Lühidalt: Google'i hoiatuse häkitud veebisaidi kohta eemaldamiseks peate esmalt sulgema põhjuse ja eemaldama kogu kahjuliku sisu. Alles seejärel taotlete Google Search Consoles ülevaatust. Kes taotleb liiga vara või kustutab ainult nähtavad jäljed, riskib tagasilükkamisega, sest tagauksed ja varjatud rämpslehed jäävad tavaliselt alles.
Milliseid hoiatusi Google kuvab ja miks
Google hoiatab kompromiteeritud veebisaitide eest kahel viisil. Otsingutulemustes võib teie kirje all ilmuda märkus, et veebisait on võib-olla häkitud. Tõsisemate leidude, näiteks kahjutarkvara või andmepüügi puhul, kuvavad brauserid Google Safe Browsingu kaudu punase hoiatuslehe, enne kui veebisait üldse laaditakse.
Põhjuseks on peaaegu alati sisu, mille ründajad on sisse toonud: arvukad rämpslehed ravimite, hasartmängude või kaubamärgivõltsingute kohta, ümbersuunamised võõrastele lehtedele, kahjulik kood külastajatele või võltsitud sisselogimislehed. Teie ettevõtte jaoks tähendab see vähem külastajaid, ebakindlaid kliente ja poes otsest käibekadu.
Milliseid probleeme Google on leidnud, on kirjas Google Search Consoles jaotises Turvalisus ja käsitsi võetud meetmed, aruandes Turvaprobleemid. Seal on sageli nimetatud näide-URL-e, mis annavad esimese tugipunkti.
Esmalt puhastada, seejärel ülevaatust taotleda
Järjekord on otsustav. Google'i hoiatus on sümptom; kuni turvaauk on avatud ja tagauks olemas, tulevad sisud tagasi, sageli juba varsti pärast kustutamist.
Sisuhaldussüsteemi uuendus üksi ei sulge iga turvaauku. PHP2Shelli puhul asub nõrkus PHP-s endas ja paik ei eemalda juba sissetoodud kahjutarkvara. Kontrollige PHP versiooni, paigaseisu ja faile, enne kui palute Google'il ülevaatust.
Puhastamiseks on mõistlik veebisait ajutiselt hooldusrežiimi panna või võrgust maha võtta. Nii kaitsete külastajaid töö ajal ja takistate, et ründaja täiendavat sisu juurde laeks. Hooldusrežiim peaks seejuures andma olekukoodi 503, et otsingumootorid tunneksid katkestuse ajutisena.
Google'i hoiatuse eemaldamine häkitud veebisaidi tõttu: samm-sammult
- Tõendid turvata: Turvake logid, failide ja andmebaasi koopia, enne kui midagi kustutate.
- Search Console kontrollida: Lugege turvaprobleemide aruannet, märkige üles näide-URL-id ja otsige jaotisest Seaded, Kasutajad ja õigused tundmatuid omanikke.
- Turvaauk sulgeda: Uuendage PHP, sisuhaldussüsteem, teemad ja laiendused, eemaldage kasutamata laiendused, taaskäivitage PHP töötajad pärast uuendust.
- Kahjulik kood eemaldada: Asendage sisuhaldussüsteemi tuumafailid puhtast allikast, otsige üleslaadimis- ja vahemälukataloogidest PHP faile, kontrollige
.htaccess-i ja serveri seadistust võõraste ümbersuunamiste suhtes. - Andmebaas puhastada: Eemaldage rämpspostitused, sisse toodud skriptid sisus ja valikutes ning tundmatud administraatorikontod.
- Ligipääsud uuendada: Muutke sisuhaldussüsteemi, hostingu, andmebaasi, FTP ja SSH paroole, looge sisuhaldussüsteemi turvavõtmed uuesti.
- Tulemust kontrollida: Testige näide-URL-e URL-i kontrolliga ja avage oma veebisait nii, nagu Google seda näeb.
- Ülevaatust taotleda: Taotlege turvaprobleemide aruandes ülevaatust ja kirjeldage lühidalt, mis leiti ja kõrvaldati.
Varjatud jäljed: rämpslehed, varjamine ja võõrad omanikud
Paljud häkkimised on ehitatud nii, et haldajad neid ei märka. Rämpssisu ilmub ainult Googlebotile või külastajatele, kes tulevad otsingust. Sisselogitud administraatorid näevad tavalist veebisaiti. Search Console'i URL-i kontroll näitab seevastu päringut Google'i vaatenurgast.
