Verificare injectare
Linkuri spam de la site hackuit: găsirea paginilor pe care nu le-ai publicat tu
Unele inundații de linkuri nu sunt menite pentru tine. Ele indică către pagini de proastă calitate pe care un atacator le-a plantat pe domeniul tău, iar remedierea începe de la serverul tău, nu dintr-un fișier disavow.
Erori și remedieri după o injectare
| Eroare | De ce afectează | Remediere |
|---|---|---|
| Ștergerea paginilor spam și oprirea aici | Ușa din spate rămâne și paginile revin | Găsește punctul de intrare: plugin învechit, parolă furată, cont FTP sau SSH slab |
| Disavowarea linkurilor către URL-urile injectate | Linkurile către pagini care nu mai există nu necesită un fișier | Returnează un 404 sau 410 pentru pagini și lasă-le să dispară |
| Blocarea URL-urilor spam în robots.txt | Google nu poate vedea că au dispărut | Permite crawl-ul, servează 410, apoi solicită eliminarea dacă este necesar |
| Sări peste .htaccess și baza de date | Redirectările și postările spam se ascund acolo | Caută în fișiere și în tabelul de postări, nu doar în folderul temei |
| Solicitarea revizuirii înainte ca site-ul să fie curat | Cererea este respinsă și timpul se pierde | Curăță, verifică, apoi trimite |
Cum se manifestă o injectare în datele de linkuri
Modelul este ciudat. Lista ta de pagini top conține URL-uri pe care nu le recunoști, adesea cu parametri ciudați sau cuvinte în japoneză sau farmaceutice în cale.
Apelă toppages pentru domeniul tău și citește lista lent, deoarece un site normal are pagina de start, câteva ghiduri și câteva produse în top. Rândurile care arată ca /wp-content/uploads/xyz-cheap-watches.html înseamnă că cineva a plasat pagini pe domeniul tău și apoi a construit linkuri către ele.
O căutare site:yourdomain.com în Google, combinată cu cuvinte precum casino sau replica, găsește partea indexată a aceleiași povești. Datele de linkuri îți spun care dintre acele pagini a crezut atacatorul că merită promovate și asta îți spune de unde să începi curățarea.
Găsirea paginilor plantate fără un crawler
Înainte să cumperi un instrument pentru linkuri spam de la site-uri hackuite, citește ce ai deja. Exportul paginilor top, lista de pagini indexate în Search Console și o simplă listare de foldere pe server arată fiecare o parte diferită a aceleiași probleme. Compară cele trei.
Caută foldere pe care nu le-ai creat. Atacatorii adesea lasă un director cu un nume de tip produs sau reutilizează un folder de upload pe care CMS-ul tău nu îl atinge niciodată. Numără fișierele din fiecare. Stubs aproape identice sunt greu de explicat.
Citește arborele de foldere
Arborele de fișiere al serverului tău ar trebui să corespundă structurii site-ului tău. Un folder cu caractere aleatorii sau o copie a unui plugin cu un cuvânt extra în nume merită o privire. Notează datele de modificare, dar nu te baza doar pe ele, deoarece timestamp-urile pot fi schimbate.
Notează fiecare folder pe care nu îl poți explica. Un folder neexplicat nu este dovada unei atacuri, dar este o întrebare pe care trebuie să o răspunzi înainte să declari site-ul curat.
Păstrează lista de referință cu exporturile tale. Următoarea persoană care citește incidentul ar trebui să vadă ce a fost verificat, ce a fost curat și ce a fost eliminat, în această ordine.
Compară titlurile și descrierile
Un CMS hackuit uneori rescrie titlurile și descrierile pe sute de pagini deodată. Exportă titlurile paginilor tale indexate și sortează-le. Exportul revine ca o listă pe care o poți citi. O frază necunoscută repetată face modelul vizibil în minute și arată care șabloane au fost atinse.
Verifică descrierile în același mod. Dacă menționează produse pe care nu le-ai vândut niciodată, ai găsit un al doilea strat al injectării.
Dacă titlurile s-au schimbat doar pe pagini pe care nu le recunoști, paginile plantate povestesc întreaga poveste. Dacă s-au schimbat pe pagini pe care încă le recunoști, șablonul a fost atins, iar remedierea este în tema ta.
- Titluri care împărtășesc o singură frază necunoscută
- Descrieri care menționează produse pe care nu le vinzi
- Pagini fără link din navigarea ta proprie
Verifică sursa paginii
Vizualizează sursa paginii tale de start și a câtorva ghiduri. Linkurile injectate stau adesea în subsoluri, în blocuri ascunse sau în interiorul unui script încărcat de la un alt host. Blocurile ascunse rămân invizibile pe ecran. Citește HTML-ul brut.
Notează fiecare domeniu extern pe care îl încarcă sursa. Un domeniu pe care nu îl poți numi în propria ta stivă merită o linie în jurnalul de incident. Un pull toppages costă 2 credite și returnează JSON, așa că poți pune acele linkuri plantate lângă paginile plantate într-un singur sheet.
