Kort sagt: For at fjerne Google-advarslen om det hackede website skal I først lukke årsagen og fjerne alt skadeligt indhold. Først derefter anmoder I i Google Search Console om gennemgang. Den, der anmoder for tidligt eller kun sletter de synlige spor, risikerer en afvisning, fordi bagdøre og skjulte spamsider som regel består.
Hvilke advarsler Google viser, og hvorfor
Google advarer på to måder mod kompromitterede websites. I søgeresultaterne kan der under jeres post vises en henvisning om, at websitet muligvis er hacket. Ved alvorligere fund, f.eks. skadelig software eller phishing, viser browsere via Google Safe Browsing en rød advarselsside, før websitet overhovedet indlæses.
Årsagen er næsten altid indhold, som angribere har smuglet ind: talrige spamsider for lægemidler, spil om penge eller mærkevareforfalskninger, omdirigeringer til fremmede sider, skadelig kode til besøgende eller forfalskede loginsider. For jeres virksomhed betyder det færre besøgende, usikre kunder og i shoppen direkte omsætningstab.
Hvilke problemer Google har fundet, står i Google Search Console under Sikkerhed og manuelle handlinger, i rapporten Sikkerhedsproblemer. Dér er der ofte nævnt eksempel-URL'er, som giver et første holdepunkt.
Først oprydning, derefter anmodning om gennemgang
Rækkefølgen er afgørende. Google-advarslen er et symptom; så længe sårbarheden er åben og en bagdør til stede, kommer indholdet tilbage, ofte allerede kort efter sletningen.
En CMS-opdatering alene lukker ikke enhver sårbarhed. Ved PHP2Shell ligger svagheden i selve PHP, og en patch fjerner ingen allerede indsmuglet skadelig software. Kontrollér PHP-version, patchstatus og filer, før I beder Google om gennemgang.
Til oprydningen er det fornuftigt midlertidigt at sætte websitet i en vedligeholdelsestilstand eller tage det af nettet. Så beskytter I besøgende, mens I arbejder, og forhindrer, at angriberen lægger yderligere indhold ind. En vedligeholdelsestilstand bør her levere statuskoden 503, så søgemaskiner genkender afbrydelsen som midlertidig.
Fjern Google-advarslen om hacket website: trin for trin
- Sikr beviser: Sikr logs, en kopi af filerne og databasen, før I sletter noget.
- Kontrollér Search Console: Læs rapporten om sikkerhedsproblemer, notér eksempel-URL'er, og led under Indstillinger, Brugere og tilladelser efter ukendte ejere.
- Luk sårbarheden: Opdatér PHP, CMS, temaer og udvidelser, fjern ubrugte udvidelser, genstart PHP-workere efter opdateringen.
- Fjern skadelig kode: Erstat CMS'ets kernefiler fra en ren kilde, gennemsøg upload- og cachemapper for PHP-filer, kontrollér
.htaccessog serverkonfiguration for fremmede omdirigeringer. - Ryd op i databasen: Fjern spamindlæg, indsmuglede scripts i indhold og indstillinger samt ukendte admin-konti.
- Forny adgange: Skift adgangskoder til CMS, hosting, database, FTP og SSH, og generér CMS'ets sikkerhedsnøgler på ny.
- Kontrollér resultatet: Test eksempel-URL'erne med URL-inspektionen, og kald jeres eget website, sådan som Google ser det.
- Anmod om gennemgang: Anmod i rapporten om sikkerhedsproblemer om gennemgang, og beskriv kort, hvad der blev fundet og udbedret.
Skjulte spor: spamsider, cloaking og fremmede ejere
Mange hacks er bygget, så driftsansvarlige ikke opdager dem. Spamindholdet optræder kun for Googlebot eller for besøgende, der kommer via søgningen. Loggede admins ser det normale website. URL-inspektionen i Search Console viser derimod kaldet set fra Googles side.
