Spamlinks van gehackte sites: pagina's vinden die je nooit hebt gepubliceerd

Hoe een injectie zichtbaar wordt in linkgegevens

Het patroon is vreemd. Je lijst met top pagina's bevat URL's die je niet herkent, vaak met vreemde parameters of Japanse of farmaceutische woorden in het pad.

Roep toppages aan voor je domein en lees de lijst langzaam door, omdat een normale site zijn startpagina, een paar gidsen en een handvol producten bovenaan heeft. Rijen die eruitzien als /wp-content/uploads/xyz-cheap-watches.html betekenen dat er iets pagina's op je domein heeft geplaatst en er vervolgens links naar heeft gebouwd.

Een site:yourdomain.com-zoekopdracht in Google, gecombineerd met woorden zoals casino of replica, vindt de geïndexeerde kant van hetzelfde verhaal. De linkgegevens vertellen je welke van die pagina's de aanvaller de moeite waard vond om te promoten, en dat vertelt je waar je moet beginnen met opschonen.

Geplaatste pagina's vinden zonder crawler

Voordat je een tool voor spamlinks van gehackte sites koopt, lees je wat je al hebt. De export van de top pagina's, de lijst met geïndexeerde pagina's in Search Console en een eenvoudige mapoverzicht op de server tonen elk een ander deel van hetzelfde probleem. Vergelijk de drie.

Zoek naar mappen die je niet hebt aangemaakt. Aanvallers plaatsen vaak een map met een productachtige naam, of ze gebruiken een uploadmap die je CMS nooit aanraakt. Tel het aantal bestanden in elke map. Bijna identieke stubs zijn moeilijk te verklaren.

Lees de mappenstructuur

De bestandsstructuur van je server moet overeenkomen met de structuur van je site. Een map met willekeurige tekens, of een kopie van een plugin met een extra woord in de naam, verdient een kijkje. Noteer de wijzigingsdatums, maar vertrouw ze niet alleen, omdat tijdstempels kunnen worden gewijzigd.

Schrijf elke map op die je niet kunt verklaren. Een onverklaarde map is geen bewijs van een aanval, maar het is een vraag die je moet beantwoorden voordat je de site schoon verklaart.

Bewaar de referentielijst bij je exports. De volgende persoon die het incident leest, moet zien wat is gecontroleerd, wat schoon was en wat is verwijderd, in die volgorde.

Vergelijk titels en beschrijvingen

Een gehackt CMS herschrijft soms titels en beschrijvingen over honderden pagina's in één keer. Exporteer de titels van je geïndexeerde pagina's en sorteer ze. De export komt terug als een lijst die je kunt lezen. Een herhaalde onbekende zin maakt het patroon binnen minuten zichtbaar en laat zien welke sjablonen zijn aangeraakt.

Controleer beschrijvingen op dezelfde manier. Als ze producten vermelden die je nooit hebt verkocht, heb je een tweede laag van de injectie gevonden.

Als de titels alleen zijn gewijzigd op pagina's die je niet herkent, vertellen de geplaatste pagina's het hele verhaal. Als ze zijn gewijzigd op pagina's die je nog wel herkent, is het sjabloon aangeraakt en zit de oplossing in je thema.

• Titels die één onbekende zin delen
• Beschrijvingen die producten vermelden die je niet verkoopt
• Pagina's zonder link vanuit je eigen navigatie

Controleer de bron van de pagina

Bekijk de bron van je startpagina en van een paar gidsen. Ingevoegde links zitten vaak in voetteksten, in verborgen blokken of in een script geladen van een andere host. Verborgen blokken blijven onzichtbaar op het scherm. Lees de ruwe HTML.

Noteer elk extern domein dat de bron laadt. Een domein dat je niet kunt noemen in je eigen stack, verdient een regel in het incidentlogboek. Een toppages-pull kost 2 credits en retourneert JSON, dus je kunt die geplaatste links naast de geplaatste pagina's in één blad zetten.

Waarom het toegangspunt belangrijker is dan de opschoning

Het verwijderen van de spam pagina's is de zichtbare helft van de klus. De onzichtbare helft is de manier waarop de aanval plaatsvond, en die route blijft meestal open totdat iemand hem vindt. Zet het toegangspunt op de eerste plaats. Niet op de laatste.

Als je het mist, keren de geplaatste pagina's binnen enkele dagen terug en begint de opschoning opnieuw van nul. Het resultaat is een lus van opschonen, opnieuw infecteren en opnieuw opschonen, en elke ronde kost tijd die je tijdens een incident niet kunt missen.

Verouderde plugins en thema's

Oude componenten zijn een veelvoorkomende deur. Update de CMS, elk thema en elke plugin, en verwijder alles wat verlaten is. Een plugin zonder recente updates is geen veilige plugin, zelfs als deze nog werkt.

Schrijf op wat je hebt verwijderd en wanneer. Die lijst is nuttig bewijs als een host of een zoekmachine later vraagt wat er is gebeurd.

Herbruikte of gestolen wachtwoorden

Een wachtwoord dat op een tweede site wordt gebruikt, of dat in een gedeeld spreadsheet staat, kan een aanvaller morgen dezelfde toegang geven. Wijzig de hosting-, database-, CMS-admin-, FTP- en SSH-referenties samen, niet één voor één. Anders houdt de aanvaller nog steeds een werkende sleutel vast.

Verwijder admin-gebruikers die je niet herkent, en controleer de lijst opnieuw na het wachtwoordwijziging.

Verificatiebestanden die je niet hebt toegevoegd

Een aanvaller met bestandstoegang kan ook een verificatiebestand toevoegen voor je Search Console-eigendom. Controleer de lijst met eigenaars en verwijder iedereen die je niet herkent. Zoek vervolgens in de root-map naar HTML-bestanden die je nooit hebt geüpload.

Herhaal de eigenaarscontrole een week na het opschonen. Het kost een minuut, en het vangt het geval waar toegang rustig is gehouden.

Sitemaps, titels en gestructureerde data na een opschoning

Zodra de geplaatste URL's weg zijn, kunnen drie plaatsen nog steeds het oude verhaal bevatten. Elk van hen is snel te controleren. Ook makkelijk te vergeten. Geef elk van hen een regel in je incidentlogboek.

Gebruik dezelfde gedateerde export die je aan het begin hebt gemaakt, zodat je precies kunt zien wat er is veranderd.

Sitemaps

Open de sitemap die je CMS genereert en lees elke URL erin. Geplaatste pagina's rijden soms mee in een sitemap die een plugin heeft gebouwd, en een sitemap vol onzin vertelt crawlers waar ze heen moeten. Regenereren het bestand na het opschonen, en dien het opnieuw in.

Bewaar de oude sitemap als bewijs in plaats van het te verwijderen.

Gestructureerde data

Sommige ingevoegde markup beschrijft producten of reviews die nooit op je site hebben bestaan. Controleer de bron van de pagina op schema-blokken die je niet hebt toegevoegd, en test een paar geplaatste URL's met een tool voor het testen van gestructureerde data.

Elke markup die je niet kunt traceren terug naar je sjablonen is een verwijderingstak, geen content-taak.