Накратко: За да премахнете предупреждението на Google за хакнат уебсайт, първо трябва да затворите причината и да премахнете цялото вредно съдържание. Едва след това поискайте повторна проверка в Google Search Console. Който поиска твърде рано или изтрие само видимите следи, рискува отказ, защото задните вратички и скритите спам страници обикновено продължават да съществуват.
Какви предупреждения показва Google и защо
Google предупреждава за компрометирани уебсайтове по два начина. В резултатите от търсенето под Вашия запис може да се появи указание, че уебсайтът евентуално е хакнат. При по-тежки находки, например зловреден софтуер или фишинг, браузърите показват чрез Google Safe Browsing червена страница с предупреждение, още преди уебсайтът изобщо да се зареди.
Причина са почти винаги съдържания, внедрени от атакуващи: множество спам страници за лекарства, хазарт или фалшифицирани марки, пренасочвания към чужди страници, злонамерен код за посетителите или фалшиви страници за вход. За Вашата фирма това означава по-малко посетители, несигурни клиенти и в магазина директни загуби на оборот.
Кои проблеми е открил Google, е посочено в Google Search Console в раздел Сигурност и ръчни действия (Security & Manual Actions), в отчета Проблеми със сигурността (Security issues). Там често са посочени примерни URL адреси, които дават първа опорна точка.
Първо почистване, после заявка за повторна проверка
Редът е решаващ. Предупреждението на Google е симптом; докато уязвимостта е отворена и има задна вратичка, съдържанията се връщат, често скоро след изтриването.
Актуализация на CMS сама не затваря всяка уязвимост. При PHP2Shell слабостта е в самия PHP, а пачът не премахва вече внедрен зловреден софтуер. Проверете версията на PHP, състоянието на пача и файловете, преди да поискате повторна проверка от Google.
За почистването е разумно уебсайтът временно да се премине в режим на поддръжка или да се изключи от мрежата. Така защитавате посетителите, докато работите, и пречите на атакуващия да добавя още съдържание. Режимът на поддръжка при това трябва да връща статус кода 503, за да разпознаят търсачките прекъсването като временно.
Премахване на предупреждението на Google за хакнат уебсайт: стъпка по стъпка
- Запазете доказателствата: Запазете логове, копие на файловете и на базата данни, преди да изтриете нещо.
- Проверете Search Console: Прочетете отчета за проблеми със сигурността, запишете примерните URL адреси и под Настройки, Потребители и разрешения потърсете непознати собственици.
- Затворете уязвимостта: Актуализирайте PHP, CMS, теми и разширения, премахнете неизползваните разширения, рестартирайте PHP worker процесите след актуализацията.
- Премахнете злонамерения код: Заменете основните файлове на CMS от чист източник, претърсете директориите за качвания и кеш за PHP файлове, проверете
.htaccessи конфигурацията на сървъра за чужди пренасочвания. - Почистете базата данни: Премахнете спам публикации, внедрени скриптове в съдържанието и опциите, както и непознати администраторски акаунти.
- Подновете достъпите: Сменете паролите за CMS, хостинг, база данни, FTP и SSH, генерирайте наново ключовете за сигурност на CMS.
- Проверете резултата: Тествайте примерните URL адреси с проверката на URL и отворете собствения си уебсайт така, както го вижда Google.
- Поискайте повторна проверка: В отчета за проблеми със сигурността заявете повторната проверка и опишете накратко какво е намерено и поправено.
Скрити следи: спам страници, cloaking и чужди собственици
Много хакове са изградени така, че операторите да не ги забелязват. Спам съдържанията се появяват само за Googlebot или за посетители, които идват през търсенето. Влезлите администратори виждат нормалния уебсайт. Проверката на URL в Search Console, напротив, показва извикването от гледна точка на Google.
Друга опорна точка е търсене със site:ihredomain.de в комбинация с типични спам термини. Ако там се появят страници, които никога не сте създавали, това е ясен знак. Проверете и подадените sitemap-ове: атакуващите понякога създават собствени sitemap-ове, за да индексират по-бързо спам страниците си.
На сървъра прости, само четящи проверки помагат при търсенето на променени файлове:
# PHP и HTML файлове, променени през последните 14 дни
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP файлове в директории за качвания (обикновено не би трябвало да ги има)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Правила за пренасочване във файловете .htaccess
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Правила, които пренасочват различно според Referer или User-Agent, са типичен белег на cloaking. При WordPress действайте допълнително целенасочено по указанията в наръчника Откриване на задни вратички в WordPress.
Какво се случва след заявката
Google проверява уебсайта отново и съобщава резултата в Search Console. Ако заявката бъде приета, предупрежденията изчезват. Ако бъде отхвърлена, Google обикновено посочва още примерни URL адреси. Тогава търсите целенасочено останалото съдържание и отново подавате заявка едва след почистването.
Спам URL адреси, които Google вече познава, след почистването трябва да връщат статус 404 или 410, за да отпаднат от индекса. Не ги пренасочвайте общо към началната страница. Наблюдавайте Search Console и през следващите седмици, защото повторната поява на спам сочи към пропусната задна вратичка. Пълно последващо обработване описва нашият контролен списък след хакване.
За да не се повтаря предупреждението, след почистването някои неща трябва да се уредят трайно:
- Актуализациите на PHP, CMS, теми и разширения се внасят своевременно и някой отговаря за това.
- Неизползваните разширения, старите тестови инсталации и забравените поддиректории са премахнати.
- Администраторските достъпи са лични и защитени с втори фактор.
- Наблюдение на файловете съобщава за нови PHP файлове в директориите за качвания и кеш.
- Имейл известията на Search Console стигат до адрес, който се чете редовно.
При по-дълги откази или засегнати данни на клиенти информирайте обективно и клиентите си за състоянието. Открита, спокойна комуникация обикновено пази доверието по-добре от мълчанието.
Как конкретно помага PHP SOS?
- Първо запазваме следите и изясняваме през каква уязвимост е влязъл атакуващият.
- Почистваме файловете, базата данни и конфигурацията на сървъра в рамките на премахването на злонамерен софтуер и затваряме причината.
- Проверяваме уебсайта от гледна точка на Google, премахваме чужди собственици в Search Console и подготвяме с Вас заявката за повторна проверка.
- При остро заразяване нашата спешна помощ при хакнати уебсайтове поема ограничаването, докато инцидентът бъде приключен и документиран.
Често задавани въпроси
Колко време отнема, докато Google премахне предупреждението?
Това не може да се предвиди надеждно. Проверката започва едва когато я поискате в Search Console и зависи от вида и обема на проблема. Състоянието виждате в отчета за проблеми със сигурността.
Какво става, ако поискам повторната проверка твърде рано?
Ако Google при проверката още намира вредно съдържание, заявката се отхвърля и предупреждението остава. Повторните откази могат да забавят следващата проверка. Затова поискайте повторната проверка едва след пълно почистване.
Защо не виждам сам спам страниците?
Много хакове показват спама само на търсачките или на посетители, които идват през Google, а на влезлите администратори показват нормалната страница. Тази техника се нарича cloaking. С проверката на URL в Search Console виждате какво Google действително извиква.
Трябва ли след почистването да изграждам наново позициите си?
След премахването на предупреждението видимостта често се възстановява, но не непременно до предишното ниво. Решаващо е спам URL адресите да изчезнат от индекса, а същинското съдържание да остане достъпно непроменено.