Verificação de injeção
Links spam de sites comprometidos: encontrando páginas que você nunca publicou
Alguns picos de links não são direcionados a você. Eles apontam para páginas lixo que um atacante plantou no seu domínio, e a solução começa no seu servidor, não em um arquivo de desavow.
Erros e correções após uma injeção
| Erro | Por que isso prejudica | Correção |
|---|---|---|
| Excluir as páginas spam e parar por aí | A porta dos fundos permanece e as páginas retornam | Encontre o ponto de entrada: plugin desatualizado, senha roubada, conta FTP ou SSH fraca |
| Desavow de links para as URLs injetadas | Links para páginas que não existem mais não precisam de arquivo | Retorne 404 ou 410 para as páginas e deixe-as cair |
| Bloquear as URLs spam no robots.txt | O Google não vê que elas foram removidas | Permita a indexação, sirva 410 e solicite remoção se necessário |
| Pular o .htaccess e o banco de dados | Redirecionamentos e posts spam estão escondidos lá | Pesquise nos arquivos e na tabela de posts, não apenas na pasta do tema |
| Solicitar revisão antes que o site esteja limpo | A solicitação é rejeitada e o tempo é perdido | Limpe, verifique e, em seguida, envie |
Como uma injeção aparece nos dados de links
O padrão é estranho. Sua lista de páginas principais contém URLs que você não reconhece, muitas vezes com parâmetros estranhos ou palavras japonesas ou farmacêuticas no caminho.
Chame toppages para o seu domínio e leia a lista com calma, porque um site normal tem sua página inicial, alguns guias e alguns produtos perto do topo. Linhas que parecem /wp-content/uploads/xyz-cheap-watches.html indicam que alguém criou páginas no seu domínio e depois construiu links para elas.
Uma busca site:yourdomain.com no Google, combinada com palavras como casino ou replica, encontra a versão indexada da mesma história. Os dados de links mostram quais dessas páginas o atacante considerou valiosas para promover, e isso indica onde começar a limpeza.
Encontrar páginas plantadas sem um crawler
Antes de comprar uma ferramenta para links spam de sites hackeados, leia o que você já tem. A exportação das páginas principais, a lista de páginas indexadas no Search Console e uma listagem simples de pastas no servidor mostram fatias diferentes do mesmo problema. Compare os três.
Procure por pastas que você não criou. Os atacantes frequentemente criam um diretório com um nome parecido com o de um produto, ou reutilizam uma pasta de upload que seu CMS nunca utiliza. Conte os arquivos em cada uma. Stubs quase idênticos são difíceis de justificar.
Leia a árvore de pastas
A árvore de arquivos do seu servidor deve corresponder à estrutura do seu site. Uma pasta com caracteres aleatórios, ou uma cópia de um plugin com uma palavra extra no nome, merece uma olhada. Anote as datas de modificação, mas não confie apenas nelas, pois os timestamps podem ser alterados.
Anote todas as pastas que você não consegue explicar. Uma pasta inexplicável não é prova de um ataque, mas é uma questão que você deve responder antes de considerar o site limpo.
Mantenha a lista de referências com seus exportações. A próxima pessoa que ler o incidente deve ver o que foi verificado, o que estava limpo e o que foi removido, nessa ordem.
Compare títulos e descrições
Um CMS hackeado às vezes reescreve títulos e descrições em centenas de páginas de uma vez. Exporte os títulos das suas páginas indexadas e ordene-os. A exportação retorna uma lista legível. Uma frase repetida e desconhecida torna o padrão visível em minutos e mostra quais modelos foram alterados.
Verifique as descrições da mesma forma. Se elas mencionarem produtos que você nunca vendeu, você encontrou uma segunda camada da injeção.
Se os títulos mudaram apenas em páginas que você não reconhece, as páginas plantadas contam toda a história. Se eles mudaram em páginas que você ainda reconhece, o modelo foi alterado e a correção está no seu tema.
- Títulos que compartilham uma frase desconhecida
- Descrições que mencionam produtos que você não vende
- Páginas sem link na sua própria navegação
Verifique o código-fonte da página
Visualize o código-fonte da sua página inicial e de alguns guias. Links injetados frequentemente ficam no rodapé, em blocos ocultos ou dentro de um script carregado de outro host. Blocos ocultos permanecem invisíveis na tela. Leia o HTML bruto.
Anote todos os domínios externos que o código-fonte carrega. Um domínio que você não consegue identificar na sua própria infraestrutura merece uma linha no registro do incidente. Um pull de toppages custa 2 créditos e retorna JSON, permitindo que você coloque esses links plantados ao lado das páginas plantadas em uma única planilha.
