Injektionskontroll
Spam-länkar från hackade webbplatser: hitta sidor du aldrig publicerade
Vissa länkflöden är inte riktade mot dig. De pekar på skräpsidor som en angripare planterat på din domän, och åtgärden börjar på din server, inte i en disavow-fil.
Misstag och åtgärder efter en injektion
| Misstag | Varför det skadar | Åtgärd |
|---|---|---|
| Att ta bort skräpsidorna och sluta där | Bakdörren finns kvar och sidorna återkommer | Hitta ingångspunkten: inaktuell plugin, stöldt lösenord, svagt FTP- eller SSH-konto |
| Att disavow:a länkar till de injicerade URL:erna | Länkar till sidor som inte längre finns behöver ingen fil | Returnera 404 eller 410 för sidorna och låt dem försvinna |
| Att blockera skräp-URL:erna i robots.txt | Google kan inte se att de är borta | Tillåt crawling, returnera 410, begär sedan borttagning vid behov |
| Att hoppa över .htaccess och databasen | Omdirigeringar och skräpinlägg döljer sig där | Sök i filerna och inläggs-tabellen, inte bara i temamappen |
| Att be om granskning innan webbplatsen är ren | Begäran avslås och tid går förlorad | Städa, verifiera, skicka sedan in |
Hur en injektion syns i länkdata
Mönstret är märkligt. Din lista över toppsidor innehåller URL:er du inte känner igen, ofta med konstiga parametrar eller japanska eller farmaceutiska ord i sökvägen.
Anropa toppages för din domän och läs listan noggrant, eftersom en normal webbplats har startsidan, några guider och ett fåtal produkter högt upp. Rader som ser ut som /wp-content/uploads/xyz-cheap-watches.html betyder att något placerat sidor på din domän och sedan byggt länkar till dem.
En site:yourdomain.com-sökning i Google, kombinerat med ord som casino eller replica, hittar den indexerade sidan av samma historia. Länkdatan berättar vilka av dessa sidor angriparen tyckte var värda att främja, och det berättar var du ska börja städa.
Att hitta planterade sidor utan en crawler
Innan du köper ett verktyg för spam-länkar från hackade webbplatser, läs vad du redan har. Exporten av toppsidor, listan över indexerade sidor i Search Console och en vanlig mappvisning på servern visar var och en en del av samma problem. Jämför de tre.
Leta efter mappar du inte skapat. Angripare släpper ofta en katalog med ett produktsliknande namn, eller återanvänder en uppladdningsmapp som ditt CMS aldrig rör. Räkna filerna i varje mapp. Nästan identiska stubbar är svåra att förklara.
Läs mappträdet
Din servers filträd bör matcha webbplatsens struktur. En mapp med slumpmässiga tecken, eller en kopia av en plugin med ett extra ord i namnet, är värd en titt. Notera ändringsdatum, men lita inte enbart på dem, eftersom tidsstämplar kan ändras.
Skriv ner varje mapp du inte kan förklara. En mapp som inte kan förklaras är inte bevis på ett angrepp, men det är en fråga du måste besvara innan du kan kalla webbplatsen för ren.
Behåll referenslistan med dina exporter. Nästa person som läser incidenten ska se vad som kontrollerades, vad som var rent och vad som togs bort, i den ordningen.
Jämför titlar och beskrivningar
En hackad CMS kan ibland skriva om titlar och beskrivningar över hundratals sidor samtidigt. Exportera titlarna för dina indexerade sidor och sortera dem. Exporten returneras som en lista du kan läsa. En upprepad, okänd fras gör mönstret synligt på minuter, och det visar vilka mallar som påverkats.
Kontrollera beskrivningarna på samma sätt. Om de nämner produkter du aldrig sålt har du hittat ett andra lager av injektionen.
Om titlarna bara ändrades på sidor du inte känner igen berättar de planterade sidorna hela historien. Om de ändrades på sidor du fortfarande känner igen påverkades mallen, och åtgärden ligger i ditt tema.
- Titlar som delar en okänd fras
- Beskrivningar som nämner produkter du inte säljer
- Sidor utan länk från din egen navigation
Kontrollera sidkällkoden
Visa källkoden för din startsida och några guider. Injicerade länkar sitter ofta i sidfötter, i dolda block eller inuti ett skript som laddas från en annan värd. Dolda block förblir osynliga på skärmen. Läs den råa HTML-koden.
Notera varje extern domän som källkoden laddar. En domän du inte kan namnge i din egen stack är värd en rad i incidentloggen. Ett toppages-utdrag kostar 2 krediter och returnerar JSON, så du kan placera de planterade länkarna bredvid de planterade sidorna i ett och samma ark.
