Ukratko: Da biste uklonili Google upozorenje o hakiranoj web-stranici, najprije morate zatvoriti uzrok i ukloniti sve štetne sadržaje. Tek nakon toga u Google Search Consoleu tražite ponovnu provjeru. Tko zatraži prerano ili izbriše samo vidljive tragove, riskira odbijanje jer stražnja vrata i skrivene spam stranice uglavnom ostaju.
Koja upozorenja Google prikazuje i zašto
Google na dva načina upozorava na kompromitirane web-stranice. U rezultatima pretrage ispod Vašeg unosa može se pojaviti napomena da je web-stranica možda hakirana. Kod težih nalaza, primjerice zlonamjernog softvera ili phishinga, preglednici putem Google Safe Browsinga prikazuju crvenu stranicu upozorenja prije nego se web-stranica uopće učita.
Uzrok su gotovo uvijek sadržaji koje su napadači ubacili: brojne spam stranice za lijekove, kockanje ili krivotvorene robne marke, preusmjeravanja na strane stranice, zlonamjerni kod za posjetitelje ili lažne stranice za prijavu. Za Vašu tvrtku to znači manje posjetitelja, zbunjene klijente i u shopu izravan gubitak prometa.
Koje je probleme Google pronašao, stoji u Google Search Consoleu pod Sigurnost i ručne radnje, u izvješću Sigurnosni problemi. Tamo su često navedeni primjeri URL-ova koji daju prvo uporište.
Najprije očistiti, zatim zatražiti ponovnu provjeru
Redoslijed je odlučujući. Google upozorenje je simptom; dok je ranjivost otvorena i stražnja vrata postoje, sadržaji se vraćaju, često već ubrzo nakon brisanja.
CMS ažuriranje samo ne zatvara svaku ranjivost. Kod PHP2Shella slabost je u samom PHP-u, a zakrpa ne uklanja već ubačeni zlonamjerni softver. Provjerite verziju PHP-a, razinu zakrpe i datoteke prije nego zamolite Google za ponovnu provjeru.
Za čišćenje je smisleno web-stranicu privremeno staviti u način održavanja ili je isključiti s mreže. Tako štitite posjetitelje dok radite i sprječavate napadača da postavlja dodatne sadržaje. Način održavanja pritom treba vraćati statusni kod 503 kako bi tražilice prekid prepoznale kao privremen.
Uklanjanje Google upozorenja zbog hakirane web-stranice: korak po korak
- Osigurati dokaze: Osigurajte logove, kopiju datoteka i baze podataka prije nego išta obrišete.
- Provjeriti Search Console: Pročitajte izvješće o sigurnosnim problemima, zabilježite primjere URL-ova i pod Postavke, Korisnici i dopuštenja potražite nepoznate vlasnike.
- Zatvoriti ranjivost: Ažurirajte PHP, CMS, teme i ekstenzije, uklonite neiskorištene ekstenzije, nakon ažuriranja ponovno pokrenite PHP workere.
- Ukloniti zlonamjerni kod: Zamijenite datoteke jezgre CMS-a iz čistog izvora, pretražite direktorije za upload i cache na PHP datoteke, provjerite
.htaccessi konfiguraciju poslužitelja na strana preusmjeravanja. - Očistiti bazu podataka: Uklonite spam objave, ubačene skripte u sadržajima i opcijama te nepoznate admin račune.
- Obnoviti pristupe: Promijenite lozinke za CMS, hosting, bazu podataka, FTP i SSH, iznova generirajte sigurnosne ključeve CMS-a.
- Provjeriti rezultat: Testirajte primjere URL-ova pregledom URL-a i otvorite vlastitu web-stranicu onako kako je vidi Google.
- Zatražiti ponovnu provjeru: U izvješću o sigurnosnim problemima zatražite provjeru i ukratko opišite što je pronađeno i otklonjeno.
Skriveni tragovi: spam stranice, cloaking i strani vlasnici
Mnogi su hakovi izrađeni tako da ih operateri ne primijete. Spam sadržaji pojavljuju se samo za Googlebot ili za posjetitelje koji dolaze preko pretrage. Prijavljeni admini vide normalnu web-stranicu. Pregled URL-a u Search Consoleu, nasuprot tome, prikazuje dohvat iz perspektive Googlea.
