Röviden: Ahhoz, hogy eltávolítsa a feltört weboldalra vonatkozó Google-figyelmeztetést, először le kell zárnia az okot, és el kell távolítania az összes káros tartalmat. Csak ezután kérje a felülvizsgálatot a Google Search Console-ban. Aki túl korán kéri, vagy csak a látható nyomokat törli, elutasítást kockáztat, mert a hátsó ajtók és a rejtett spam-oldalak többnyire továbbra is fennállnak.
Milyen figyelmeztetéseket jelenít meg a Google, és miért
A Google két módon figyelmeztet a feltört weboldalakra. A keresési találatokban a bejegyzése alatt megjelenhet egy megjegyzés, hogy a weboldalt esetleg feltörték. Súlyosabb leleteknél, például kártevőnél vagy adathalászatnál a böngészők a Google Safe Browsingon keresztül piros figyelmeztető oldalt mutatnak, mielőtt a weboldal egyáltalán betöltődne.
Az ok szinte mindig olyan tartalom, amelyet a támadók bejuttattak: számos gyógyszerekről, szerencsejátékról vagy márkahamisításról szóló spam-oldal, idegen oldalakra irányuló átirányítások, a látogatóknak szánt kártékony kód vagy hamis bejelentkezési oldalak. A vállalkozásának ez kevesebb látogatót, elbizonytalanodott ügyfeleket és a webshopban közvetlen bevételkiesést jelent.
Hogy a Google milyen problémákat talált, azt a Google Search Console-ban a Biztonság és kézi intézkedések alatt, a Biztonsági problémák jelentésben látja. Ott gyakran példa-URL-eket is megneveznek, amelyek első támpontot adnak.
Először megtisztítani, utána felülvizsgálatot kérni
A sorrend döntő. A Google-figyelmeztetés tünet; amíg a rés nyitva van és van hátsó ajtó, a tartalmak visszatérnek, gyakran már nem sokkal a törlés után.
Egy CMS-frissítés önmagában nem zár le minden rést. A PHP2Shellnél a sebezhetőség magában a PHP-ban van, és egy javítás nem távolítja el a már bejuttatott kártékony szoftvert. Ellenőrizze a PHP-verziót, a javítási állapotot és a fájlokat, mielőtt a Google-t felülvizsgálatra kéri.
A megtisztításhoz célszerű a weboldalt átmenetileg karbantartási módba tenni vagy levenni a hálózatról. Így védi a látogatókat, amíg dolgozik, és megakadályozza, hogy a támadó további tartalmakat helyezzen el. A karbantartási módnak a 503-as státuszkódot kell adnia, hogy a keresőmotorok az átmeneti megszakításként ismerjék fel.
A feltört weboldalra vonatkozó Google-figyelmeztetés eltávolítása: lépésről lépésre
- Bizonyítékok mentése: Mentse a naplókat, a fájlok másolatát és az adatbázist, mielőtt bármit törölne.
- A Search Console ellenőrzése: Olvassa el a biztonsági problémák jelentését, jegyezze fel a példa-URL-eket, és a Beállítások, Felhasználók és engedélyek alatt keressen ismeretlen tulajdonosokat.
- A rés lezárása: Frissítse a PHP-t, a CMS-t, a témákat és a bővítményeket, távolítsa el a nem használt bővítményeket, és a frissítés után indítsa újra a PHP-workereket.
- A kártékony kód eltávolítása: Cserélje a CMS alapfájljait tiszta forrásból, keressen PHP-fájlokat a feltöltési és gyorsítótár-könyvtárakban, ellenőrizze a
.htaccess-t és a szerverkonfigurációt idegen átirányítások szempontjából. - Az adatbázis megtisztítása: Távolítsa el a spam-bejegyzéseket, a tartalmakban és opciókban lévő bejuttatott szkripteket, valamint az ismeretlen rendszergazdai fiókokat.
- A hozzáférések megújítása: Változtassa meg a CMS, a tárhely, az adatbázis, az FTP és az SSH jelszavait, és hozza létre újra a CMS biztonsági kulcsait.
- Az eredmény ellenőrzése: Tesztelje a példa-URL-eket az URL-vizsgálattal, és hívja meg a saját weboldalát úgy, ahogy a Google látja.
- Felülvizsgálat kérése: A biztonsági problémák jelentésében kérje a felülvizsgálatot, és röviden írja le, mit találtak és mit hárítottak el.
Rejtett nyomok: spam-oldalak, cloaking és idegen tulajdonosok
Sok feltörést úgy építenek fel, hogy az üzemeltetők ne vegyék észre. A spam-tartalmak csak a Googlebotnak vagy a keresésből érkező látogatóknak jelennek meg. A bejelentkezett adminok a normál weboldalt látják. A Search Console URL-vizsgálata ezzel szemben a Google szempontjából mutatja a lehívást.
