Linki spamowe ze zainfekowanej strony: znajdź strony, których nigdy nie opublikowałeś

Jak wstrzyknięcie objawia się w danych linków

Wzorzec jest nietypowy. Lista Twoich najlepszych podstron zawiera URL-e, których nie rozpoznajesz, często z dziwnymi parametrami lub słowami w języku japońskim lub farmaceutycznym w ścieżce.

Wywołaj toppages dla swojej domeny i czytaj listę powoli, ponieważ na normalnej stronie na szczycie znajdują się strona główna, kilka poradników i garść produktów. Wiersze wyglądające jak /wp-content/uploads/xyz-cheap-watches.html oznaczają, że ktoś osadził podstrony na Twojej domenie, a następnie zbudował do nich linki.

Wyszukiwanie site:yourdomain.com w Google, połączone ze słowami takimi jak casino lub replica, znajduje indeksowaną stronę tej samej historii. Dane linków mówią Ci, które z tych podstron atakujący uznał za warte promocji, a to mówi Ci, od czego zacząć czyszczenie.

Znajdowanie osadzonych podstron bez użycia crawlera

Zanim kupisz narzędzie do wyszukiwania linków spamowych ze zainfekowanej strony, przeczytaj to, co już masz. Eksport najpopularniejszych podstron, lista zindeksowanych podstron w Search Console i zwykła lista folderów na serwerze pokazują różne fragmenty tego samego problemu. Porównaj te trzy źródła.

Szukaj folderów, których nie stworzyłeś. Atakujący często zostawiają katalog o nazwie przypominającej produkt lub wykorzystują folder uploadów, którego Twój CMS nie dotyka. Policz pliki w każdym z nich. Prawie identyczne stuby trudno wyjaśnić.

Przeczytaj strukturę folderów

Drzewo plików Twojego serwera powinno odpowiadać strukturze Twojej strony. Folder ze znakami losowymi lub kopia pluginu z dodatkowym słowem w nazwie zasługuje na uwagę. Zapisz daty modyfikacji, ale nie polegaj na nich samych, ponieważ znaczniki czasu mogą zostać zmienione.

Zapisz każdy folder, którego nie potrafisz wyjaśnić. Niezidentyfikowany folder nie jest dowodem na atak, ale jest pytaniem, na które musisz odpowiedzieć, zanim uznasz stronę za wyczyszczoną.

Przechowwuj listę referencyjną wraz z eksportami. Osoba, która będzie analizować incydent później, powinna zobaczyć, co zostało sprawdzone, co było czyste, a co usunięte, w tej właśnie kolejności.

Porównaj tytuły i opisy

Zainfekowany CMS czasem przepisuje tytuły i opisy na setkach podstron jednocześnie. Wyeksportuj tytuły swoich zindeksowanych podstron i posortuj je. Eksport zwraca listę, którą można czytać. Powtarzający się nieznany fraza ujawnia wzorzec w kilka minut i pokazuje, które szablony zostały zmienione.

Sprawdź opisy w ten sam sposób. Jeśli wspominają o produktach, których nigdy nie sprzedawałeś, znalazłeś drugą warstwę wstrzyknięcia.

Jeśli tytuły zmieniły się tylko na podstronach, których nie rozpoznajesz, osadzone podstrony opowiadają całą historię. Jeśli zmieniły się na podstronach, które nadal rozpoznajesz, został zmieniony szablon, a naprawa dotyczy Twojego motywu.

• Tytuły zawierające jedną nieznaną frazę
• Opisy wspominające o produktach, których nie sprzedajesz
• Podstrony bez linku z Twojej nawigacji

Sprawdź źródło strony

Wyświetl źródło swojej strony głównej i kilku poradników. Wstrzyknięte linki często znajdują się w stopkach, w ukrytych blokach lub wewnątrz skryptu ładowanego z innego hosta. Ukryte bloki pozostają niewidoczne na ekranie. Przeczytaj surowy HTML.

