Trumpai: Norėdami pašalinti Google įspėjimą apie nulaužtą svetainę, pirmiausia turite uždaryti priežastį ir pašalinti visą žalingą turinį. Tik po to Google Search Console paprašote peržiūros. Kas prašo per anksti arba ištrina tik matomus pėdsakus, rizikuoja gauti atmetimą, nes užpakalinės durys ir paslėpti šlamšto puslapiai dažniausiai išlieka.
Kokius įspėjimus Google rodo ir kodėl
Google apie kompromituotas svetaines įspėja dviem būdais. Paieškos rezultatuose po jūsų įrašu gali pasirodyti pastaba, kad svetainė galbūt nulaužta. Sunkesniais atvejais, pavyzdžiui, esant kenkėjiškai programinei įrangai ar sukčiavimui (phishing), naršyklės per Google Safe Browsing rodo raudoną įspėjimo puslapį dar prieš svetainei įsikeliant.
Priežastis beveik visada yra turinys, kurį įterpė užpuolikai: daugybė šlamšto puslapių vaistams, lošimams ar prekių ženklų klastotėms, peradresavimai į svetimas svetaines, kenkėjiškas kodas lankytojams ar suklastoti prisijungimo puslapiai. Jūsų įmonei tai reiškia mažiau lankytojų, sutrikusius klientus, o parduotuvėje tiesioginius pardavimų nuostolius.
Kokias problemas Google rado, matyti Google Search Console skiltyje Saugumas ir neautomatiniai veiksmai, ataskaitoje Saugumo problemos. Ten dažnai nurodyti pavyzdiniai URL, kurie suteikia pirmąją užuominą.
Pirmiausia išvalyti, tada prašyti peržiūros
Eilė lemiama. Google įspėjimas yra simptomas; kol spraga atvira ir užpakalinės durys yra, turinys sugrįžta, dažnai netrukus po ištrynimo.
Vien CMS atnaujinimas neuždaro kiekvieno pažeidžiamumo. PHP2Shell atveju silpnoji vieta yra pačiame PHP, o pataisa neišvalo jau įterptos kenkėjiškos programinės įrangos. Prieš prašydami Google peržiūros patikrinkite PHP versiją, pataisų būseną ir failus.
Valant prasminga svetainę laikinai perjungti į techninės priežiūros režimą arba atjungti nuo tinklo. Taip saugote lankytojus, kol dirbate, ir neleidžiate užpuolikui įterpti naujo turinio. Techninės priežiūros režimas turėtų grąžinti būsenos kodą 503, kad paieškos sistemos pertrauką atpažintų kaip laikiną.
Google įspėjimo dėl nulaužtos svetainės pašalinimas žingsnis po žingsnio
- Išsaugoti įrodymus: prieš ką nors trindami išsaugokite žurnalus, failų ir duomenų bazės kopiją.
- Patikrinti Search Console: perskaityti saugumo problemų ataskaitą, užsirašyti pavyzdinius URL ir skiltyje Nustatymai, Naudotojai ir leidimai ieškoti nežinomų savininkų.
- Uždaryti spragą: atnaujinti PHP, CMS, temas ir plėtinius, pašalinti nenaudojamus plėtinius, po atnaujinimo iš naujo paleisti PHP darbinius procesus.
- Pašalinti kenkėjišką kodą: CMS branduolio failus pakeisti iš švaraus šaltinio, įkėlimų ir talpyklos katalogus peržiūrėti dėl PHP failų,
.htaccessir serverio konfigūraciją patikrinti dėl svetimų peradresavimų. - Išvalyti duomenų bazę: pašalinti šlamšto įrašus, turinyje ir nustatymuose įterptus skriptus bei nežinomas administratoriaus paskyras.
- Atnaujinti prieigas: pakeisti CMS, hostingo, duomenų bazės, FTP ir SSH slaptažodžius, iš naujo sugeneruoti CMS saugumo raktus.
- Patikrinti rezultatą: pavyzdinius URL išbandyti su URL patikra ir savo svetainę atidaryti taip, kaip ją mato Google.
- Paprašyti peržiūros: saugumo problemų ataskaitoje paprašyti peržiūros ir trumpai aprašyti, kas rasta ir pašalinta.
Paslėpti pėdsakai: šlamšto puslapiai, cloaking ir svetimi savininkai
Daug įsilaužimų sukurti taip, kad operatoriai jų nepastebėtų. Šlamšto turinys rodomas tik Googlebot arba lankytojams, atėjusiems per paiešką. Prisijungę administratoriai mato įprastą svetainę. URL patikra Search Console, priešingai, rodo gavimą Google akimis.