Egy további támpont a site:ihredomain.de keresés tipikus spam-kifejezésekkel kombinálva. Ha ott olyan oldalak jelennek meg, amelyeket Ön soha nem hozott létre, az egyértelmű jel. Ellenőrizze a beküldött sitemapeket is: a támadók néha saját sitemapeket hoznak létre, hogy a spam-oldalaikat gyorsabban indexeljék.
A szerveren egyszerű, csak olvasó ellenőrzések segítenek a módosított fájlok keresésében:
# Az elmúlt 14 napban módosított PHP- és HTML-fájlok
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP-fájlok a feltöltési könyvtárakban (normál esetben nem szabadna lenniük)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Átirányítási szabályok a .htaccess fájlokban
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Azok a szabályok, amelyek a referertől vagy a user-agenttől függően különbözőképpen irányítanak át, a cloaking tipikus jegyei. WordPressnél ezen felül célzottan járjon el a Hátsó ajtók keresése a WordPressben útmutató megjegyzései szerint.
Mi történik a kérelem után
A Google újra ellenőrzi a weboldalt, és az eredményt közli a Search Console-ban. Ha a kérelmet elfogadják, a figyelmeztetések eltűnnek. Ha elutasítják, a Google többnyire további példa-URL-eket nevez meg. Ekkor célzottan keresse a megmaradt tartalmakat, és csak a megtisztítás után kérjen újra.
A Google által már ismert spam-URL-eknek a megtisztítás után 404-es vagy 410-es státuszt kell adniuk, hogy kihulljanak az indexből. Ne irányítsa át őket átalánosan a nyitóoldalra. Figyelje a Search Console-t az azt követő hetekben is, mert a spam újbóli felbukkanása egy átnézett hátsó ajtóra utal. Egy teljes utómunkát a Ellenőrzőlista egy feltörés után ír le.
Hogy a figyelmeztetés ne ismétlődjön, a megtisztítás után néhány dolgot tartósan rendezni kell:
- A PHP, a CMS, a témák és a bővítmények frissítéseit időben telepítik, és valaki felelős érte.
- A nem használt bővítmények, a régi tesztinstallációk és az elfelejtett alkönyvtárak el vannak távolítva.
- Az admin hozzáférések személyesek, és második faktorral védettek.
- Egy fájlfelügyelet jelzi az új PHP-fájlokat a feltöltési és gyorsítótár-könyvtárakban.
- A Search Console e-mail-értesítései olyan címre érkeznek, amelyet rendszeresen olvasnak.
Hosszabb kiesés vagy érintett ügyféladatok esetén tájékoztassa az ügyfeleit is tárgyszerűen az állapotról. A nyílt, nyugodt kommunikáció a bizalmat többnyire jobban védi, mint a hallgatás.
Hogyan segít konkrétan a PHP SOS?
- Először lementjük a nyomokat, és tisztázzuk, melyik résen jutott be a támadó.
- A kártevő-eltávolítás keretében megtisztítjuk a fájlokat, az adatbázist és a szerverkonfigurációt, és lezárjuk az okot.
- Ellenőrizzük a weboldalt a Google szempontjából, eltávolítjuk az idegen Search Console-tulajdonosokat, és Önnel együtt előkészítjük a felülvizsgálati kérelmet.
- Akut fertőzésnél a gyors segítség feltört weboldalakhoz átveszi a megfékezést, amíg az incidens le nem zárul és dokumentálva nem lesz.
Gyakori kérdések
Mennyi idő, amíg a Google eltávolítja a figyelmeztetést?
Ez nem jósolható meg megbízhatóan. A felülvizsgálat csak akkor kezdődik, amikor kéri a Search Console-ban, és a probléma jellegétől és mértékétől függ. Az állapotot a biztonsági problémák jelentésében látja.
Mi történik, ha túl korán kérem a felülvizsgálatot?
Ha a Google az ellenőrzéskor továbbra is káros tartalmakat talál, a kérelmet elutasítja, és a figyelmeztetés megmarad. Az ismételt elutasítások késleltethetik a következő ellenőrzést. A felülvizsgálatot ezért csak a teljes megtisztítás után kérje.
Miért nem látom magam a spam-oldalakat?
Sok feltörés csak a keresőmotoroknak vagy a Google felől érkező látogatóknak mutat spamet, a bejelentkezett adminoknak pedig a normál oldalt. Ez a technika a cloaking. A Search Console URL-vizsgálatával látja, mit hív le ténylegesen a Google.
A megtisztítás után újra fel kell építenem a rangsorolásomat?
A figyelmeztetés eltávolítása után a láthatóság gyakran ismét helyreáll, de nem feltétlenül a régi szintre. Döntő, hogy a spam-URL-ek eltűnjenek az indexből, és a tényleges tartalmak változatlanul elérhetők legyenek.