Перевірка на інжекцію
Спамерські посилання на заражений сайт: пошук сторінок, які ви не публікували
Деякі потоки посилань спрямовані не на вас. Вони вказують на сміттєві сторінки, які атакуючий розмістив на вашому домені, і виправлення починається з вашого сервера, а не з файлу disavow.
Помилки та їх виправлення після інжекції
| Помилка | Чому це шкодить | Виправлення |
|---|---|---|
| Видалення спамерських сторінок і на цьому завершення | Задній хід залишається, і сторінки повертаються | Знайдіть точку входу: застарілий плагін, вкрадений пароль, слабкий обліковий запис FTP або SSH |
| Відхилення посилань на інфіковані URL-адреси | Посилання на сторінки, яких більше не існує, не потребують файлу | Повертайте код 404 або 410 для сторінок і дайте їм зникнути |
| Блокування спамерських URL-адрес у robots.txt | Google не побачить, що їх більше немає | Дозвольте сканування, повертайте код 410, а потім подайте запит на видалення, якщо це необхідно |
| Пропускання файлу .htaccess та бази даних | Перенаправлення та спамерські пости приховані там | Шукайте файли та таблицю постів, а не лише папку теми |
| Запит на перегляд до того, як сайт буде очищений | Запит відхиляють, і час втрачається | Очистіть, перевірте, а потім подайте |
Як інжекція проявляється в даних посилань
Шаблон дивний. У списку ваших найпопулярніших сторінок є URL-адреси, які ви не розпізнаєте, часто з незвичайними параметрами або словами японською мовою або фармацевтичною тематикою в шляху.
Викличте toppages для вашого домену та читайте список повільно, оскільки на нормальному сайті в топі будуть головна сторінка, кілька посібників та невелика кількість товарів. Рядки, схожі на /wp-content/uploads/xyz-cheap-watches.html, означають, що хтось розмістив сторінки на вашому домені, а потім побудував на них посилання.
Пошук site:yourdomain.com у Google в поєднанні зі словами, такими як casino або replica, знаходить індексовану частину тієї ж історії. Дані посилань показують, які з цих сторінок атакуючий вважав вартими просування, і це вказує, з чого починати очищення.
Пошук розміщених сторінок без сканера
Перш ніж купувати інструмент для пошуку спамерських посилань на заражений сайт, прочитайте те, що у вас вже є. Експорт найпопулярніших сторінок, список індексованих сторінок у Search Console та звичайний перелік папок на сервері показують різні аспекти однієї проблеми. Порівняйте три джерела.
Шукайте папки, які ви не створювали. Атакуючі часто залишають директорію з назвою, схожою на назву товару, або використовують папку завантажень, до якої ваша CMS не має доступу. Порахуйте файли в кожній з них. Майже ідентичні заглушки важко пояснити.
Прочитайте структуру папок
Файлова структура вашого сервера повинна відповідати структурі вашого сайту. Папка з випадковими символами або копія плагіна з додатковим словом у назві варта уваги. Запишіть дати зміни, але не покладайтеся лише на них, оскільки мітки часу можна змінити.
Запишіть кожну папку, яку ви не можете пояснити. Папка, яку неможливо пояснити, не є доказом атаки, але це питання, на яке ви повинні дати відповідь, перш ніж вважати сайт чистим.
Зберігайте список посилань разом з експортом. Наступна людина, яка читатиме звіт про інцидент, повинна бачити, що було перевірено, що було чисто і що було видалено, у правильному порядку.
Порівняйте заголовки та описи
Зламана CMS іноді переписує заголовки та описи на сотнях сторінок одночасно. Експортуйте заголовки ваших індексованих сторінок і відсортуйте їх. Експорт повертається у вигляді списку, який можна прочитати. Повторювана незнайома фраза робить шаблон видимим за хвилини і показує, які шаблони були змінені.
Перевірте описи таким же чином. Якщо вони згадують товари, яких ви ніколи не продавали, ви знайшли другий шар інжекції.
Якщо заголовки змінилися лише на сторінках, яких ви не розпізнаєте, розміщені сторінки розповідають всю історію. Якщо вони змінилися на сторінках, які ви все ще розпізнаєте, шаблон був змінений, і виправлення знаходиться у вашій темі.
- Заголовки, які містять одну незнакому фразу
- Описи, які згадують товари, яких ви не продаєте
- Сторінки без посилання з вашої власної навігації
Перевірте код сторінки
Перегляньте код вашої головної сторінки та кількох посібників. Інфіковані посилання часто знаходяться в підвалах, у прихованих блоках або всередині скрипта, завантаженого з іншого хоста. Приховані блоки залишаються невидимими на екрані. Прочитайте сирний HTML.
Запишіть кожен зовнішній домен, який завантажує код. Домен, якого ви не можете назвати у своєму стеку, вартий рядка в журналі інцидентів. Витяг toppages коштує 2 кредити і повертає JSON, тому ви можете розмістити ці інфіковані посилання поруч із інфікованими сторінками в одному аркуші.
