ハッキング被害サイトのスパムリンク：あなたが公開していないページを見つける

注入がリンクデータにどのように現れるか

パターンが奇妙です。上位ページのリストには認識しないURLが含まれており、パスに奇妙なパラメータや日本語、医薬品関連の単語が含まれていることが多いです。

ドメインに対してtoppagesを呼び出し、リストを注意深く確認してください。通常のサイトでは、ホームページ、いくつかのガイド、数個の製品が上位に来ます。/wp-content/uploads/xyz-cheap-watches.htmlのような行は、何者かがあなたのドメインにページを配置し、それらにリンクを構築したことを意味します。

Googleでsite:yourdomain.com検索を行い、casinoやreplicaなどの単語を組み合わせると、同じ出来事のインデックス化された側面が見つかります。リンクデータは、攻撃者がどのページを宣伝する価値があると考えたかを示し、それがクリーンアップの開始地点を教えてくれます。

クローラーなしで植えられたページを見つける

ハッキング被害サイトのスパムリンク用のツールを購入する前に、すでに持っているものを読んでください。上位ページのエクスポート、Search Consoleのインデックス化されたページのリスト、サーバー上の単純なフォルダリストは、それぞれ同じ問題の異なる側面を示します。これら3つを比較してください。

あなたが作成していないフォルダを探してください。攻撃者は、製品のような名前のディレクトリをドロップしたり、CMSが触れないアップロードフォルダを再利用したりすることがよくあります。各フォルダ内のファイル数を数えてください。ほぼ同一のstubは説明しにくいです。

フォルダツリーを読む

サーバーのファイルツリーはサイトの構造と一致しているはずです。ランダムな文字のフォルダや、名前に余分な単語が追加されたプラグインのコピーは要チェックです。修正日付をメモしてください。ただし、タイムスタンプは変更できるため、それだけを信頼しないでください。

説明できないフォルダをすべて書き留めてください。説明できないフォルダは攻撃の証拠ではありませんが、サイトをクリーンと見なす前に答えなければならない質問です。

参照リストをエクスポートと一緒に保管してください。次の人がインシデントを読む際には、何がチェックされ、何がクリーンで、何が削除されたかを、その順序で確認できるようにします。

タイトルとディスクリプションを比較する

ハッキングされたCMSでは、数百のページでタイトルとディスクリプションが一括で書き換えられることがあります。インデックス化されたページのタイトルをエクスポートして並べ替えてください。エクスポートは読みやすいリストとして返されます。見知らぬフレーズが繰り返されていると、パターンが数分で可視化され、どのテンプレートが変更されたかがわかります。

ディスクリプションも同じ方法で確認してください。あなたが販売したことのない製品について言及している場合、注入の第2のレイヤーが見つかったことになります。

タイトルが認識しないページでのみ変更された場合、植えられたページが全体像を語っています。あなたがまだ認識しているページで変更された場合、テンプレートが変更されており、修正はテーマ側で行う必要があります。

• 1つの見知らぬフレーズを共有するタイトル
• あなたが販売していない製品について言及するディスクリプション
• ナビゲーションからリンクがないページ

ページソースを確認する

ホームページといくつかのガイドのソースを表示してください。注入されたリンクはフッター、非表示ブロック、または別のホストから読み込まれるスクリプトの中に置かれることが多いです。非表示ブロックは画面上では見えません。生のHTMLを読んでください。

ソースが読み込む外部ドメインをすべてメモしてください。あなたのスタックで名前を言えないドメインは、インシデントログに1行追加する価値があります。toppagesの取得には2クレジットかかり、JSONを返すため、これらの植えられたリンクを1つのシートで植えられたページと一緒に配置できます。

クリーンアップよりも侵入経路が重要な理由

スパムページの削除は作業の目に見える半分です。目に見えない半分は侵入経路であり、その経路は誰かが見つけるまで通常開いたままです。侵入経路を最後にするのではなく、最初にしてください。

それを見逃すと、植えられたページは数日で戻り、クリーンアップはゼロからやり直します。結果はクリーン、再感染、再クリーンのループになり、インシデント発生中は無駄にできない時間が各パスで消費されます。

古いプラグインとテーマ

古いコンポーネントは一般的な侵入経路です。CMS、すべてのテーマ、すべてのプラグインを更新し、廃棄されたものをすべて削除してください。最近の更新がないプラグインは、まだ機能していても安全ではありません。

削除したものとその日時を書き留めてください。そのリストは、ホスト会社や検索エンジンが後で何があったかを尋ねた場合に有用な証拠となります。

再利用または盗まれたパスワード

2番目のサイトで使用されたパスワード、または共有スプレッドシートに保存されたパスワードは、攻撃者に明日も同じアクセス権を与える可能性があります。ホスティング、データベース、CMS管理者、FTP、SSHの資格情報を一度にすべて変更してください。そうしないと、攻撃者はまだ有効なキーを持っています。

認識しない管理者ユーザーを削除し、パスワード変更後にリストを再度確認してください。

あなたが追加していない検証ファイル

ファイルアクセス権を持つ攻撃者は、Search Consoleプロパティの検証ファイルも追加できます。所有者のリストを確認し、認識しない人をすべて削除してください。次に、ルートフォルダにあなたがアップロードしたことのないHTMLファイルがないか確認してください。

クリーンアップの1週間後に所有者チェックを繰り返してください。これには1分かからず、アクセスが静かに保持されていたケースを捕捉できます。

クリーンアップ後のサイトマップ、タイトル、構造化データ

植えられたURLが削除された後、古い物語をまだ保持している場所が3つあります。それぞれを素早く確認できます。忘れやすい点でもあります。インシデントログにそれぞれ1行追加してください。

開始時に作成した日付付きのエクスポートを同じものを使ってください。そうすれば、正確に何が変わったかを確認できます。

サイトマップ

CMSが生成するサイトマップを開き、その内のすべてのURLを読んでください。植えられたページは、プラグインが構築したサイトマップに乗ることがあり、ジャンクでいっぱいのサイトマップはクローラーを誘導します。クリーンアップ後にファイルを再生成し、再度提出してください。

古いサイトマップは削除するのではなく、証拠として保管してください。

構造化データ

一部の注入されたマークアップは、あなたのサイトに存在しなかった製品やレビューを記述しています。ページソースであなたが追加していないスキーマブロックを確認し、いくつかの植えられたURLを構造化データテストツールでテストしてください。

テンプレートに遡れないマークアップは、コンテンツタスクではなく削除タスクです。