Trumpai: jei svetainė nukreipia į svetimus puslapius, priežastis slypi viename iš šešių sluoksnių: DNS, CDN ar tarpinis serveris (proxy), žiniatinklio serverio konfigūracija, PHP kodas, duomenų bazė arba įtraukti skriptai. Kadangi daugelis nukreipimų veikia tik esant sąlygoms, testuokite tikslingai su skirtingomis žymėmis ir kilmės puslapiais. Pirmiausia apsaugokite lankytojus, išsaugokite pėdsakus, o pašalinę nukreipimą uždarykite įsilaužimo kelią.
Kai klientai patenka į loterijų puslapius
Pranešimas dažniausiai ateina iš išorės. Klientas parašo, kad atidaręs jūsų svetainę pateko į loteriją ar abejotiną parduotuvę. Jūs patikrinate savo kompiuteryje, ir viskas atrodo normaliai. Tai ne prieštaravimas, o sąmoningas sprendimas: nukreipimai po įsilaužimo sukurti taip, kad operatoriai juos pastebėtų kuo vėliau.
Jūsų įmonei tai skausminga. Lankytojai praranda pasitikėjimą, paieškos sistemos ir naršyklės gali rodyti įspėjimus, o tikslo puslapiuose kartais laukia sukčiavimas ar kenkėjiškos programos. Be to, nukreipimas beveik niekada nėra vienintelis dalykas, kurį palieka užpuolikas.
Po PHP2Shell, pažeidžiamumų CVE-2026-109618 ir CVE-2026-109619, leidžiančių vykdyti kodą be prisijungimo, nukreipimai yra matomos pasekmės, kurias operatoriai turėtų vertinti rimtai. Tai nėra specifinis PHP2Shell požymis, nes patvirtintų kompromitavimo indikatorių (Indicators of Compromise) nėra. Bet jie rodo, kad kažkas galėjo keisti jūsų svetainės turinį.
Nukreipimai dažnai ateina ne vieni. Kas nukreipia lankytojus, dažnai papildomai sukuria šlamšto puslapių paieškos sistemoms, kad pritrauktų dar daugiau srauto. Jei „Google“ jau rodo pranešimą apie įsilaužusią svetainę, patikros eigą aprašo gidas Google įspėjimo pašalinimas. Svetimus puslapius paieškos indekse nagrinėja straipsnis SEO šlamštas ir svetimi puslapiai Google indekse.
Kodėl svetainė nukreipia tik kartais
Sąlyginiai nukreipimai vertina užklausos požymius. Dažniausi tokie:
- Kilmė: nukreipiamas tik tas, kas ateina iš paieškos rezultato. Tiesioginiai kreipiniai rodo įprastą puslapį.
- Įrenginys: paveikti tik mobilieji įrenginiai arba tam tikros naršyklės.
- Pasikartojimas: nukreipimas suveikia kartą kiekvienam lankytojui, paskui nustato slapuką (cookie) ir nebeveikia.
- Prisijungimas: kas prisijungęs prie CMS, niekada nieko nemato.
- Laikas ar atsitiktinumas: nukreipimas suveikia tik dalyje kreipinių.
Todėl netestuokite tik savo darbo vietoje. Skaitymo užklausa parodo, kaip serveris atsako į skirtingus kreipinius:
# Įprastas kreipinys: būsenos kodas ir galimo nukreipimo tikslas
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' https://www.ihre-domain.de/
# Kreipinys tarsi iš mobiliojo įrenginio, atėjusio iš paieškos
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' \
-A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 Mobile/15E148" \
-e "https://www.google.com/" https://www.ihre-domain.de/
Jei svetimas tikslas atsiranda tik per antrą užklausą, nukreipimas yra serveryje. Jei abi atrodo nepastebimos, jis gali vykti naršyklėje per JavaScript. Tada padeda žvilgsnis į pateikto puslapio šaltinio kodą arba naršyklės kūrėjo įrankių tinklo vaizdą, geriausia privačiame lange.
Svetainė nukreipia: šešių sluoksnių patikra
Eikite iš išorės į vidų. Taip išvengsite valandų paieškos kode, kai priežastis slypi DNS įraše:
| Sluoksnis | Tipinė priežastis | Patikra |
|---|---|---|
| Domenas ir DNS | pakeistas A įrašas arba vardų serveris | palyginti DNS įrašus su žinoma tiksline būsena, patikrinti registratoriaus prieigą |
| CDN ar proxy | svetima nukreipimo ar puslapio taisyklė | peržiūrėti taisykles teikėjo kliento zonoje |
| Žiniatinklio serveris | taisyklės .htaccess faile ar serverio konfigūracijoje |
ieškoti Rewrite ir Redirect taisyklių su sąlygomis |
| PHP kodas | papildomas kodas įėjimo failuose, šablonuose ar plėtiniuose | palyginti branduolio failus su originalu |
| Duomenų bazė | pakeisti adresų nustatymai, skriptai turinyje ar parinktyse | tikslingai ieškoti svetimų adresų ir skriptų |
| Išoriniai skriptai | pažeistas trečiosios šalies įtraukimas | išvardyti įtrauktų skriptų šaltinius ir juos įvertinti |
Išoriniai sluoksniai dažnai praleidžiami, nes jie nėra jūsų serveryje. Būtent todėl jie pavojingi: kas perėmė paskyrą registratoriuje ar CDN teikėjo sistemoje, serverio prieigos nereikalauja. Ten be taisyklių patikrinkite ir tai, kas turi prieigą bei ar įjungtas dviejų veiksnių prisijungimas.
