Спам-ссылки с заражённых сайтов: поиск страниц, которые вы не публиковали

Как внедрение проявляется в данных о ссылках

Паттерн странный. В списке ваших топ-страниц есть URL, которые вы не узнаете, часто со странными параметрами или словами на японском или в фармацевтической тематике в пути.

Вызовите toppages для вашего домена и читайте список внимательно, потому что на нормальном сайте в топе находятся главная страница, несколько руководств и пара товаров. Строки вроде /wp-content/uploads/xyz-cheap-watches.html означают, что кто-то разместил страницы на вашем домене и затем построил на них ссылки.

Поиск site:yourdomain.com в Google в сочетании со словами вроде casino или replica находит индексированную часть той же истории. Данные о ссылках показывают, какие из этих страниц злоумышленник посчиталworth promoting, и это указывает, с чего начинать очистку.

Поиск внедрённых страниц без краулера

Прежде чем покупать инструмент для поиска спам-ссылок с заражённых сайтов, прочтите, что у вас уже есть. Экспорт топ-страниц, список индексированных страниц в Search Console и обычный список папок на сервере показывают разные аспекты одной и той же проблемы. Сравните их.

Ищите папки, которые вы не создавали. Атакующие часто создают директорию с названием, похожим на товар, или используют папку загрузок, к которой ваша CMS не обращается. Посчитайте файлы в каждой. Почти идентичные заглушки трудно объяснить.

Изучите структуру папок

Дерево файлов вашего сервера должно соответствовать структуре сайта. Папка со случайными символами или копия плагина с лишним словом в названии заслуживает внимания. Запишите даты изменения, но не доверяйте им слепо, потому что временные метки можно изменить.

Запишите каждую папку, которую вы не можете объяснить. Необъяснимая папка — не доказательство атаки, но это вопрос, на который нужно ответить, прежде чем называть сайт чистым.

Храните список ссылок вместе с экспортами. Следующий человек, изучающий инцидент, должен увидеть, что было проверено, что было чистым и что было удалено, в правильном порядке.

Сравните заголовки и описания

Заражённая CMS иногда переписывает заголовки и описания на сотнях страниц одновременно. Экспортируйте заголовки ваших индексированных страниц и отсортируйте их. Экспорт вернётся списком, который можно прочитать. Повторяющаяся незнакомая фраза сделает паттерн видимым за минуты и покажет, какие шаблоны были изменены.

Проверьте описания тем же способом. Если они упоминают товары, которые вы никогда не продавали, вы нашли второй слой внедрения.

Если заголовки изменились только на страницах, которые вы не узнаете, внедрённые страницы рассказывают всю историю. Если они изменились на страницах, которые вы всё ещё узнаете, шаблон был изменён, и исправление находится в вашей теме.

• Заголовки, содержащие одну незнакомую фразу
• Описания, упоминающие товары, которые вы не продаёте
• Страницы без ссылок из вашей собственной навигации

Проверьте исходный код страницы

Просмотрите исходный код главной страницы и нескольких руководств. Внедрённые ссылки часто находятся в футерах, скрытых блоках или внутри скрипта, загруженного с другого хоста. Скрытые блоки остаются невидимыми на экране. Прочитайте сырой HTML.

Запишите каждый внешний домен, который загружается из исходного кода. Домен, который вы не можете назвать в своём стеке, заслуживает строки в журнале инцидентов. Запрос toppages стоит 2 кредита и возвращает JSON, так что вы можете поместить эти внедрённые ссылки рядом с внедрёнными страницами в одной таблице.

Почему точка входа важнее очистки

Удаление спам-страниц — это видимая половина работы. Невидимая половина — это путь входа, и этот маршрут обычно остаётся открытым, пока его не найдут. Сначала закройте точку входа. Не в конце.

Если вы её пропустите, внедрённые страницы вернутся в течение нескольких дней, и очистка начнётся заново с нуля. Результат — цикл очистки, повторного заражения и снова очистки, и каждый проход стоит времени, которое нельзя терять во время инцидента.

Устаревшие плагины и темы

Старые компоненты — распространённая дверь. Обновите CMS, каждую тему и каждый плагин, затем удалите всё устаревшее. Плагин без недавних обновлений — не безопасный плагин, даже если он всё ещё работает.

Запишите, что вы удалили и когда. Этот список — полезное доказательство, если хостинг или поисковая система позже спросят, что произошло.

Повторное использование или кража паролей

Пароль, используемый на втором сайте или хранящийся в общей таблице, может дать злоумышленнику тот же доступ завтра. Измените учётные данные хостинга, базы данных, администратора CMS, FTP и SSH вместе, а не по одному. Иначе у злоумышленника всё ещё будет рабочий ключ.

Удалите администраторов, которых вы не узнаете, и проверьте список снова после смены паролей.

Файлы верификации, которые вы не добавляли

Атакующий с доступом к файлам может также добавить файл верификации для вашего свойства в Search Console. Проверьте список владельцев и удалите всех, кого вы не узнаете. Затем посмотрите в корневой папке HTML-файлы, которые вы никогда не загружали.

Повторите проверку владельцев через неделю после очистки. Это занимает минуту, и это ловит случай, когда доступ был сохранён тихо.

Карты сайта, заголовки и структурированные данные после очистки

Как только внедрённые URL исчезнут, три места всё ещё могут хранить старую историю. Каждое из них быстро проверить. Легко забыть. Уделите каждой из них строку в журнале инцидентов.

Используйте тот же экспортированный файл с датой, который вы сделали в начале, чтобы точно видеть, что изменилось.

Карты сайта

Откройте карту сайта, которую генерирует ваша CMS, и прочитайте каждый URL в ней. Внедрённые страницы иногда едут в карте сайта, созданной плагином, и карта сайта, полная мусора, указывает краулерам, куда идти. Сгенерируйте файл заново после очистки, затем подайте его снова.

Сохраните старую карту сайта как доказательство, а не удаляйте её.

Структурированные данные

Некоторые внедрённые разметки описывают товары или отзывы, которых никогда не было на вашем сайте. Проверьте исходный код страницы на наличие блоков schema, которые вы не добавляли, и протестируйте несколько внедрённых URL с помощью инструмента проверки структурированных данных.

Любая разметка, которую вы не можете отследить до своих шаблонов, — задача на удаление, а не на контент.