# Vietne pāradresē uz svešām lapām

> Jūsu vietne pāradresē uz svešām lapām? Pārbaudiet DNS, CDN, tīmekļa serveri, PHP kodu, datubāzi un ārējos skriptus slāni pa slānim, lai atrastu cēloni.

Avots: https://phpsos.de/lv/blog/website-leitet-um/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi sakot:** Ja vietne pāradresē uz svešām lapām, cēlonis slēpjas vienā no sešiem slāņiem: DNS, CDN vai starpniekserveris, tīmekļa servera konfigurācija, PHP kods, datubāze vai pievienotie skripti. Tā kā daudzas pāradresācijas darbojas tikai noteiktos apstākļos, testējiet mērķtiecīgi ar dažādiem identifikatoriem un izcelsmes lapām. Vispirms aizsargājiet apmeklētājus, nodrošiniet pēdas un pēc noņemšanas aizveriet ieejas vārtus.

## Ja klienti nonāk loteriju lapās

Ziņa parasti nāk no ārpuses. Klients raksta, ka, atverot jūsu lapu, nonācis loterijā vai apšaubāmā veikalā. Jūs pārbaudāt savā datorā, un viss izskatās normāli. Tā nav pretruna, bet nodoms: pāradresācijas pēc uzlaušanas ir būvētas tā, lai uzturētāji tās pamanītu pēc iespējas vēlāk.

Jūsu uzņēmumam tas ir jutīgi. Apmeklētāji zaudē uzticību, meklētājprogrammas un pārlūki var rādīt brīdinājumus, un mērķa lapās dažkārt gaida krāpšana vai ļaunprogrammatūra. Turklāt pāradresācija gandrīz nekad nav vienīgais, ko uzbrucējs atstāj.

Pēc PHP2Shell, ievainojamībām CVE-2026-109618 un CVE-2026-109619 ar koda izpildi bez pieteikšanās, pāradresācijas pieder pie redzamajām sekām, kuras uzturētājiem jāuztver nopietni. Tās nav specifiska PHP2Shell norāde, jo apstiprinātu Indicators of Compromise nav. Taču tās rāda, ka kāds varēja mainīt jūsu vietnes saturu.

Bieži pāradresācijas nenāk vienas. Kas apmeklētājus pāradresē, tas bieži papildus izveido surogātpasta lapas meklētājprogrammām, lai pārtvertu vēl vairāk datplūsmas. Ja Google jau rāda norādi par uzlauztu vietni, pārbaudes ceļu apraksta ceļvedis [Google brīdinājuma noņemšana](https://phpsos.de/lv/ratgeber/google-warnung-entfernen/). Svešas lapas meklēšanas indeksā aplūko raksts [SEO surogātpasts un svešas lapas Google indeksā](https://phpsos.de/lv/blog/seo-spam-im-google-index/).

## Kāpēc vietne pāradresē tikai dažkārt

Nosacītas pāradresācijas izvērtē pieprasījuma pazīmes. Bieži tās ir šādas:

- **Izcelsme:** pāradresē tikai tos, kas nāk no meklēšanas rezultāta. Tiešie izsaukumi rāda normālo lapu.
- **Ierīce:** skarti tikai mobilie tālruņi vai noteikti pārlūki.
- **Atkārtošanās:** pāradresācija notiek vienreiz katram apmeklētājam, pēc tam iestata sīkdatni un klusē.
- **Pieteikšanās:** kas ir pieteicies CMS, tas nekad neko neredz.
- **Laiks vai nejaušība:** pāradresācija darbojas tikai daļā izsaukumu.

Tāpēc netestējiet tikai darba vietā. Ar lasāmu vaicājumu redzat, kā serveris atbild uz dažādiem izsaukumiem:

```bash
# Parasts izsaukums: statusa kods un iespējamās pāradresācijas mērķis
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' https://www.ihre-domain.de/

# Izsaukums kā no mobilās ierīces, kas nāk no meklēšanas
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' \
  -A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 Mobile/15E148" \
  -e "https://www.google.com/" https://www.ihre-domain.de/
```

Ja svešs mērķis parādās tikai otrajā vaicājumā, pāradresācija atrodas serverī. Ja abi paliek neuzkrītoši, tā var notikt pārlūkā ar JavaScript. Tad palīdz skatiens piegādātās lapas pirmkodā vai tīkla skatā pārlūka izstrādātāju rīkos, vislabāk privātā logā.

## Vietne pāradresē: sešu slāņu pārbaude

Virzieties no ārpuses uz iekšu. Tā izvairīsieties no stundām ilgas koda meklēšanas, kamēr cēlonis ir DNS ierakstā:

| Slānis | Tipisks cēlonis | Pārbaude |
|---|---|---|
| Domēns un DNS | mainīts A ieraksts vai vārdserveris | salīdzināt DNS ierakstus ar zināmo ideālo stāvokli, pārbaudīt piekļuvi reģistratoram |
| CDN vai starpniekserveris | sveši pāradresācijas vai lapu noteikumi | izskatīt noteikumus pakalpojuma sniedzēja klientu zonā |
| Tīmekļa serveris | noteikumi `.htaccess` vai servera konfigurācijā | meklēt `Rewrite` un `Redirect` noteikumus ar nosacījumiem |
| PHP kods | papildu kods ieejas failos, veidnēs vai paplašinājumos | salīdzināt kodola failus ar oriģinālu |
| Datubāze | mainīti adrešu iestatījumi, skripti saturā vai opcijās | mērķtiecīgi meklēt svešas adreses un skriptus |
| Ārējie skripti | kompromitēta trešās puses iekļaušana | uzskaitīt iekļauto skriptu avotus un tos novērtēt |

Ārējos slāņus mēdz izlaist, jo tie neatrodas paša serverī. Tieši tāpēc tie ir bīstami: kas ir pārņēmis kontu pie reģistratora vai CDN pakalpojuma sniedzēja, tam piekļuve serverim nav vajadzīga. Pārbaudiet tur līdzās noteikumiem arī to, kam ir piekļuve un vai ir aktīva divfaktoru pieteikšanās.