Städningsordning
- Sätt webbplatsen bakom en underhållssida eller begränsa adminåtkomsten medan du arbetar
- Ändra alla inloggningsuppgifter: hosting, databas, CMS-admin, FTP och SSH-nycklar
- Uppdatera CMS:t, teman och plugins; ta bort allt som är övergivet
- Jämför filer med en ren kopia eller ny nedladdning av ditt CMS
- Sök i databasen efter injicerade inlägg, länkar och okända adminanvändare
- Returnera 404 eller 410 för de planterade URL:erna och skicka in en ny sitemap
- Kontrollera Search Console Security issues och Manual actions efter städningen
Varför ingångspunkten är viktigare än städningen
Att ta bort skräpsidorna är den synliga halvan av jobbet. Den osynliga halvan är ingången, och den vägen stannar oftast öppen tills någon hittar den. Sätt ingångspunkten först. Inte sist.
Om du missar den återkommer de planterade sidorna inom dagar, och städningen börjar om från noll. Resultatet är en loop av städa, återinfektera och städa igen, och varje pass kostar tid du inte har råd att förlora under en incident.
Inaktuella plugins och teman
Gamla komponenter är en vanlig dörr. Uppdatera CMS:t, alla teman och alla plugins, ta sedan bort allt som är övergivet. En plugin utan senaste uppdateringar är inte en säker, även om den fortfarande fungerar.
Skriv ner vad du tog bort och när. Den listan är användbar bevisning om en hosting-leverantör eller en sökmotor senare frågar vad som hände.
Återanvända eller stöldlösenord
Ett lösenord som används på en andra webbplats, eller ett som sparas i en delad kalkylblad, kan ge en angripare samma åtkomst imorgon. Ändra hosting-, databas-, CMS-admin-, FTP- och SSH-uppgifterna tillsammans, inte en i taget. Annars har angriparen fortfarande en fungerande nyckel.
Ta bort adminanvändare du inte känner igen, och kontrollera listan igen efter lösenordsändringen.
Verifieringsfiler du inte lade till
En angripare med filåtkomst kan också lägga till en verifieringsfil för din Search Console-egendom. Kontrollera listan över ägare och ta bort alla du inte känner igen. Titta sedan i rotkatalogen efter HTML-filer du aldrig laddade upp.
Upprepa ägarkontrollen en vecka efter städningen. Det tar en minut, och det fångar fallet där åtkomsten behölls tyst.
Prioritet
Stäng dörren innan du sveper golvet
Om ingångspunkten stannar öppen återkommer skräpsidorna inom dagar. Länkdata hjälper dig att hitta vad som främjades, men orsaken ligger på servern. En malware-scan av din hosting-leverantör eller Sucuri är ett sunt första steg.
- Behandla länkar till döda injicerade URL:er som ofarliga
- Behåll toppages-exporten som bevis på vad som hände
- Lägg till domänen i din månatliga övervakning efteråt, se installationsguiden
Sitemaps, titlar och strukturerad data efter en städning
När de planterade URL:erna är borta kan tre ställen fortfarande hålla den gamla historien. Var och en är snabb att kontrollera. Lätt att glömma också. Ge var och en av dem en rad i din incidentlog.
Använd samma daterade export du gjorde i början, så att du kan se exakt vad som ändrades.
Sitemaps
Öppna sitemapen som ditt CMS genererar och läs varje URL i den. Planterade sidor åker ibland med i en sitemap som en plugin byggde, och en sitemap full av skräp berättar för crawlers vart de ska gå. Återskapa filen efter städningen, skicka sedan in den igen.
Behåll den gamla sitemapen som bevis snarare än att ta bort den.
Strukturerad data
Viss injicerad markup beskriver produkter eller recensioner som aldrig fanns på din webbplats. Kontrollera sidkällkoden för schema-block du inte lade till, och testa några planterade URL:er med ett verktyg för test av strukturerad data.
All markup du inte kan spåra tillbaka till dina mallar är en uppgift för borttagning, inte en uppgift för innehåll.
Att använda API:t för att avgränsa skadan
Hämta toppsidorna
action=toppages&q=yourdomain.com&per=1000. Två krediter, $0.0002.
Markera vad du känner igen
Kopiera raderna till ett ark och flagga varje URL som din eller ej. Den okända gruppen är injektionsspåret.
Hämta hänvisande domäner för en planterad sida
action=backlinks returnerar länkande sidor. Om de kommer från hundratals orelaterade domäner med samma ankertext har du spiksignaturen.
Kör om efter städning
Nästa månatliga uppdatering bör visa att dessa URL:er faller bort, även om döda länkar kan listas kvar ett tag.
Vanliga frågor
Behöver jag disavow:a länkar till hackade sidor?
Normalt sett inte. Om sidorna nu returnerar 404 eller 410 pekar länkarna på ingenting. Satsa ansträngningen på att ta bort bakdörren. Disavow:a bara om en manual action citerar dessa länkar eller du kan visa ett uppenbart betalt schema.
Hur lång tid tar det innan skräpet försvinner från Google?
Det varierar med crawlingshastighet och webbplatsstorlek. Att returnera en tydlig 410 och skicka in en uppdaterad sitemap påskyndar saker och ting, men vi lovar inte ett datum. Kontrollera Search Console efter varje månatligt utdrag.