Žiniatinklio serverio sluoksniui tinka skaitymo paieškos pagal taisykles, kurios reaguoja į kilmę ar įrenginį:
# Nukreipimo taisyklės su sąlygomis visuose .htaccess failuose
grep -rn --include='.htaccess' -iE 'Rewrite(Cond|Rule)|Redirect' /var/www/ihre-website
# Nukreipimai serverio konfigūracijoje (Apache ir Nginx)
grep -rn -iE 'Rewrite|Redirect|return 30[12]' /etc/apache2/ /etc/nginx/ 2>/dev/null
PHP sluoksniui eigą aprašo CMS branduolio failų palyginimas su originalu. Duomenų bazei verta perskaityti straipsnį Duomenų bazės patikra dėl įterpto kodo.
Kai priežastis yra už serverio ribų
Ne kiekvienas nukreipimas reiškia pažeistą serverį. Trečiųjų šalių įtraukti skriptai, pavyzdžiui, pokalbiams, statistikai ar reklamai, vykdomi tiesiai lankytojų naršyklėje. Jei toks teikėjas pažeidžiamas arba baigia galioti domenas, iš kurio jūsų puslapis vis dar įkelia skriptą, per jį gali atsirasti nukreipimas, nors jūsų serveryje nepakeistas nė vienas failas.
Turinio saugumo politika (Content Security Policy) apriboja, iš kokių šaltinių naršyklė gali įkelti skriptus, ir tokius atvejus padaro matomus. Nuorodų rasite skyriuje Saugumo antraštės svetainėms. Labai retai priežastis slypi pačiame lankytojui: reklaminė ar kenkėjiška programa jo kompiuteryje tada nukreipia ir kitose svetainėse.
Teisinga eiga po radinio
- Apsaugoti lankytojus: perjungti svetainę į priežiūros režimą arba užblokuoti paveiktas sritis.
- Išsaugoti pėdsakus: nukopijuoti įtartinas taisykles, failus ir duomenų bazės turinį su laiko žymomis prieš juos šalinant.
- Pašalinti: pašalinti nukreipimą ir pakeisti branduolio failus švariu šaltiniu.
- Uždaryti įsilaužimo kelią: atnaujinti PHP į ištaisytą versiją, atnaujinti CMS ir plėtinius, iš naujo paleisti visus darbinius procesus (worker), atnaujinti prieigas.
- Patikrinti iš naujo: dar kartą patikrinti visais antrame skyriuje pateiktais variantais ir stebėti „Search Console“.
Pašalinta nukreipimo taisyklė neįrodo, kad svetainė švari. Jei taisyklė sugrįžta po kelių dienų, kažkur dar yra užpakalinės durys, kurios ją perrašo.
Kaip PHP SOS padeda konkrečiai?
- Nukreipimą atkuriame su skirtingomis žymėmis ir kilmės puslapiais ir susiaurinam sluoksnį.
- Išsaugome pėdsakus ir šaliname nukreipimus, kenkėjišką kodą ir užpakalines duris failuose, konfigūracijoje ir duomenų bazėje.
- Ūmaus užkrėtimo atveju mūsų avarinė pagalba įsilaužus į svetainę suvaldo situaciją, kol incidentas bus užbaigtas ir dokumentuotas.
- Patikriname įtrauktus trečiųjų šalių skriptus ir rekomenduojame tinkamą turinio saugumo politiką (Content Security Policy).
Dažni klausimai
Kodėl pats nematau nukreipimo?
Daugelis nukreipimų veikia tik tam tikromis sąlygomis: lankytojams iš „Google“ paieškos, tik mobiliuosiuose įrenginiuose, tik per pirmą apsilankymą arba ne prisijungusiems administratoriams. Todėl testuokite skirtingais įrenginiais, neprisijungę ir per paieškos rezultato nuorodą.
Ar nukreipimas gali atsirasti ir be įsilaužimo?
Taip. Pasenęs papildinys, pažeistas išorinis skriptas, neteisingi DNS įrašai ar kenkėjiška programa lankytojo kompiuteryje gali turėti panašų poveikį. Jei priežastis yra jūsų kompiuteryje, nukreipimas paprastai pasireiškia ir kitose svetainėse.
Kur užpuolikai dažniausiai slepia nukreipimus?
Tipiškos vietos: taisyklės .htaccess faile ar serverio konfigūracijoje, papildomas kodas programos įėjimo failuose, pakeisti adresų nustatymai duomenų bazėje ir įterpti JavaScript fragmentai turinyje ar šablonuose.
Ką turiu daryti nedelsdamas, jei mano svetainė nukreipia?
Apsaugoti lankytojus, pavyzdžiui, įjungti priežiūros režimą, ir išsaugoti pėdsakus prieš ką nors trinant. Tada sluoksnis po sluoksnio ieškoti priežasties ir uždaryti įsilaužimo kelią. Pašalinta taisyklė be uždarytos spragos paprastai sugrįžta.