Īsi: Lai noņemtu Google brīdinājumu par uzlauztu vietni, vispirms jāaizver cēlonis un jānoņem viss kaitīgais saturs. Tikai pēc tam Google Search Console pieprasāt pārskatīšanu. Kas pieprasa pārāk agri vai dzēš tikai redzamās pēdas, riskē ar noraidījumu, jo slēptās piekļuves un surogātlapas parasti paliek.
Kādus brīdinājumus Google rāda un kāpēc
Google par kompromitētām vietnēm brīdina divējādi. Meklēšanas rezultātos zem jūsu ieraksta var parādīties norāde, ka vietne, iespējams, ir uzlauzta. Nopietnāku atradumu gadījumā, piemēram, ļaunprogrammatūras vai pikšķerēšanas, pārlūki caur Google Safe Browsing parāda sarkanu brīdinājuma lapu vēl pirms vietne vispār tiek ielādēta.
Cēlonis gandrīz vienmēr ir saturs, ko uzbrucēji ievadījuši: daudzas surogātlapas par zālēm, azartspēlēm vai zīmolu viltojumiem, pāradresācijas uz svešām lapām, apmeklētājiem paredzēts kaitīgs kods vai viltotas pieteikšanās lapas. Jūsu uzņēmumam tas nozīmē mazāk apmeklētāju, nedrošus klientus un veikalā tiešus apgrozījuma zaudējumus.
Kādas problēmas Google atradis, redzams Google Search Console sadaļā Drošība un manuālās darbības, pārskatā Drošības problēmas. Tur bieži ir nosauktas piemēru URL, kas dod pirmo atbalsta punktu.
Vispirms iztīrīt, tad pieprasīt pārskatīšanu
Secība ir izšķiroša. Google brīdinājums ir simptoms; kamēr robs ir atvērts un slēptā piekļuve pastāv, saturs atgriežas, bieži jau īsi pēc dzēšanas.
CMS atjauninājums vien neaizver katru ievainojamību. PHP2Shell gadījumā ievainojamība ir pašā PHP, un ielāps neizņem jau ievadītu ļaunprogrammatūru. Pārbaudiet PHP versiju, ielāpa stāvokli un failus, pirms lūdzat Google pārskatīšanu.
Iztīrīšanai lietderīgi vietni uz laiku pārslēgt uzturēšanas režīmā vai atvienot no tīkla. Tā darba laikā pasargājat apmeklētājus un neļaujat uzbrucējam ievietot papildu saturu. Uzturēšanas režīmam tajā pašā laikā jāatdod statusa kods 503, lai meklētājprogrammas pārtraukumu atpazītu kā pagaidu.
Google brīdinājuma par uzlauztu vietni noņemšana: solis pa solim
- Saglabāt pierādījumus: pirms kaut ko dzēšat, saglabājiet žurnālus, failu un datubāzes kopiju.
- Pārbaudīt Search Console: izlasīt drošības problēmu pārskatu, pierakstīt piemēru URL un sadaļā Iestatījumi, Lietotāji un atļaujas meklēt nezināmus īpašniekus.
- Aizvērt robu: atjaunināt PHP, CMS, motīvus un paplašinājumus, noņemt neizmantotos paplašinājumus, pēc atjauninājuma pārstartēt PHP darbprocesus.
- Noņemt kaitīgo kodu: CMS kodola failus aizstāt no tīra avota, augšupielāžu un kešatmiņas direktorijus pārmeklēt uz PHP failiem,
.htaccessun servera konfigurāciju pārbaudīt uz svešām pāradresācijām. - Iztīrīt datubāzi: noņemt surogāta ierakstus, ievadītus skriptus saturā un opcijās, kā arī nezināmus administratoru kontus.
- Atjaunot piekļuves: nomainīt paroles CMS, hostingam, datubāzei, FTP un SSH, CMS drošības atslēgas ģenerēt no jauna.
- Pārbaudīt rezultātu: piemēru URL pārbaudīt ar URL pārbaudi un savu vietni atvērt tā, kā to redz Google.
- Pieprasīt pārskatīšanu: drošības problēmu pārskatā pieprasīt pārskatīšanu un īsi aprakstīt, kas atrasts un novērsts.
Slēptās pēdas: surogātlapas, Cloaking un svešie īpašnieki
Daudzi uzlaušanas gadījumi ir veidoti tā, lai operatori tos nepamanītu. Surogāta saturs parādās tikai Googlebot vai apmeklētājiem, kas nāk no meklēšanas. Pieteikti administratori redz normālo vietni. URL pārbaude Search Console turpretī rāda izsaukumu no Google skatpunkta.