Veel üks tugipunkt on otsing site:teiedomeen.ee koos tüüpiliste rämpsusõnadega. Kui seal ilmuvad lehed, mida te kunagi loonud ei ole, on see selge märk. Kontrollige ka esitatud saidikaarte: ründajad loovad vahel oma saidikaarte, et oma rämpslehti kiiremini indekseerida.
Serveris aitavad muudetud failide otsimisel lihtsad, ainult lugevad kontrollid:
# PHP ja HTML failid, mida on viimase 14 päeva jooksul muudetud
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP failid üleslaadimiskataloogides (neid ei tohiks tavaliselt olla)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Ümbersuunamisreeglid .htaccess failides
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Reeglid, mis suunavad Refererist või User-Agentist olenevalt erinevalt ümber, on varjamise tüüpiline tunnus. WordPressi puhul toimige lisaks sihipäraselt juhendi Tagauste leidmine WordPressis vihjete järgi.
Mis juhtub pärast taotlust
Google kontrollib veebisaiti uuesti ja teatab tulemusest Search Consoles. Kui taotlus rahuldatakse, hoiatused kaovad. Kui see lükatakse tagasi, nimetab Google enamasti täiendavaid näide-URL-e. Siis otsite sihipäraselt alles jäänud sisu ja taotlete uuesti alles pärast puhastamist.
Rämpsu URL-id, mida Google juba tunneb, peaksid pärast puhastamist andma olekukoodi 404 või 410, et need indeksist välja kukuksid. Ärge suunake neid üldiselt avalehele. Jälgige Search Console'i ka järgmistel nädalatel, sest rämpsu uuesti ilmumine viitab märkamata jäänud tagauksele. Täieliku järeltöö kirjeldab meie kontrollnimekiri pärast häkkimist.
Et hoiatus ei kordu, tuleks pärast puhastamist püsivalt reguleerida mõned asjad:
- PHP, sisuhaldussüsteemi, teemade ja laienduste uuendused paigaldatakse õigeaegselt ja keegi vastutab selle eest.
- Kasutamata laiendused, vanad testpaigaldused ja unustatud alamkataloogid on eemaldatud.
- Halduse ligipääsud on isiklikud ja kaitstud teise faktoriga.
- Failijärelevalve teatab uutest PHP failidest üleslaadimis- ja vahemälukataloogides.
- Search Console'i e-posti teavitused jõuavad aadressile, mida regulaarselt loetakse.
Teavitage pikemate katkestuste või mõjutatud klientide andmete korral ka oma kliente asjalikult seisust. Avatud, rahulik suhtlus kaitseb usaldust enamasti paremini kui vaikimine.
Kuidas PHP SOS konkreetselt aitab?
- Turvame esmalt jäljed ja selgitame välja, millise turvaaugu kaudu ründaja sisse tuli.
- Puhastame failid, andmebaasi ja serveri seadistuse kahjuliku koodi eemaldamise raames ning sulgeme põhjuse.
- Kontrollime veebisaiti Google'i vaatenurgast, eemaldame võõrad Search Console'i omanikud ja valmistame koos teiega ette ülevaatuse taotluse.
- Ägeda nakatumise korral võtab piiramise üle meie hädaabi häkitud veebisaitide jaoks, kuni intsident on lõpetatud ja dokumenteeritud.
Korduma kippuvad küsimused
Kui kaua läheb, enne kui Google hoiatuse eemaldab?
Seda ei saa usaldusväärselt ennustada. Ülevaatus algab alles siis, kui taotlete seda Search Consoles, ja sõltub probleemi liigist ning ulatusest. Seisu näete turvaprobleemide aruandes.
Mis juhtub, kui taotlen ülevaatust liiga vara?
Kui Google leiab kontrollimisel endiselt kahjulikku sisu, lükatakse taotlus tagasi ja hoiatus jääb. Korduvad tagasilükkamised võivad järgmist kontrolli viivitada. Taotlege ülevaatust seetõttu alles pärast täielikku puhastamist.
Miks ma rämpslehti ise ei näe?
Paljud häkkimised näitavad rämpsu ainult otsingumootoritele või külastajatele, kes tulevad Google'ist, ja sisselogitud administraatoritele tavalist lehte. Seda tehnikat nimetatakse varjamiseks (Cloaking). Search Console'i URL-i kontrolliga näete, mida Google tegelikult pärib.
Kas pean pärast puhastamist oma asetused uuesti üles ehitama?
Pärast hoiatuse eemaldamist taastub nähtavus sageli, kuid mitte tingimata endisele tasemele. Otsustav on, et rämpsu URL-id kaovad indeksist ja tegelik sisu on muutmata kujul kättesaadav.