Tīmekļa servera slānim noder lasāma meklēšana pēc noteikumiem, kas reaģē uz izcelsmi vai ierīci:

```bash
# Pāradresācijas noteikumi ar nosacījumiem visos .htaccess failos
grep -rn --include='.htaccess' -iE 'Rewrite(Cond|Rule)|Redirect' /var/www/ihre-website

# Pāradresācijas servera konfigurācijā (Apache un Nginx)
grep -rn -iE 'Rewrite|Redirect|return 30[12]' /etc/apache2/ /etc/nginx/ 2>/dev/null
```

PHP slānim rīcību apraksta [CMS kodola failu salīdzināšana ar oriģinālu](https://phpsos.de/lv/blog/cms-kerndateien-vergleichen/). Datubāzei noder raksts [Datubāzes pārbaude, vai tajā nav ielikta koda](https://phpsos.de/lv/blog/datenbank-auf-schadcode-pruefen/).

## Ja cēlonis ir ārpus servera

Ne katra pāradresācija nozīmē kompromitētu serveri. Trešo pušu iekļautie skripti, piemēram, tērzēšanai, statistikai vai reklāmai, tiek izpildīti tieši apmeklētāju pārlūkā. Ja šāds pakalpojuma sniedzējs tiek kompromitēts vai beidzas domēns, no kura jūsu lapa joprojām ielādē skriptu, pāradresācija var rasties, pat ja jūsu serverī nekāds fails nav mainīts.

Content Security Policy ierobežo, no kādiem avotiem pārlūks drīkst ielādēt skriptus, un padara šādus gadījumus redzamus. Norādes par to atrodamas sadaļā [Vietņu drošības galvenes](https://phpsos.de/lv/ratgeber/sicherheits-header/). Ļoti reti cēlonis ir pats apmeklētājs: reklāmprogrammatūra vai ļaunprogrammatūra viņa datorā tad pāradresē arī citās vietnēs.

## Pareizā secība pēc atradumu konstatēšanas

1. **Aizsargāt apmeklētājus:** ieslēgt vietnes apkopes režīmu vai bloķēt skartās daļas.
2. **Nodrošināt pēdas:** aizdomīgos noteikumus, failus un datubāzes saturu nokopēt ar laika zīmogu, pirms tos noņemat.
3. **Noņemt:** novērst pāradresāciju un aizstāt kodola failus no tīra avota.
4. **Aizvērt ieejas vārtus:** PHP atjaunināt uz labotu versiju, atjaunināt CMS un paplašinājumus, pārstartēt visus worker procesus, atjaunot piekļuves datus.
5. **Pārtestēt:** vēlreiz pārbaudīt ar visiem variantiem no otrās sadaļas un novērot Search Console.

> **Svarīgi:**
> Noņemts pāradresācijas noteikums nav pierādījums tīrai vietnei. Ja noteikums pēc dažām dienām atgriežas, kaut kur joprojām atrodas slēpta piekļuve, kas to raksta no jauna.

## Kā PHP SOS palīdz konkrēti?

- Mēs reproducējam pāradresāciju ar dažādiem identifikatoriem un izcelsmes lapām un sašaurinām slāni.
- Mēs nodrošinām pēdas un noņemam pāradresācijas, ļaunprātīgu kodu un slēptās piekļuves failos, konfigurācijā un datubāzē.
- Akūta inficējuma gadījumā mūsu [ārkārtas palīdzība uzlauztām vietnēm](https://phpsos.de/lv/leistungen/website-gehackt-notfallhilfe/) pārņem ierobežošanu, līdz incidents ir slēgts un dokumentēts.
- Mēs pārbaudām iekļautos trešo pušu skriptus un ieteicam piemērotu Content Security Policy.


## Biežāk uzdotie jautājumi

**Kāpēc es pats pāradresāciju neredzu?**  
Daudzas pāradresācijas darbojas tikai noteiktos apstākļos: apmeklētājiem no Google meklēšanas, tikai mobilajās ierīcēs, tikai pirmajā apmeklējumā vai nepieteikušamies administratoriem. Tāpēc testējiet ar dažādām ierīcēm, bez pieteikšanās un caur meklēšanas rezultāta saiti.

**Vai pāradresācija var rasties arī bez uzlaušanas?**  
Jā. Novecojis spraudnis, kompromitēts ārējs skripts, nepareizi DNS ieraksti vai ļaunprogrammatūra apmeklētāja datorā var radīt līdzīgus efektus. Ja cēlonis ir paša dators, pāradresācija parasti notiek arī citās vietnēs.

**Kur uzbrucēji pāradresācijas visbiežāk paslēpj?**  
Tipiski ir noteikumi failā .htaccess vai servera konfigurācijā, papildu kods lietojumprogrammas ieejas failos, mainīti adrešu iestatījumi datubāzē un ielikti JavaScript fragmenti saturā vai veidnēs.

**Kas man jādara nekavējoties, ja mana vietne pāradresē?**  
Aizsargāt apmeklētājus, piemēram, ar apkopes režīmu, un nodrošināt pēdas, pirms kaut ko dzēšat. Pēc tam slāni pa slānim meklēt cēloni un aizvērt ieejas vārtus. Noņemts noteikums bez aizvērtas ievainojamības parasti atgriežas.

## Avoti

- [Google Search Console palīdzība](https://support.google.com/webmasters/)
- [Apache HTTP Server dokumentācija](https://httpd.apache.org/docs/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)