Ukratko: Kad web-stranica preusmjerava na tuđe stranice, uzrok je u jednom od šest slojeva: DNS-u, CDN-u ili proxyju, konfiguraciji web-poslužitelja, PHP kodu, bazi podataka ili uključenim skriptama. Budući da mnoga preusmjeravanja djeluju samo pod uvjetima, ciljano testirajte s različitim oznakama i stranicama podrijetla. Najprije zaštitite posjetitelje, osigurajte tragove, a nakon uklanjanja zatvorite ulaz.
Kad kupci završe na stranicama s nagradnim igrama
Prijava obično dolazi izvana. Kupac piše da je pri otvaranju Vaše stranice završio na nagradnoj igri ili sumnjivom shopu. Provjerite na vlastitom računalu i sve izgleda normalno. To nije proturječje, nego namjera: preusmjeravanja nakon hakerskog napada izgrađena su tako da ih operateri primijete što kasnije.
Za Vašu tvrtku to je osjetljivo. Posjetitelji gube povjerenje, tražilice i preglednici mogu prikazivati upozorenja, a na odredišnim stranicama ponekad čekaju prijevara ili zlonamjerni softver. Preusmjeravanje uz to gotovo nikad nije jedino što napadač ostavi.
Nakon PHP2Shella, ranjivosti CVE-2026-109618 i CVE-2026-109619 s izvršavanjem koda bez prijave, preusmjeravanja spadaju među vidljive posljedice koje operateri trebaju shvatiti ozbiljno. Nisu specifičan pokazatelj PHP2Shella jer potvrđenih Indicators of Compromise nema. Ali pokazuju da je netko mogao mijenjati sadržaje Vaše web-stranice.
Preusmjeravanja često ne dolaze sama. Tko preusmjerava posjetitelje, često uz to izrađuje i spam stranice za tražilice kako bi uhvatio još više prometa. Ako Google već prikazuje napomenu o hakiranoj web-stranici, put do ponovne provjere opisuje vodič Ukloniti Googleovo upozorenje. Tuđe stranice u indeksu pretraživanja obrađuje članak SEO spam i tuđe stranice u Google indeksu.
Zašto web-stranica preusmjerava samo ponekad
Uvjetna preusmjeravanja procjenjuju obilježja zahtjeva. Najčešća su ova:
- Podrijetlo: preusmjerava se samo tko dolazi putem rezultata pretrage. Izravni pozivi prikazuju običnu stranicu.
- Uređaj: pogođeni su samo mobilni uređaji ili određeni preglednici.
- Ponavljanje: preusmjeravanje djeluje jednom po posjetitelju, a zatim postavi kolačić i šuti.
- Prijava: tko je prijavljen u CMS, nikad ništa ne vidi.
- Vrijeme ili slučaj: preusmjeravanje djeluje samo kod dijela poziva.
Zato ne testirajte samo na radnom mjestu. Upitom koji samo čita vidjet ćete kako poslužitelj odgovara na različite pozive:
# Običan poziv: statusni kod i odredište mogućeg preusmjeravanja
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' https://www.ihre-domain.de/
# Poziv kao s mobilnog uređaja koji dolazi putem pretrage
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' \
-A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 Mobile/15E148" \
-e "https://www.google.com/" https://www.ihre-domain.de/
Ako se tuđe odredište pojavi samo kod drugog upita, preusmjeravanje je na poslužitelju. Ako su oba neupadljiva, može se događati u pregledniku putem JavaScripta. Tada pomaže pogled u izvorni kod isporučene stranice ili u prikaz mreže u razvojnim alatima preglednika, najbolje u privatnom prozoru.
Web-stranica preusmjerava: provjera šest slojeva
Idite od vanjskog prema unutarnjem. Tako izbjegavate satima tražiti u kodu dok je uzrok u DNS zapisu:
| Sloj | Tipični uzrok | Provjera |
|---|---|---|
| Domena i DNS | izmijenjeni A zapis ili imenski poslužitelj | usporediti DNS zapise s poznatim ispravnim stanjem, provjeriti pristup kod registrara |
| CDN ili proxy | tuđe pravilo preusmjeravanja ili stranice | pregledati pravila u korisničkom području pružatelja |
| Web-poslužitelj | pravila u .htaccess ili konfiguraciji poslužitelja |
tražiti Rewrite i Redirect pravila s uvjetima |
| PHP kod | dodatni kod u ulaznim datotekama, predlošcima ili proširenjima | usporediti jezgrene datoteke s originalom |
| Baza podataka | izmijenjene postavke adresa, skripte u sadržajima ili opcijama | ciljano tražiti tuđe adrese i skripte |
| Vanjske skripte | kompromitirano uključivanje treće strane | popisati uključene izvore skripti i procijeniti ih |
Vanjski slojevi rado se preskaču jer nisu na vlastitom poslužitelju. Upravo su zato opasni: tko je preuzeo račun kod registrara ili CDN pružatelja, ne treba pristup poslužitelju. Osim pravila, tamo provjerite i tko ima pristup te je li aktivna dvofaktorska prijava.
