Накратко: Ако хостинг доставчикът е блокирал сайта, това обикновено е указание за зловреден код или злоупотреба, но може да е и предпазливост. Отблокира се по правило едва когато причината е отстранена. Засегнати ли сте? Свържете се с нас веднага. Изясняваме положението отдалечено, почистваме акаунта и съгласуваме отблокирането с Вашия хостинг доставчик.
Сега не трийте нищо и не инсталирайте наново. Не го правете и по настояване на хостинг доставчика. Следите, логовете и файловете трябва да се запазят, докато всичко бъде запазено. Обадете се или пишете по WhatsApp, или използвайте Съобщете за спешен случай.
Блокиран ли е Вашият сайт?
Блокирането се проявява много различно:
- страницата не е достъпна или показва страница с указание от хостинг доставчика
- имейл или тикет споменава „malware“, „abuse“, „phishing“ или „spam“
- хостинг панелът е блокиран, FTP и пощата вече не работят
- изключени са само отделни функции, например изпълнението на PHP или изпращането на поща
- сайтът работи, но хостинг доставчикът изисква мерки в определен срок
Прочетете съобщението внимателно: често в него има имена на файлове, моменти или съобщения, важни за анализа. Който е изключен превантивно, обикновено го познава по това, че хостинг доставчикът не посочва конкретен файл. И тук остава проверката, защото само изключването не доказва нито заразата, нито отсъствието ѝ.
Какво да направите веднага
- Запазете съобщението на хостинг доставчика: Пазете имейла, тикета и снимка на екрана с дата. Какъв срок е посочен?
- Не почиствайте на своя глава. Който трие или качва наново файлове, може да унищожи следи и рискува ново блокиране.
- Помолете любезно хостинг доставчика за следното: да посочи местата на находките, да запази логовете за периода, да запази достъпа само за четене или чрез експорт на резервно копие. Шаблон за запитването ще намерите в Как да попитате хостинг доставчика за състоянието на пача.
- Проверете изпращането на поща: Ако от сървъра е излизал спам, блокиранията иначе остават. Указания за причината дава Сървърът изпраща спам.
- Запишете достъпите: панел, FTP, SSH, база данни, административна част на CMS. Паролите се сменят едва след уточняване.
- Изяснете търговските последици: Критична ли е за бизнеса Ви достъпността на сайта или на имейла? Тогава ни го кажете веднага.
- Съобщете ни, преди да оставите сроковете да изтекат или да смените хостинг доставчика.
Как конкретно помага PHP SOS?
- Преглед на положението: Четем съобщението на хостинг доставчика, изясняваме акаунта, обхвата и системите и обсъждаме кои функции още са достъпни.
- Запазване и ограничаване: Доколкото хостинг доставчикът дава достъп, запазваме файловете, базата данни и логовете и прекъсваме достъпи, на които вече не може да се вярва.
- Проверка и почистване: Търсим уеб шелове, манипулирани файлове, чужди акаунти и механизми, които зареждат зловреден код наново. Процесът отговаря на Премахване на зловреден софтуер и уеб шелове.
- Затваряне на входа и доказателство: Изясняваме как е влязъл атакуващият и затваряме уязвимостта. След това изготвяме проследимо описание, което можете да предадете на хостинг доставчика за отблокирането.
- Съгласуване и заздравяване: Ако разрешите, разговаряме с Вашия хостинг доставчик, съпровождаме отблокирането и даваме препоръки за трайната работа.
Как обработваме инцидента по принцип, описва страницата Хакнат уебсайт: Спешна помощ.
Кой е отговорен при блокирани сайтове?
При споделения хостинг хостинг доставчикът контролира сървъра и PHP, а Вие – своите файлове и приложения. Това, че хостинг доставчикът реагира на PHP2Shell, не означава, че Вашият сайт е чист. Обратно, това не освобождава Вашия хостинг доставчик от собствените му задължения. Разпределението описва Споделен хостинг: какво прави хостинг доставчикът и какво трябва да направите Вие. След блокиране си струва да попитате коя версия на PHP реално работи и потвърдено ли е състоянието на пача. Ние не твърдим доколко даден хостинг доставчик е пачнал. Това той трябва да потвърди писмено.
Смяната може да е разумна, но едва след почистването и не като път за бягство, вижте Смяна на хостинг доставчика след инцидент. Ако и Google е маркирал сайта, Премахване на предупреждението на Google описва пътя след това. Че организации изключват превантивно сайтовете си от мрежата, е известен модел; какво научават фирмите от това, е описано в Органи изключват уебсайтове от мрежата.
Какво обикновено искат да видят хостинг доставчиците за отблокирането
Всеки хостинг доставчик го прави различно, но очакването е сходно: трябва да покажете, че сте разбрали и отстранили причината, а не само симптома. Обичайни са кратко описание на находките, потвърждение, че зловредният код е премахнат и данните за достъп са сменени, и указание кой софтуер е актуализиран. Някои доставчици сами проверяват акаунта след това, други изискват още един тикет. Ние подготвяме тези документи така, че да можете да ги предадете без специални познания. Какви ангажименти поема Вашият хостинг доставчик и колко бързо реагира, решава той сам; на това нямаме влияние и го казваме открито.
Какво да ни изпратите
- съобщението на хостинг доставчика дословно, с дата и посочения срок
- име на хостинг доставчика, тарифа и, ако е известна, версията на PHP
- адрес на сайта и други сайтове в същия акаунт
- кои функции са блокирани (сайт, поща, панел, FTP)
- контакт с агенцията или разработчика, ако има такъв
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт, който съпровожда Вашия случай и е достъпен за въпроси от Вашия хостинг доставчик. Работим отдалечено, без пътуване, в цяла Германия и Европа. Всичко се документира, обещания за продължителността не даваме, защото зависи от хостинг доставчика и от находките. Работим, докато инцидентът бъде приключен и документиран.
Засегнати ли сте? Обадете се. Помагаме Ви.
Блокирането е неприятно, но е ясен повод да действате. Свържете се с нас сега, по телефон или WhatsApp, и поемаме от първото съобщение. Съобщете за спешен случай сега
Често задавани въпроси
Защо хостинг доставчикът ми е блокирал сайта?
Обичайни причини са зловреден код в акаунта, изпращане на спам, необичайно високо натоварване или атаки, излизащи от Вашия сървър. Така хостинг доставчикът защитава другите си клиенти. Указание за блокирането обикновено има в съобщението или в клиентската зона.
Означава ли блокирането, че сайтът ми наистина е хакнат?
Не във всеки случай. Някои доставчици са изключили сайтове превантивно във връзка с PHP2Shell. Какво реално има, показва едва проверка. Самото съобщение за блокиране е първо, но не пълно указание за това.
Мога ли просто да помоля хостинг доставчика да отмени блокирането?
Може да се опита, но обикновено има малко успех, ако нищо не е почистено. Много доставчици изискват обяснение или доказателство за почистването. Ако се отблокира без отстраняване на причината, заплашва следващо блокиране.
Да сменя ли хостинг доставчика?
Не прибързано. Преместването пренася зловредния код, ако той се премести заедно със сайта, и унищожава следи. Първо почистване и изясняване на причината, после решение за хостинг доставчика.
Колко време отнема, докато сайтът ми отново е онлайн?
Зависи от обхвата на заразата, състоянието на логовете и реакцията на хостинг доставчика, затова не посочваме срокове. След първата оценка Ви казваме какво трябва да се направи и кои стъпки зависят от хостинг доставчика.