Daljnje uporište je pretraga s site:vasadomena.de u kombinaciji s tipičnim spam pojmovima. Ako se tamo pojave stranice koje nikad niste izradili, to je jasan znak. Provjerite i poslane sitemape: napadači ponekad izrađuju vlastite sitemape kako bi svoje spam stranice brže dali indeksirati.
Na poslužitelju jednostavne provjere koje samo čitaju pomažu u potrazi za izmijenjenim datotekama:
# PHP i HTML datoteke izmijenjene u zadnjih 14 dana
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP datoteke u direktorijima za upload (normalno ih ne bi trebalo biti)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Pravila preusmjeravanja u .htaccess datotekama
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Pravila koja preusmjeravaju različito ovisno o refereru ili user agentu tipično su obilježje cloakinga. Kod WordPressa dodatno ciljano postupajte prema napomenama u vodiču Pronalaženje stražnjih vrata u WordPressu.
Što se događa nakon zahtjeva
Google ponovno provjerava web-stranicu i rezultat priopćuje u Search Consoleu. Ako se zahtjev prihvati, upozorenja nestaju. Ako se odbije, Google obično navodi daljnje primjere URL-ova. Tada ciljano tražite preostale sadržaje i ponovno zahtijevate tek nakon čišćenja.
Spam URL-ovi koje Google već poznaje trebali bi nakon čišćenja vraćati status 404 ili 410 kako bi ispali iz indeksa. Ne preusmjeravajte ih paušalno na početnu stranicu. Search Console pratite i u tjednima nakon toga jer ponovna pojava spama upućuje na previđena stražnja vrata. Potpuno naknadno postupanje opisuje naš Kontrolni popis nakon hakiranja.
Da se upozorenje ne bi ponovilo, nakon čišćenja neke bi stvari trebale biti trajno uređene:
- Ažuriranja za PHP, CMS, teme i ekstenzije primjenjuju se pravodobno i netko je za to odgovoran.
- Neiskorištene ekstenzije, stare testne instalacije i zaboravljeni poddirektoriji uklonjeni su.
- Admin pristupi su osobni i zaštićeni drugim faktorom.
- Nadzor datoteka prijavljuje nove PHP datoteke u direktorijima za upload i cache.
- E-mail obavijesti Search Consolea stižu na adresu koja se redovito čita.
Kod dužih ispada ili pogođenih podataka klijenata obavijestite i svoje klijente stvarno o stanju. Otvorena, mirna komunikacija obično bolje čuva povjerenje nego šutnja.
Kako PHP SOS konkretno pomaže?
- Najprije osiguravamo tragove i razjašnjavamo kroz koju je ranjivost napadač ušao.
- Čistimo datoteke, bazu podataka i konfiguraciju poslužitelja u okviru uklanjanja zlonamjernog softvera i zatvaramo uzrok.
- Provjeravamo web-stranicu iz perspektive Googlea, uklanjamo strane vlasnike Search Consolea i s Vama pripremamo zahtjev za ponovnu provjeru.
- Kod akutne zaraze našu hitnu pomoć kod hakiranih web-stranica preuzima obuzdavanje, dok incident nije zaključen i dokumentiran.
Česta pitanja
Koliko dugo traje dok Google ukloni upozorenje?
To se ne može pouzdano predvidjeti. Provjera počinje tek kad je zatražite u Search Consoleu, a ovisi o vrsti i opsegu problema. Stanje vidite u izvješću o sigurnosnim problemima.
Što se događa ako ponovnu provjeru zatražim prerano?
Ako Google pri provjeri i dalje pronađe štetne sadržaje, zahtjev se odbija i upozorenje ostaje. Ponovljena odbijanja mogu odgoditi sljedeću provjeru. Provjeru stoga zatražite tek nakon potpunog čišćenja.
Zašto sam ne vidim spam stranice?
Mnogi hakovi prikazuju spam samo tražilicama ili posjetiteljima koji dolaze preko Googlea, a prijavljenim adminima normalnu stranicu. Ta se tehnika zove cloaking. Pregledom URL-a u Search Consoleu vidite što Google zaista dohvaća.
Moram li nakon čišćenja iznova graditi rangiranje?
Nakon uklanjanja upozorenja vidljivost se često oporavi, ali ne nužno na staro stanje. Odlučujuće je da spam URL-ovi nestanu iz indeksa i da su pravi sadržaji nepromijenjeno dostupni.