Röviden: Ha a weboldal idegen oldalakra irányít át, az ok hat réteg egyikében van: a DNS-ben, a CDN-ben vagy proxyban, a webszerver-konfigurációban, a PHP-kódban, az adatbázisban vagy a beágyazott szkriptekben. Mivel sok átirányítás csak feltételekkel lép működésbe, célzottan tesztelje különböző azonosítókkal és hivatkozó oldalakkal. Először védje a látogatókat, mentse a nyomokat, és az eltávolítás után zárja le a behatolási pontot.
Amikor az ügyfelek nyereményjátékoldalakra kerülnek
A jelzés többnyire kívülről érkezik. Egy ügyfél azt írja, hogy az Ön oldalának megnyitásakor egy nyereményjátékon vagy egy kétes webshopban kötött ki. Ön a saját számítógépén ellenőrzi, és minden normálisnak látszik. Ez nem ellentmondás, hanem szándék: a feltörés utáni átirányításokat úgy építik, hogy az üzemeltetők a lehető legkésőbb vegyék észre őket.
Az Ön vállalkozása számára ez kényes. A látogatók elveszítik a bizalmukat, a keresőmotorok és a böngészők figyelmeztetéseket jeleníthetnek meg, a célodalakon pedig időnként csalás vagy kártékony szoftver vár. Az átirányítás ráadásul szinte soha nem az egyetlen, amit a támadó hátrahagy.
A PHP2Shell, vagyis a CVE-2026-109618 és CVE-2026-109619 rések után, amelyek bejelentkezés nélküli kódvégrehajtást tesznek lehetővé, az átirányítások azon látható következmények közé tartoznak, amelyeket az üzemeltetőknek komolyan kell venniük. Nem kifejezetten PHP2Shell-re utaló jelek, hiszen megerősített Indicators of Compromise nincsenek. Azt viszont megmutatják, hogy valaki módosíthatta az Ön weboldalának tartalmait.
Az átirányítások gyakran nem egyedül érkeznek. Aki átirányítja a látogatókat, az sokszor ezenkívül spamoldalakat is létrehoz a keresőmotorok számára, hogy még több forgalmat csapoljon meg. Ha a Google már megjelenített egy figyelmeztetést a feltört weboldalról, a Google-figyelmeztetés eltávolítása útmutató leírja az ellenőrzés menetét. A keresőindexben lévő idegen oldalakkal a SEO-spam és idegen oldalak a Google-indexben cikk foglalkozik.
Miért irányít át a weboldal csak néha
A feltételes átirányítások a kérés jellemzőit értékelik ki. Gyakran ezek:
- Eredet: Csak azt irányítják át, aki találati oldalról érkezik. A közvetlen megnyitás a normál oldalt mutatja.
- Eszköz: Csak a mobileszközök vagy bizonyos böngészők érintettek.
- Ismétlés: Az átirányítás látogatónként egyszer lép működésbe, utána cookie-t állít be, és hallgat.
- Bejelentkezés: Aki be van jelentkezve a CMS-be, soha nem lát semmit.
- Idő vagy véletlen: Az átirányítás csak a megnyitások egy részénél lép működésbe.
Ezért ne csak a munkahelyi gépén tesztelje. Egy csak olvasó lekérdezéssel látható, hogyan válaszol a szerver a különböző megnyitásokra:
# Normál megnyitás: állapotkód és egy esetleges átirányítás célja
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' https://www.ihre-domain.de/
# Megnyitás úgy, mintha egy keresésből érkező mobileszközről történne
curl -s -o /dev/null -w '%{http_code} %{redirect_url}\n' \
-A "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0 like Mac OS X) AppleWebKit/605.1.15 Mobile/15E148" \
-e "https://www.google.com/" https://www.ihre-domain.de/
Ha csak a második lekérdezésnél jelenik meg idegen cél, az átirányítás a szerveren van. Ha mindkettő feltűnésmentes, JavaScripttel a böngészőben is történhet. Ilyenkor segít a kiszolgált oldal forráskódjának vagy a böngésző fejlesztői eszközei hálózati nézetének megtekintése, lehetőleg privát ablakban.
A weboldal átirányít: a hat réteg ellenőrzése
Haladjon kívülről befelé. Így elkerüli, hogy órákig a kódban keressen, miközben az ok egy DNS-bejegyzésben van:
| Réteg | Tipikus ok | Ellenőrzés |
|---|---|---|
| Domain és DNS | megváltoztatott A-rekord vagy névszerver | a DNS-bejegyzéseket összevetni az ismert elvárt állapottal, a regisztrátor hozzáférését ellenőrizni |
| CDN vagy proxy | idegen átirányítási vagy oldalszabály | átnézni a szabályokat a szolgáltató ügyfélterületén |
| Webszerver | szabályok a .htaccess-ben vagy a szerverkonfigurációban |
feltételekkel ellátott Rewrite- és Redirect-szabályok keresése |
| PHP-kód | további kód belépési fájlokban, sablonokban vagy bővítményekben | a magfájlokat összevetni az eredetivel |
| Adatbázis | megváltoztatott címbeállítások, szkriptek tartalmakban vagy opciókban | célzottan idegen címeket és szkripteket keresni |
| Külső szkriptek | megtámadott harmadik féltől származó beágyazás | a beágyazott szkriptforrásokat felsorolni és értékelni |
A külső rétegeket szívesen átugorják, mert nem a saját szerveren vannak. Éppen ezért veszélyesek: aki átvette a fiókot a regisztrátornál vagy a CDN-szolgáltatónál, annak nincs szüksége a szerverhez való hozzáférésre. Ellenőrizze ott a szabályok mellett azt is, hogy kinek van hozzáférése, és aktív-e a kétfaktoros bejelentkezés.
