso gli URL iniettati | I link verso pagine non più esistenti non richiedono un file | Restituire un 404 o 410 per le pagine e lasciarle decadere |
| Bloccare gli URL spam in robots.txt | Google non può vedere che sono sparite | Permettere il crawling, servire un 410, poi richiedere la rimozione se necessario |
| Saltare .htaccess e database | Qui si nascondono redirect e post spam | Cercare nei file e nella tabella dei post, non solo nella cartella del tema |
| Richiedere la revisione prima che il sito sia pulito | La richiesta viene rifiutata e il tempo viene sprecato | Pulisci, verifica, poi invia |
Come un'iniezione appare nei dati dei link
Il pattern è strano. La tua lista delle pagine principali contiene URL che non riconosci, spesso con parametri strani o parole giapponesi o farmaceutiche nel percorso.
Chiama toppages per il tuo dominio e leggi la lista lentamente, perché un sito normale ha la home page, alcune guide e una manciata di prodotti in cima. Righe che assomigliano a /wp-content/uploads/xyz-cheap-watches.html significano che qualcuno ha piazzato pagine sul tuo dominio e poi ha costruito link verso di esse.
Una ricerca site:yourdomain.com su Google, combinata con parole come casino o replica, trova la parte indicizzata della stessa storia. I dati dei link ti dicono quali di quelle pagine l'attaccante ha ritenuto degne di essere promosse, e questo ti dice da dove iniziare la pulizia.
Trovare pagine piazzate senza un crawler
Prima di acquistare uno strumento per i link spam di siti hackerati, leggi ciò che hai già. L'esportazione delle pagine principali, la lista delle pagine indicizzate in Search Console e un semplice elenco di cartelle sul server mostrano ciascuno una diversa fetta dello stesso problema. Confrontale.
Cerca cartelle che non hai creato. Gli attaccanti spesso depositano una directory con un nome simile a un prodotto, o riutilizzano una cartella di upload che il tuo CMS non tocca mai. Conta i file in ciascuna. Stub quasi identici sono difficili da spiegare.
Leggi l'albero delle cartelle
L'albero dei file del tuo server dovrebbe corrispondere alla struttura del tuo sito. Una cartella con caratteri casuali, o una copia di un plugin con una parola extra nel nome, merita un'occhiata. Prendi nota delle date di modifica, ma non fidarti solo di esse, perché i timestamp possono essere modificati.
Annota ogni cartella che non riesci a spiegare. Una cartella inspiegabile non è prova di un attacco, ma è una domanda a cui devi rispondere prima di dichiarare pulito il sito.
Conserva l'elenco delle referenze con i tuoi export. La persona che leggerà il report dell'incidente dovrà vedere cosa è stato controllato, cosa era pulito e cosa è stato rimosso, in quest'ordine.
Confronta titoli e descrizioni
Un CMS compromesso a volte riscrive titoli e descrizioni su centinaia di pagine contemporaneamente. Esporta i titoli delle tue pagine indicizzate e ordinali. L'export restituisce un elenco leggibile. Una frase sconosciuta ripetuta rende il pattern visibile in pochi minuti e mostra quali template sono stati modificati.
Controlla le descrizioni nello stesso modo. Se menzionano prodotti che non hai mai venduto, hai individuato un secondo livello dell'iniezione.
Se i titoli sono cambiati solo su pagine che non riconosci, le pagine inserite raccontano tutta la storia. Se sono cambiati su pagine che riconosci ancora, il template è stato modificato e la soluzione risiede nel tuo tema.
- Titoli che condividono una frase sconosciuta
- Descrizioni che menzionano prodotti che non vendi
- Pagine senza link dalla tua navigazione interna
Controlla il codice sorgente della pagina
Visualizza il sorgente della tua home page e di alcune guide. I link iniettati spesso si trovano nei footer, in blocchi nascosti o all'interno di script caricati da un altro host. I blocchi nascosti rimangono invisibili a schermo. Leggi l'HTML grezzo.
Annota ogni dominio esterno caricato dal sorgente. Un dominio che non sai nominare nel tuo stack merita una riga nel report dell'incidente. Un pull di toppages costa 2 crediti e restituisce JSON, così puoi affiancare i link iniettati alle pagine iniettati in un unico foglio.
Ordine di pulizia
- Metti il sito dietro una pagina di manutenzione o limita l'accesso agli admin mentre lavori
- Modifica ogni credenziale: hosting, database, amministratori CMS, chiavi FTP e SSH
- Aggiorna il CMS, i temi e i plugin; rimuovi tutto ciò che è stato abbandonato
- Confronta i file con una copia pulita o con un nuovo download del tuo CMS
- Cerca nel database post iniettati, link e utenti admin sconosciuti
- Restituisci 404 o 410 per gli URL piantati e invia una sitemap aggiornata
- Controlla le problematiche di sicurezza e le azioni manuali in Search Console dopo la pulizia
Perché il punto di ingresso è più importante della pulizia
Rimuovere le pagine spam è la parte visibile del lavoro. La parte invisibile è il punto di ingresso, e quella via di solito rimane aperta finché qualcuno non la scopre. Priorità al punto di ingresso. Non alla fine.