Vēl viena norāde ir meklēšana ar site:jusudomens.de kombinācijā ar tipiskiem surogāta vārdiem. Ja tur parādās lapas, ko jūs nekad neesat izveidojis, tā ir skaidra pazīme. Pārbaudiet arī iesniegtās vietnes kartes: uzbrucēji dažkārt izveido savas vietnes kartes, lai surogātlapas indeksētos ātrāk.
Serverī vienkāršas, tikai nolasošas pārbaudes palīdz meklēt mainītus failus:
# PHP un HTML faili, kas mainīti pēdējās 14 dienās
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP faili augšupielāžu direktorijos (parasti to nevajadzētu būt)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Pāradresācijas noteikumi .htaccess failos
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Noteikumi, kas pāradresē atšķirīgi atkarībā no Referer vai User-Agent, ir tipiska Cloaking pazīme. WordPress gadījumā papildus rīkojieties mērķtiecīgi pēc norādēm ceļvedī Backdoor atrašana WordPress.
Kas notiek pēc pieprasījuma
Google vietni pārbauda atkārtoti un rezultātu paziņo Search Console. Ja pieprasījums tiek pieņemts, brīdinājumi pazūd. Ja tas tiek noraidīts, Google parasti nosauc citus piemēru URL. Tad mērķtiecīgi meklējiet palikušo saturu un pieprasiet atkārtoti tikai pēc iztīrīšanas.
Surogāta URL, ko Google jau pazīst, pēc iztīrīšanas jāatdod statuss 404 vai 410, lai tie izkristu no indeksa. Nepāradresējiet tos masveidā uz sākumlapu. Nākamajās nedēļās turpiniet vērot Search Console, jo surogāta atkārtota parādīšanās norāda uz nepamanītu slēpto piekļuvi. Pilnīgu pēcapstrādi apraksta mūsu Kontrolsaraksts pēc uzlaušanas.
Lai brīdinājums neatkārtotos, pēc iztīrīšanas ilgtermiņā jāsakārto dažas lietas:
- PHP, CMS, motīvu un paplašinājumu atjauninājumi tiek ieviesti savlaicīgi, un par to kāds ir atbildīgs.
- Neizmantotie paplašinājumi, vecās testa instalācijas un aizmirstie apakšdirektoriji ir noņemti.
- Administratoru piekļuves ir personīgas un aizsargātas ar otro faktoru.
- Failu uzraudzība ziņo par jauniem PHP failiem augšupielāžu un kešatmiņas direktorijos.
- Search Console e-pasta paziņojumi nonāk adresē, ko regulāri lasa.
Ilgāku pārtraukumu vai skartu klientu datu gadījumā informējiet par stāvokli arī savus klientus lietišķi. Atklāta, mierīga komunikācija uzticību parasti aizsargā labāk nekā klusēšana.
Kā PHP SOS palīdz konkrēti?
- Vispirms saglabājam pēdas un noskaidrojam, pa kuru robu uzbrucējs iekļuva.
- Iztīrām failus, datubāzi un servera konfigurāciju ļaunprogrammatūras noņemšanas ietvaros un aizveram cēloni.
- Pārbaudām vietni no Google skatpunkta, noņemam svešus Search Console īpašniekus un kopā ar jums sagatavojam pārskatīšanas pieprasījumu.
- Akūta inficējuma gadījumā ierobežošanu, līdz incidents ir noslēgts un dokumentēts, uzņemas mūsu ārkārtas palīdzība uzlauztām vietnēm.
Biežāk uzdotie jautājumi
Cik ilgi jāgaida, kamēr Google noņem brīdinājumu?
To nevar uzticami prognozēt. Pārskatīšana sākas tikai tad, kad to pieprasāt Search Console, un tā ir atkarīga no problēmas veida un apjoma. Stāvokli redzat drošības problēmu pārskatā.
Kas notiek, ja pārskatīšanu pieprasu pārāk agri?
Ja Google pārbaudē joprojām atrod kaitīgu saturu, pieprasījums tiek noraidīts un brīdinājums paliek. Atkārtoti noraidījumi var aizkavēt nākamo pārbaudi. Tāpēc pārskatīšanu pieprasiet tikai pēc pilnīgas iztīrīšanas.
Kāpēc pats neredzu surogātlapas?
Daudzi uzlaušanas gadījumi surogātu rāda tikai meklētājprogrammām vai apmeklētājiem, kas nāk no Google, bet pieteiktiem administratoriem rāda normālo lapu. Šo paņēmienu sauc par Cloaking. Ar URL pārbaudi Search Console redzat, ko Google patiešām saņem.
Vai pēc iztīrīšanas man reitingi jāveido no jauna?
Pēc brīdinājuma noņemšanas redzamība bieži atkal atgūstas, bet ne obligāti līdz vecajam līmenim. Izšķirošais ir, lai surogāta URL pazustu no indeksa un īstais saturs paliktu nemainīti pieejams.