Ordem de limpeza
- Coloque o site atrás de uma página de manutenção ou restrinja o acesso de administrador enquanto trabalha
- Altere todas as credenciais: hospedagem, banco de dados, administradores do CMS, chaves FTP e SSH
- Atualize o CMS, temas e plugins; remova tudo que estiver abandonado
- Compare os arquivos com uma cópia limpa ou um download recente do seu CMS
- Pesquise no banco de dados por posts injetados, links e usuários administradores desconhecidos
- Retorne 404 ou 410 para as URLs plantadas e envie um sitemap atualizado
- Verifique as questões de segurança e ações manuais no Search Console após a limpeza
Por que o ponto de entrada é mais importante do que a limpeza
Remover as páginas de spam é apenas a parte visível do trabalho. A parte invisível é o ponto de entrada, e essa rota geralmente permanece aberta até que alguém a encontre. Priorize o ponto de entrada. Não deixe para o final.
Se você perder esse ponto, as páginas plantadas retornarão em poucos dias, e a limpeza começará do zero. O resultado é um ciclo de limpeza, reinfecção e nova limpeza, e cada ciclo consome tempo que você não pode gastar durante um incidente.
Plugins e temas desatualizados
Componentes antigos são uma porta de entrada comum. Atualize o CMS, todos os temas e todos os plugins, e remova tudo que estiver abandonado. Um plugin sem atualizações recentes não é seguro, mesmo que ainda funcione.
Registre o que você removeu e quando. Essa lista é uma evidência útil se a hospedagem ou um mecanismo de busca perguntarem o que aconteceu posteriormente.
Senhas reutilizadas ou roubadas
Uma senha usada em um segundo site, ou mantida em uma planilha compartilhada, pode dar ao atacante o mesmo acesso amanhã. Altere as credenciais de hospedagem, banco de dados, admin do CMS, FTP e SSH em conjunto, não uma de cada vez. Caso contrário, o atacante ainda terá uma chave válida.
Remova usuários administradores que você não reconhece e verifique a lista novamente após a alteração da senha.
Arquivos de verificação que você não adicionou
Um atacante com acesso aos arquivos também pode adicionar um arquivo de verificação para sua propriedade no Search Console. Verifique a lista de proprietores e remova qualquer pessoa que você não reconheça. Em seguida, procure na pasta raiz por arquivos HTML que você nunca enviou.
Repita a verificação de proprietores uma semana após a limpeza. Leva um minuto e captura o caso em que o acesso foi mantido discretamente.
Prioridade
Feche a porta antes de varrer o chão
Se o ponto de entrada permanecer aberto, as páginas de spam retornarão em poucos dias. Dados de links ajudam a encontrar o que foi promovido, mas a causa está no servidor. Uma verificação de malware pela sua hospedagem ou pela Sucuri é uma primeira chamada sensata.
- Trate links para URLs injetadas e inativas como inofensivos
- Mantenha a exportação das toppages como prova do que aconteceu
- Adicione o domínio à sua monitoração mensal após isso, veja o guia de configuração
Sitemaps, títulos e dados estruturados após uma limpeza
Uma vez que as URLs plantadas foram removidas, três locais ainda podem conter a versão antiga. Cada um é rápido de verificar. Fácil de esquecer também. Reserve uma linha no seu registro de incidentes para cada um deles.
Use a mesma exportação datada que você fez no início, para que você possa ver exatamente o que mudou.
Sitemaps
Abra o sitemap gerado pelo seu CMS e leia cada URL nele. Páginas plantadas às vezes aparecem em um sitemap criado por um plugin, e um sitemap cheio de lixo diz aos crawlers para onde ir. Regere o arquivo após a limpeza e envie-o novamente.
Mantenha o sitemap antigo como evidência em vez de excluí-lo.
Dados estruturados
Algum markup injetado descreve produtos ou avaliações que nunca existiram no seu site. Verifique a fonte da página em busca de blocos de schema que você não adicionou e teste algumas URLs plantadas com uma ferramenta de teste de dados estruturados.
Qualquer markup que você não consiga rastrear até seus modelos é uma tarefa de remoção, não de conteúdo.
Usando a API para delimitar o dano
Puxe as páginas principais
action=toppages&q=yourdomain.com&per=1000. Dois créditos, $0.0002.
Marque o que você reconhece
Copie as linhas para uma planilha e marque cada URL como sua ou não. O grupo desconhecido é a marca da injeção.
Puxe domínios de referência para uma página plantada
action=backlinks retorna as páginas que fazem link. Se vierem de centenas de domínios não relacionados com a mesma âncora, você tem a assinatura de pico.
Reexecute após a limpeza
A próxima atualização mensal deve mostrar essas URLs caindo, embora links mortos possam permanecer listados por um tempo.
Perguntas frequentes
Preciso desavow links para páginas hackeadas?
Normalmente não. Se as páginas agora retornam 404 ou 410, os links apontam para nada. Gaste o esforço na remoção da porta dos fundos. Desavow apenas se uma ação manual citar esses links ou se você puder mostrar um esquema de pagamento óbvio.
Quanto tempo leva até o spam desaparecer do Google?
Varia conforme a taxa de rastreamento e o tamanho do site. Servir um 410 claro e enviar um sitemap atualizado acelera o processo, mas não prometemos uma data. Verifique o Search Console após cada extração mensal.