A webszerver-réteghez a hivatkozó oldalra vagy az eszközre reagáló szabályok csak olvasó keresései alkalmasak:
# Feltételes átirányítási szabályok az összes .htaccess fájlban
grep -rn --include='.htaccess' -iE 'Rewrite(Cond|Rule)|Redirect' /var/www/ihre-website
# Átirányítások a szerverkonfigurációban (Apache és Nginx)
grep -rn -iE 'Rewrite|Redirect|return 30[12]' /etc/apache2/ /etc/nginx/ 2>/dev/null
A PHP-réteghez a CMS-magfájlok összevetése az eredetivel cikk írja le az eljárást. Az adatbázishoz a Az adatbázis ellenőrzése bejuttatott kód szempontjából cikk ajánlott.
Ha az ok a szerveren kívül van
Nem minden átirányítás jelent megtámadott szervert. A harmadik féltől beágyazott szkriptek, például csevegéshez, statisztikához vagy reklámhoz, közvetlenül a látogatók böngészőjében futnak. Ha egy ilyen szolgáltatót megtámadnak, vagy lejár egy domain, amelyről az Ön oldala még szkriptet tölt be, ezen keresztül átirányítás keletkezhet anélkül, hogy a szerverén egyetlen fájlt is módosítottak volna.
A Content Security Policy korlátozza, mely forrásokból tölthet be szkripteket a böngésző, és láthatóvá teszi az ilyen eseteket. Tudnivalókat a Biztonsági fejlécek weboldalakhoz cikk tartalmaz. Nagyon ritkán az ok maga a látogató: a számítógépén lévő reklám- vagy kártékony szoftver ilyenkor más weboldalakon is átirányít.
A helyes sorrend a lelet után
- A látogatók védelme: Tegye a weboldalt karbantartási módba, vagy zárja le az érintett területeket.
- Nyomok mentése: A gyanús szabályokat, fájlokat és adatbázis-tartalmakat időbélyeggel másolja le, mielőtt eltávolítja őket.
- Eltávolítás: Szüntesse meg az átirányítást, és a magfájlokat cserélje tiszta forrásból.
- A behatolási pont lezárása: Hozza a PHP-t javított állapotra, frissítse a CMS-t és a bővítményeket, indítsa újra az összes workert, újítsa meg a hozzáféréseket.
- Utóteszt: Ellenőrizze újra a második szakasz összes változatával, és figyelje a Search Consolet.
Egy eltávolított átirányítási szabály nem bizonyíték a tiszta weboldalra. Ha a szabály napok múlva visszatér, valahol még van egy hátsó ajtó, amely újraírja.
Hogyan segít konkrétan a PHP SOS?
- Különböző azonosítókkal és hivatkozó oldalakkal reprodukáljuk az átirányítást, és behatároljuk a réteget.
- Mentjük a nyomokat, és eltávolítjuk az átirányításokat, a kártékony kódot és a hátsó ajtókat a fájlokban, a konfigurációban és az adatbázisban.
- Akut fertőzés esetén a vészhelyzeti segítségünk feltört weboldalaknál átveszi a megfékezést, amíg az incidens le nem zárul és dokumentálva nem lesz.
- Ellenőrizzük a beágyazott harmadik féltől származó szkripteket, és megfelelő Content Security Policyt ajánlunk.
Gyakori kérdések
Miért nem látom magam az átirányítást?
Sok átirányítás csak bizonyos feltételek mellett lép működésbe: a Google-keresésből érkező látogatóknál, csak mobileszközökön, csak az első látogatáskor, vagy nem a bejelentkezett adminisztrátoroknál. Ezért tesztelje különböző eszközökkel, bejelentkezés nélkül és egy találati linken keresztül.
Keletkezhet átirányítás feltörés nélkül is?
Igen. Egy lejárt plugin, egy megtámadott külső szkript, hibás DNS-bejegyzések vagy a látogató számítógépén lévő kártékony szoftver hasonló hatásokat okozhat. Ha az ok a saját számítógépén van, az átirányítás többnyire más weboldalakon is jelentkezik.
Hol rejtik el a támadók leggyakrabban az átirányításokat?
Tipikusak a .htaccess fájlban vagy a szerverkonfigurációban lévő szabályok, az alkalmazás belépési fájljaiba beszúrt további kód, az adatbázisban megváltoztatott címbeállítások, valamint a tartalmakba vagy sablonokba bejuttatott JavaScript-részletek.
Mit tegyek azonnal, ha a weboldalam átirányít?
Védje a látogatókat, például karbantartási móddal, és mentse a nyomokat, mielőtt bármit törölne. Utána rétegről rétegre keresse az okot, és zárja le a behatolási pontot. Egy eltávolított szabály lezárt rés nélkül többnyire visszatér.