Dar viena užuomina yra paieška site:jusudomenas.lt kartu su tipiniais šlamšto žodžiais. Jei pasirodo puslapiai, kurių niekada nesukūrėte, tai aiškus ženklas. Patikrinkite ir pateiktus svetainės žemėlapius (sitemap): užpuolikai kartais sukuria savo, kad šlamšto puslapiai būtų greičiau indeksuoti.
Serveryje paprastos, tik skaitančios patikros padeda ieškoti pakeistų failų:
# PHP ir HTML failai, pakeisti per paskutines 14 dienų
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP failai įkėlimų kataloguose (paprastai jų neturėtų būti)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Peradresavimo taisyklės .htaccess failuose
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Taisyklės, kurios peradresuoja skirtingai pagal Referer ar User-Agent, yra tipinis cloaking požymis. WordPress atveju papildomai tikslingai vadovaukitės patarimais vadove Užpakalinių durų paieška WordPress.
Kas vyksta po prašymo
Google svetainę patikrina iš naujo ir rezultatą pranešą Search Console. Jei prašymas priimamas, įspėjimai išnyksta. Jei atmetamas, Google dažniausiai nurodo daugiau pavyzdinių URL. Tuomet tikslingai ieškote likusio turinio ir peržiūros iš naujo prašote tik po išvalymo.
Šlamšto URL, kuriuos Google jau žino, po išvalymo turėtų grąžinti būseną 404 arba 410, kad iškristų iš indekso. Nenukreipkite jų bendrai į pradžios puslapį. Kitas savaites toliau stebėkite Search Console, nes pakartotinis šlamšto atsiradimas rodo praleistas užpakalines duris. Pilną tolesnį apdorojimą aprašo mūsų kontrolinis sąrašas po įsilaužimo.
Kad įspėjimas nepasikartotų, po išvalymo keletą dalykų reikėtų sutvarkyti ilgam:
- PHP, CMS, temų ir plėtinių atnaujinimai įdiegiami laiku, ir už tai kas nors atsakingas.
- Nenaudojami plėtiniai, senos bandomosios instaliacijos ir užmirštos poaplankiai pašalinti.
- Administratorių prieigos asmeninės ir apsaugotos antru veiksniu.
- Failų stebėsena praneša apie naujus PHP failus įkėlimų ir talpyklos kataloguose.
- Search Console el. pašto pranešimai pasiekia adresą, kuris reguliariai skaitomas.
Esant ilgesniems sutrikimams ar paveiktiems klientų duomenims, taip pat dalykiškai informuokite savo klientus apie padėtį. Atviras, ramus bendravimas pasitikėjimą paprastai saugo geriau nei tylėjimas.
Kaip PHP SOS padeda konkrečiai?
- Pirmiausia išsaugome pėdsakus ir išsiaiškiname, per kurią spragą užpuolikas pateko.
- Failus, duomenų bazę ir serverio konfigūraciją išvalome per kenkėjiškų programų šalinimą ir uždarome priežastį.
- Tikriname svetainę Google akimis, pašaliname svetimus Search Console savininkus ir kartu su jumis paruošiame peržiūros prašymą.
- Esant aktyviam užkrėtimui mūsų avarinė pagalba nulaužtoms svetainėms perima suvaldymą, kol incidentas bus užbaigtas ir dokumentuotas.
Dažni klausimai
Kiek laiko trunka, kol Google pašalina įspėjimą?
To patikimai nuspėti neįmanoma. Peržiūra prasideda tik tada, kai jos paprašote Search Console, ir priklauso nuo problemos rūšies bei apimties. Būseną matote saugumo problemų ataskaitoje.
Kas nutinka, jei peržiūros paprašysiu per anksti?
Jei Google patikros metu vis dar randa žalingo turinio, prašymas atmetamas ir įspėjimas lieka. Pakartotinis atmetimas gali sulėtinti kitą patikrą. Todėl peržiūros prašykite tik po visiško išvalymo.
Kodėl pats nematau šlamšto puslapių?
Daugelis įsilaužimų šlamštą rodo tik paieškos sistemoms arba lankytojams, atėjusiems per Google, o prisijungusiems administratoriams rodo įprastą puslapį. Ši technika vadinasi cloaking. Su URL patikra Search Console matote, ką Google iš tikrųjų gauna.
Ar po išvalymo man reikės iš naujo kurti reitingus?
Pašalinus įspėjimą matomumas dažnai atsigauna, bet nebūtinai iki ankstesnio lygio. Lemia tai, kad šlamšto URL išnyktų iš indekso, o tikrasis turinys liktų pasiekiamas nepakeistas.