Za sloj web-poslužitelja prikladne su pretrage koje samo čitaju, a traže pravila koja reagiraju na podrijetlo ili uređaj:
# Pravila preusmjeravanja s uvjetima u svim .htaccess datotekama
grep -rn --include='.htaccess' -iE 'Rewrite(Cond|Rule)|Redirect' /var/www/ihre-website
# Preusmjeravanja u konfiguraciji poslužitelja (Apache i Nginx)
grep -rn -iE 'Rewrite|Redirect|return 30[12]' /etc/apache2/ /etc/nginx/ 2>/dev/null
Za PHP sloj postupak opisuje članak Usporediti jezgrene datoteke CMS-a s originalom. Za bazu podataka isplati se članak Provjeriti bazu podataka na ubačeni kod.
Kad je uzrok izvan poslužitelja
Ne znači svako preusmjeravanje kompromitirani poslužitelj. Uključene skripte trećih strana, primjerice za chat, statistiku ili oglase, izvršavaju se izravno u pregledniku posjetitelja. Ako se takav pružatelj kompromitira ili istekne domena s koje Vaša stranica još učitava skriptu, preko toga može nastati preusmjeravanje, a da na Vašem poslužitelju nije promijenjena nijedna datoteka.
Content Security Policy ograničava iz kojih izvora preglednik smije učitavati skripte i takve slučajeve čini vidljivima. Napomene o tome nalaze se u vodiču Sigurnosna zaglavlja za web-stranice. Vrlo rijetko je uzrok kod samog posjetitelja: zlonamjerni ili oglašivački softver na njegovu računalu tada preusmjerava i na drugim web-stranicama.
Pravilan redoslijed nakon nalaza
- Zaštititi posjetitelje: staviti web-stranicu u način održavanja ili blokirati pogođena područja.
- Osigurati tragove: sumnjiva pravila, datoteke i sadržaje baze podataka kopirati s vremenskim žigom prije nego ih uklonite.
- Ukloniti: otkloniti preusmjeravanje i zamijeniti jezgrene datoteke iz čistog izvora.
- Zatvoriti ulaz: PHP dovesti na ispravljeno stanje, ažurirati CMS i proširenja, ponovno pokrenuti sve workere, obnoviti pristupe.
- Ponovno testirati: ponovno provjeriti sa svim varijantama iz drugog odjeljka i pratiti Search Console.
Uklonjeno pravilo preusmjeravanja nije dokaz čiste web-stranice. Ako se pravilo nakon nekoliko dana vrati, negdje još postoje stražnja vrata koja ga iznova upisuju.
Kako PHP SOS konkretno pomaže?
- Preusmjeravanje reproduciramo s različitim oznakama i stranicama podrijetla i sužavamo sloj.
- Osiguravamo tragove i uklanjamo preusmjeravanja, zlonamjerni kod i stražnja vrata u datotekama, konfiguraciji i bazi podataka.
- Kod akutne zaraze hitna pomoć za hakirane web-stranice preuzima obuzdavanje dok incident nije zaključen i dokumentiran.
- Provjeravamo uključene skripte trećih strana i preporučujemo prikladnu Content Security Policy.
Česta pitanja
Zašto preusmjeravanje ne vidim sam?
Mnoga preusmjeravanja djeluju samo pod određenim uvjetima: za posjetitelje s Googleove pretrage, samo na mobilnim uređajima, samo pri prvom posjetu ili ne za prijavljene administratore. Zato testirajte s različitim uređajima, bez prijave i putem poveznice iz rezultata pretrage.
Može li preusmjeravanje nastati i bez hakerskog napada?
Može. Istekao dodatak, kompromitirana vanjska skripta, pogrešni DNS zapisi ili zlonamjerni softver na računalu posjetitelja mogu izazvati slične učinke. Ako je uzrok na vlastitom računalu, preusmjeravanje se obično pojavljuje i na drugim web-stranicama.
Gdje napadači najčešće skrivaju preusmjeravanja?
Tipična su pravila u .htaccess ili konfiguraciji poslužitelja, dodatni kod u ulaznim datotekama aplikacije, izmijenjene postavke adresa u bazi podataka i ubačeni JavaScript isječci u sadržajima ili predlošcima.
Što trebam odmah učiniti ako moja web-stranica preusmjerava?
Zaštititi posjetitelje, primjerice načinom održavanja, i osigurati tragove prije nego išta obrišete. Zatim sloj po sloj tražiti uzrok i zatvoriti ulaz. Uklonjeno pravilo bez zatvorene ranjivosti obično se vraća.