Et yderligere holdepunkt er en søgning med site:ihredomain.de i kombination med typiske spamudtryk. Optræder der sider, som I aldrig har oprettet, er det et tydeligt tegn. Kontrollér også indsendte sitemaps: Angribere opretter til tider egne sitemaps for at få deres spamsider indekseret hurtigere.
På serveren hjælper enkle, kun læsende kontroller ved søgningen efter ændrede filer:
# PHP- og HTML-filer, der er ændret inden for de sidste 14 dage
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP-filer i upload-mapper (bør normalt ikke findes)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Omdirigeringsregler i .htaccess-filer
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Regler, der omdirigerer forskelligt afhængigt af referer eller user agent, er et typisk kendetegn ved cloaking. Gå ved WordPress desuden målrettet frem efter henvisningerne i vejledningen Find bagdøre i WordPress.
Hvad der sker efter anmodningen
Google kontrollerer websitet igen og meddeler resultatet i Search Console. Bliver anmodningen godkendt, forsvinder advarslerne. Bliver den afvist, nævner Google som regel yderligere eksempel-URL'er. Så søger I målrettet efter de resterende indhold og anmoder først igen efter oprydningen.
Spam-URL'er, som Google allerede kender, bør efter oprydningen levere status 404 eller 410, så de falder ud af indekset. Omdiriger dem ikke generelt til forsiden. Hold fortsat øje med Search Console i ugerne derefter, for en fornyet opdukken af spam peger på en overset bagdør. En fuldstændig opfølgning beskriver vores tjekliste efter et hack.
For at advarslen ikke gentager sig, bør nogle ting efter oprydningen være varigt ordnet:
- Opdateringer til PHP, CMS, temaer og udvidelser indspilles rettidigt, og nogen er ansvarlig for det.
- Ubrugte udvidelser, gamle testinstallationer og glemte undermapper er fjernet.
- Admin-adgange er personlige og beskyttet med en anden faktor.
- En filovervågning melder nye PHP-filer i upload- og cachemapper.
- Search Consoles e-mailunderretninger når en adresse, der læses regelmæssigt.
Underret ved længere udfald eller berørte kundedata også jeres kunder sagligt om status. Åben, rolig kommunikation beskytter som regel tilliden bedre end tavshed.
Hvordan hjælper PHP SOS konkret?
- Vi sikrer først sporene og afklarer, via hvilken sårbarhed angriberen kom ind.
- Vi renser filer, database og serverkonfiguration inden for rammerne af malwarefjernelsen og lukker årsagen.
- Vi kontrollerer websitet set fra Googles side, fjerner fremmede Search Console-ejere og forbereder anmodningen om gennemgang sammen med jer.
- Ved akut angreb overtager vores nødhjælp ved hackede websites inddæmningen, til hændelsen er afsluttet og dokumenteret.
Ofte stillede spørgsmål
Hvor længe varer det, før Google fjerner advarslen?
Det kan ikke forudsiges pålideligt. Gennemgangen begynder først, når I anmoder om den i Search Console, og afhænger af problemets art og omfang. Status ser I i rapporten om sikkerhedsproblemer.
Hvad sker der, hvis jeg anmoder om gennemgang for tidligt?
Finder Google ved kontrollen fortsat skadeligt indhold, afvises anmodningen, og advarslen bliver. Gentagne afvisninger kan forsinke den næste kontrol. Anmod derfor først om gennemgang efter fuldstændig oprydning.
Hvorfor kan jeg ikke selv se spamsiderne?
Mange hacks viser kun spam for søgemaskiner eller for besøgende, der kommer via Google, og den normale side for loggede admins. Denne teknik hedder cloaking. Med URL-inspektionen i Search Console ser I, hvad Google faktisk henter.
Skal jeg opbygge mine placeringer på ny efter oprydningen?
Efter fjernelsen af advarslen kommer synligheden ofte tilbage, men ikke nødvendigvis til den gamle status. Afgørende er, at spam-URL'er forsvinder fra indekset, og at de egentlige indhold fortsat kan nås uændret.