Se lo trascuri, le pagine piantate torneranno entro pochi giorni e la pulizia ricomincerà da zero. Il risultato è un ciclo di pulizia, reinfezione e ripulitura, e ogni passaggio richiede tempo che non puoi permetterti durante un incidente.
Plugin e temi obsoleti
I componenti vecchi sono una porta comune. Aggiorna il CMS, tutti i temi e tutti i plugin, quindi rimuovi tutto ciò che è stato abbandonato. Un plugin senza aggiornamenti recenti non è sicuro, anche se funziona ancora.
Annota cosa hai rimosso e quando. Quel elenco è una prova utile se un provider di hosting o un motore di ricerca dovesse chiedere cosa è successo in seguito.
Password riutilizzate o rubate
Una password usata su un secondo sito, o conservata in un foglio di calcolo condiviso, può dare a un attaccante lo stesso accesso domani. Modifica le credenziali di hosting, database, admin CMS, FTP e SSH tutte insieme, non una alla volta. Altrimenti l'attaccante conserva ancora una chiave funzionante.
Rimuovi gli utenti admin che non riconosci e controlla di nuovo l'elenco dopo il cambio delle password.
File di verifica che non hai aggiunto tu
Un attaccante con accesso ai file può anche aggiungere un file di verifica per la tua proprietà Search Console. Controlla l'elenco dei proprietari e rimuovi chiunque non riconosci. Poi cerca nella cartella root i file HTML che non hai mai caricato.
Ripeti il controllo dei proprietari una settimana dopo la pulizia. Ci vuole un minuto e ti permette di cogliere il caso in cui l'accesso è stato mantenuto in silenzio.
Priorità
Chiudi la porta prima di spazzare il pavimento
Se il punto di ingresso rimane aperto, le pagine spam torneranno entro pochi giorni. I dati sui link ti aiutano a trovare cosa è stato promosso, ma la causa è sul server. Una scansione malware da parte del tuo provider o di Sucuri è una prima mossa sensata.
- Tratta i link verso URL iniettati e non più attivi come innocui
- Conserva l'esportazione delle toppages come prova di quanto è accaduto
- Aggiungi il dominio alla tua monitoraggio mensile successivo, vedi la guida alla configurazione
Sitemap, titoli e dati strutturati dopo una pulizia
Una volta rimossi gli URL piantati, tre luoghi possono ancora contenere la vecchia storia. Ognuno è veloce da controllare. Facile da dimenticare, anche. Dedica una riga a ciascuno nel tuo registro degli incidenti.
Usa la stessa esportazione datata che hai creato all'inizio, così da vedere esattamente cosa è cambiato.
Sitemap
Apri la sitemap generata dal tuo CMS e leggi ogni URL che contiene. A volte le pagine piantate viaggiano in una sitemap creata da un plugin, e una sitemap piena di spam dice agli crawler dove andare. Rigenera il file dopo la pulizia, poi invialo di nuovo.
Conserva la vecchia sitemap come prova invece di cancellarla.
Dati strutturati
Alcuni markup iniettati descrivono prodotti o recensioni che non sono mai esistiti sul tuo sito. Controlla il codice sorgente della pagina per blocchi schema che non hai aggiunto e testa alcuni URL piantati con uno strumento di test dei dati strutturati.
Qualsiasi markup che non riesci a ricondurre ai tuoi template è un compito di rimozione, non di contenuto.
Utilizzo dell'API per delimitare i danni
Recupera le toppages
action=toppages&q=yourdomain.com&per=1000. Due crediti, $0.0002.
Segna ciò che riconosci
Copia le righe in un foglio di calcolo e contrassegna ogni URL come tuo o meno. Il gruppo sconosciuto è l'impronta dell'iniezione.
Recupera i domini di riferimento per una pagina piantata
action=backlinks restituisce le pagine che linkano. Se provengono da centinaia di domini non correlati con lo stesso anchor text, hai la firma dello spike.
Riesegui dopo la pulizia
Il prossimo aggiornamento mensile dovrebbe mostrare quegli URL in calo, anche se i link morti potrebbero rimanere elencati per un po' di tempo.
Domande frequenti
Devo disavvolare i link verso le pagine hackate?
Normalmente no. Se le pagine restituiscono ora 404 o 410, i link puntano a nulla. Concentra gli sforzi sulla rimozione della porta di servizio. Disavvolga solo se un'azione manuale cita quei link o se puoi dimostrare un evidente schema a pagamento.
Quanto tempo ci vuole prima che lo spam sparisca da Google?
Varia in base al tasso di crawling e alle dimensioni del sito. Servire un chiaro 410 e inviare una sitemap aggiornata accelera le cose, ma non prometteremo una data. Controlla Search Console dopo ogni estrazione mensile.