Znotuj każdą domenę zewnętrzną, którą ładuje źródło. Domena, której nie potrafisz nazwać w swojej własnej infrastrukturze, zasługuje na wpis w dzienniku incydentu. Pobranie toppages kosztuje 2 kredyty i zwraca JSON, więc możesz umieścić te wstrzyknięte linki obok osadzonych podstron w jednym arkuszu.

Dlaczego punkt wejścia jest ważniejszy niż czyszczenie

Usunięcie śmieciowych podstron to widoczna połowa pracy. Niewidoczna połowa to sposób dostępu, a ta trasa zwykle pozostaje otwarta, dopóki ktoś jej nie znajdzie. Zadbaj o punkt wejścia jako pierwszy. Nie jako ostatni.

Jeśli go przeoczyłeś, osadzone podstrony wrócą w ciągu kilku dni, a czyszczenie zaczyna się od zera. Wynikiem jest pętla: wyczyszczenie, ponowne zainfekowanie i ponowne czyszczenie, a każdy cykl kosztuje czas, którego nie możesz sobie pozwolić w trakcie incydentu.

Przestarzałe pluginy i motywy

Stare komponenty to powszechna droga. Zaktualizuj CMS, każdy motyw i każdy plugin, a następnie usuń wszystko, co porzucone. Plugin bez ostatnich aktualizacji nie jest bezpieczny, nawet jeśli nadal działa.

Zapisz, co usunąłeś i kiedy. Ta lista jest przydatnym dowodem, jeśli host lub wyszukiwarka później zapyta, co się stało.

Ponownie używane lub skradzione hasła

Hasło używane na drugiej stronie lub przechowywane w udostępnionym arkuszu kalkulacyjnym może dać atakującemu ten sam dostęp jutro. Zmień dane logowania do hostingu, bazy danych, administratora CMS, FTP i SSH razem, a nie jedno po drugim. W przeciwnym razie atakujący nadal posiada działający klucz.

Usuń administratorów, których nie rozpoznajesz, i sprawdź listę ponownie po zmianie haseł.

Pliki weryfikacyjne, których nie dodałeś

Atakujący z dostępem do plików może również dodać plik weryfikacyjny do Twojej własności w Search Console. Sprawdź listę właścicieli i usuń każdego, kogo nie rozpoznajesz. Następnie sprawdź folder główny pod kątem plików HTML, których nigdy nie przesyłałeś.

Powtórz sprawdzenie właściciela tydzień po czyszczeniu. Zajmuje to minutę i łapie przypadek, w którym dostęp został zachowany w ukryciu.

Mapy strony, tytuły i dane strukturalne po czyszczeniu

Gdy osadzone URL-e znikną, trzy miejsca mogą nadal zawierać starą historię. Każde z nich jest szybkie do sprawdzenia. Łatwo je też zapomnieć. Dodaj każde z nich do swojego dziennika incydentów.

Użyj tego samego datowanego eksportu, który zrobiłeś na początku, aby zobaczyć dokładnie, co się zmieniło.

Mapy strony

Otwórz mapę strony generowaną przez Twój CMS i przeczytaj każdy URL w niej. Osadzone podstrony czasem podróżują wraz z mapą strony zbudowaną przez plugin, a mapa pełna śmieci wskazuje crawlerom, gdzie iść. Zregeneruj plik po czyszczeniu, a następnie wyślij go ponownie.

Zachowaj starą mapę strony jako dowód zamiast ją usuwać.

Dane strukturalne

Niektóre wstrzyknięte markupy opisują produkty lub recenzje, które nigdy nie istniały na Twojej stronie. Sprawdź źródło strony pod kątem bloków schema, których nie dodałeś, i przetestuj kilka osadzonych URL-i narzędziem do testowania danych strukturalnych.

Każdy markup, którego nie potrafisz sprowadzić do swoich szablonów, to zadanie usuwania, a nie zadanie contentowe.