Порядок очищення
- Поставте сайт на сторінку технічних робіт або обмежіть доступ адміністратора, поки працюєте
- Змініть кожні облікові дані: хостинг, база даних, адміністратори CMS, FTP та ключі SSH
- Оновіть CMS, теми та плагіни; видаліть все закинуте
- Порівняйте файли з чистою копією або свіжим завантаженням вашої CMS
- Шукайте в базі даних інфіковані пости, посилання та незнакомих адміністраторів
- Повертайте 404 або 410 для розміщених URL-адрес і подайте нову карту сайту
- Перевірте проблеми безпеки та ручні дії в Search Console після очищення
Чому точка входу важливіша за очищення
Видалення спамерських сторінок — це видима половина роботи. Невидима половина — це шлях входу, і цей маршрут зазвичай залишається відкритим, доки хтось його не знайде. Спочатку закрийте точку входу. Не в кінці.
Якщо ви її пропустите, розміщені сторінки повернуться протягом кількох днів, і очищення почнеться з нуля. Результатом є цикл очищення, повторного зараження та знову очищення, і кожен прохід коштує часу, якого немає під час інциденту.
Застарілі плагіни та теми
Старі компоненти — це звичайний вхід. Оновіть CMS, кожну тему та кожен плагін, а потім видаліть все закинуте. Плагін без останніх оновлень не є безпечним, навіть якщо він все ще працює.
Запишіть, що ви видалили і коли. Цей список буде корисним доказом, якщо хостинг-провайдер або пошукова система пізніше запитають, що сталося.
Повторно використані або вкрадені паролі
Пароль, використаний на іншому сайті або збережений у спільній таблиці, може дати атакуючому той самий доступ завтра. Змініть облікові дані хостингу, бази даних, адміністратора CMS, FTP та SSH разом, а не по одному. Інакше атакуючий все ще матиме робочий ключ.
Видаліть адміністраторів, яких ви не розпізнаєте, і перевірте список знову після зміни паролів.
Файли перевірки, яких ви не додавали
Атакуючий з доступом до файлів може також додати файл перевірки для вашого ресурсу в Search Console. Перевірте список власників і видаліть будь-кого, кого ви не розпізнаєте. Потім подивіться в кореневій папці на HTML-файли, які ви ніколи не завантажували.
Повторіть перевірку власників через тиждень після очищення. Це займає хвилину, і це допомагає виявити випадок, коли доступ був збережений тихо.
Пріоритет
Закрийте двері, перш ніж мітти підлогу
Якщо точка входу залишиться відкритою, спамерські сторінки повернуться протягом кількох днів. Дані посилань допомагають знайти те, що було просувано, але причина знаходиться на сервері. Сканування на шкідливе програмне забезпечення вашим хостинг-провайдером або Sucuri — це розумний перший крок.
- Вважайте посилання на мертві інфіковані URL-адреси безпечними
- Збережіть експорт toppages як доказ того, що сталося
- Додайте домен до вашого щомісячного моніторингу після цього, дивіться посібник з налаштування
Карти сайту, заголовки та структуровані дані після очищення
Коли розміщені URL-адреси зникнуть, три місця все ще можуть містити стару історію. Кожне з них швидко перевірити. Легко забути. Дайте кожному з них рядок у журналі інцидентів.
Використовуйте той самий датований експорт, який ви зробили на початку, щоб бачити точно, що змінилося.
Карти сайту
Відкрийте карту сайту, яку генерує ваша CMS, і прочитайте кожен URL-адресу в ній. Розміщені сторінки іноді їздять у карті сайту, створеній плагіном, і карта сайту, повна сміття, вказує сканерам, куди йти. Згенеруйте файл знову після очищення, а потім подайте його знову.
Зберігайте стару карту сайту як доказ, а не видаляйте її.
Структуровані дані
Деякий інфікований розмітка описує товари або відгуки, яких ніколи не існувало на вашому сайті. Перевірте код сторінки на наявність блоків schema, яких ви не додавали, і протестуйте кілька розміщених URL-адрес за допомогою інструменту тестування структурованих даних.
Будь-яка розмітка, яку ви не можете відстежити до ваших шаблонів, є завданням на видалення, а не завданням контенту.
Використання API для оцінки збитків
Витягніть найпопулярніші сторінки
action=toppages&q=yourdomain.com&per=1000. Два кредити, $0.0002.
Позначте те, що ви розпізнаєте
Скопіюйте рядки в аркуш і позначте кожну URL-адресу як вашу або чужу. Група невідомих — це слід інжекції.
Витягніть доменні посилання для однієї розміщеної сторінки
action=backlinks повертає сторінки, що посилаються. Якщо вони приходять з сотень незалежних доменів з тим самим якорем, у вас є підпис піку.
Запустіть знову після очищення
Наступне щомісячне оновлення повинно показати, що ці URL-адреси зникають, хоча мертві посилання можуть залишатися в списку протягом деякого часу.
Часті запитання
Чи потрібно відхиляти посилання на заражені сторінки?
Зазвичай ні. Якщо сторінки тепер повертають 404 або 410, посилання вказують нікуди. Витратьте зусилля на видалення заднього ходу. Відхиляйте лише якщо ручна дія цитує ці посилання або ви можете показати очевидну платну схему.
Скільки часу потрібно, щоб спам зник з Google?
Це варіюється в залежності від швидкості сканування та розміру сайту. Повернення чітного 410 та подача оновленої карти сайту прискорюють процес, але ми не обіцяємо дату. Перевірте Search Console після кожного щомісячного витягу.