Ordinea curățării
- Pune site-ul în spatele unei pagini de mentenanță sau restricționează accesul admin în timp ce lucrezi
- Schimbă fiecare acreditare: hosting, bază de date, admini CMS, chei FTP și SSH
- Actualizează CMS-ul, temele și pluginurile; elimină orice componentă abandonată
- Compară fișierele cu o copie curată sau o descărcare proaspătă a CMS-ului tău
- Caută în baza de date pentru postări injectate, linkuri și utilizatori admin necunoscuți
- Servează 404 sau 410 pentru URL-urile plantate și trimite o hartă actualizată
- Verifică problemele de securitate și acțiunile manuale în Search Console după curățare
De ce punctul de intrare contează mai mult decât curățarea
Eliminarea paginilor spam este jumătatea vizibilă a jobului. Jumătatea invizibilă este modul de intrare, iar acea rută rămâne de obicei deschisă până când cineva o găsește. Pune punctul de intrare primul. Nu ultimul.
Dacă îl ratezi, paginile plantate revin în câteva zile, iar curățarea începe din nou de la zero. Rezultatul este un ciclu de curățare, reinfectare și curățare din nou, iar fiecare trecere costă timp pe care nu ți-l poți permite să îl pierzi în timpul unui incident.
Pluginuri și teme învechite
Componentele vechi sunt o ușă comună. Actualizează CMS-ul, fiecare temă și fiecare plugin, apoi elimină orice componentă abandonată. Un plugin fără actualizări recente nu este unul sigur, chiar dacă încă funcționează.
Notează ce ai eliminat și când. Acea listă este o dovadă utilă dacă un host sau un motor de căutare întreabă ulterior ce s-a întâmplat.
Parole reutilizate sau furate
O parolă folosită pe un al doilea site sau una păstrată într-un spreadsheet partajat poate oferi atacatorului același acces mâine. Schimbă acreditările de hosting, bază de date, admin CMS, FTP și SSH împreună, nu pe rând. Altfel, atacatorul deține încă o cheie funcțională.
Elimină utilizatorii admin pe care nu îi recunoști și verifică lista din nou după schimbarea parolei.
Fișiere de verificare pe care nu le-ai adăugat tu
Un atacator cu acces la fișiere poate adăuga, de asemenea, un fișier de verificare pentru proprietatea ta din Search Console. Verifică lista de proprietari și elimină pe oricine nu îl recunoști. Apoi caută în folderul root fișiere HTML pe care nu le-ai încărcat niciodată.
Repetă verificarea proprietarilor o săptămână după curățare. Îți ia un minut și prinde cazul în care accesul a fost păstrat în liniște.
Prioritate
Închide ușa înainte să mături podeaua
Dacă punctul de intrare rămâne deschis, paginile spam revin în câteva zile. Datele de linkuri te ajută să găsești ce a fost promovat, dar cauza este pe server. Un scan malware de la host-ul tău sau Sucuri este o primă apelare sensibilă.
- Tratează linkurile către URL-uri injectate moarte ca fiind inofensive
- Păstrează exportul toppages ca dovadă a ceea ce s-a întâmplat
- Adaugă domeniul la monitorizarea ta lunară ulterior, vezi ghidul de configurare
Hărți, titluri și date structurate după o curățare
Odată ce URL-urile plantate au dispărut, trei locuri pot încă deține vechea poveste. Fiecare este rapid de verificat. Ușor de uitat, de asemenea. Dă fiecăruia dintre ele o linie în jurnalul tău de incident.
Folosește același export datat pe care l-ai făcut la început, astfel încât să poți vedea exact ce s-a schimbat.
Hărți
Deschide harta generată de CMS-ul tău și citește fiecare URL din ea. Paginile plantate uneori călătoresc alături într-o hartă construită de un plugin, iar o hartă plină de gunoi le spune crawlerelor unde să meargă. Regenerează fișierul după curățare, apoi trimite-l din nou.
Păstrează vechea hartă ca dovadă în loc să o ștergi.
Date structurate
Unele markup-uri injectate descriu produse sau recenzii care nu au existat niciodată pe site-ul tău. Verifică sursa paginii pentru blocuri schema pe care nu le-ai adăugat și testează câteva URL-uri plantate cu un instrument de testare a datelor structurate.
Orice markup pe care nu îl poți urmări înapoi la șabloanele tale este o sarcină de eliminare, nu una de conținut.
Folosirea API-ului pentru a evalua daunele
Trage paginile top
action=toppages&q=yourdomain.com&per=1000. Două credite, $0.0002.
Marchează ceea ce recunoști
Copiază rândurile într-un sheet și marchează fiecare URL ca fiind al tău sau nu. Grupul necunoscut este amprenta injectării.
Trage domeniile de referință pentru o pagină plantată
action=backlinks returnează paginile care fac link. Dacă vin de la sute de domenii neînrudite cu același anchor text, ai semnalul de spike.
Re-rulează după curățare
Următoarea reîmprospătare lunară ar trebui să arate acele URL-uri scăzând, deși linkurile moarte pot rămâne listate pentru o vreme.
Întrebări frecvente
Trebuie să disavow linkurile către paginile hackuite?
Normal nu. Dacă paginile returnează acum 404 sau 410, linkurile indică spre nimic. Cheltuie efortul pe eliminarea ușii din spate. Disavow doar dacă o acțiune manuală citează acele linkuri sau poți arăta un scheme evident plătit.
Cât durează până când spamul dispare din Google?
Variază în funcție de rata de crawl și dimensiunea site-ului. Servirea unui 410 clar și trimiterea unei hărți actualizate grăbește lucrurile, dar nu vom promite o dată. Verifică Search Console după fiecare pull lunar.
