Na kratko: Da odstranite Googlovo opozorilo o vdrti spletni strani, morate najprej zapreti vzrok in odstraniti vse škodljive vsebine. Šele nato v Google Search Console zahtevate ponovni pregled. Kdor zahteva prezgodaj ali izbriše samo vidne sledi, tvega zavrnitev, ker stranska vrata in skrite strani s spamom praviloma ostanejo.
Katera opozorila Google prikaže in zakaj
Google pred kompromitiranimi spletnimi stranmi opozarja na dva načina. V iskalnih rezultatih se lahko pod vašim vnosom pojavi namig, da je bila spletna stran morda vdrta. Pri hujših najdbah, na primer škodljivi programski opremi ali phishingu, brskalniki prek Google Safe Browsing pokažejo rdečo opozorilno stran, še preden se spletna stran sploh naloži.
Vzrok so skoraj vedno vsebine, ki so jih vnesli napadalci: številne strani s spamom za zdravila, igre na srečo ali ponarejene blagovne znamke, preusmeritve na tuje strani, škodljiva koda za obiskovalce ali ponarejene prijavne strani. Za vaše podjetje to pomeni manj obiskovalcev, zbegane stranke in v trgovini neposredne izgube prometa.
Katere težave je Google našel, piše v Google Search Console pod Varnost in ročni ukrepi, v poročilu Težave z varnostjo. Tam so pogosto navedeni vzorčni naslovi URL, ki dajo prvo izhodišče.
Najprej očistite, nato zahtevajte ponovni pregled
Vrstni red je odločilen. Googlovo opozorilo je simptom; dokler je ranljivost odprta in stranska vrata obstajajo, se vsebine vračajo, pogosto kmalu po brisanju.
Sama posodobitev CMS-ja ne zapre vsake ranljivosti. Pri PHP2Shell je šibkost v samem PHP, popravek pa ne odstrani že vnesene škodljive programske opreme. Preverite različico PHP, stanje popravkov in datoteke, preden Google prosite za ponovni pregled.
Pri čiščenju je smiselno spletno stran začasno postaviti v način vzdrževanja ali jo odklopiti z omrežja. Tako ščitite obiskovalce med delom in preprečite, da bi napadalec nalagal nove vsebine. Način vzdrževanja naj pri tem vrača statusno kodo 503, da iskalniki prekinitev prepoznajo kot začasno.
Odstranitev Googlovega opozorila zaradi vdrte spletne strani: korak za korakom
- Zavarujte dokaze: Zavarujte dnevnike, kopijo datotek in podatkovne zbirke, preden karkoli izbrišete.
- Preverite Search Console: Preberite poročilo o težavah z varnostjo, zabeležite vzorčne naslove URL in pod Nastavitve, Uporabniki in dovoljenja poiščite neznane lastnike.
- Zaprite ranljivost: Posodobite PHP, CMS, teme in razširitve, odstranite neuporabljene razširitve, po posodobitvi znova zaženite workerje PHP.
- Odstranite škodljivo kodo: Jedrne datoteke CMS-ja zamenjajte iz čistega vira, mape za nalaganje in predpomnilnik preiščite glede datotek PHP,
.htaccessin konfiguracijo strežnika preverite glede tujih preusmeritev. - Očistite podatkovno zbirko: Odstranite prispevke s spamom, vnesene skripte v vsebinah in opcijah ter neznane skrbniške račune.
- Obnovite dostope: Spremenite gesla za CMS, gostovanje, podatkovno zbirko, FTP in SSH, znova ustvarite varnostne ključe CMS-ja.
- Preverite rezultat: Vzorčne naslove URL preizkusite s preverjanjem URL in lastno spletno stran odprite tako, kot jo vidi Google.
- Zahtevajte ponovni pregled: V poročilu o težavah z varnostjo zahtevajte pregled in na kratko opišite, kaj je bilo najdeno in odpravljeno.
Skrite sledi: strani s spamom, cloaking in tuji lastniki
Številni vdori so zgrajeni tako, da jih upravljavci ne opazijo. Vsebine s spamom se pojavijo samo za Googlebot ali za obiskovalce, ki pridejo prek iskanja. Prijavljeni skrbniki vidijo običajno spletno stran. Preverjanje URL v Search Console pa pokaže priklic z Googlovega vidika.
Dodatno izhodišče je iskanje site:vasadomena.si v kombinaciji s tipičnimi izrazi spama. Če se tam pojavijo strani, ki jih nikoli niste ustvarili, je to jasen znak. Preverite tudi oddane zemljevide spletnih strani (sitemap): napadalci včasih ustvarijo lastne, da se njihove strani s spamom hitreje indeksirajo.
Na strežniku pri iskanju spremenjenih datotek pomagajo preprosta preverjanja, ki samo berejo:
# Datoteke PHP in HTML, spremenjene v zadnjih 14 dneh
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# Datoteke PHP v mapah za nalaganje (običajno jih ne bi smelo biti)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Pravila preusmeritev v datotekah .htaccess
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Pravila, ki glede na referer ali user agent preusmerjajo različno, so značilna lastnost cloakinga. Pri WordPressu dodatno ciljno postopajte po napotkih v vodniku Iskanje stranskih vrat v WordPressu.
Kaj se zgodi po zahtevi
Google spletno stran znova preveri in rezultat sporoči v Search Console. Če je zahteva sprejeta, opozorila izginejo. Če je zavrnjena, Google običajno navede dodatne vzorčne naslove URL. Tedaj ciljno poiščite preostale vsebine in znova zahtevajte šele po čiščenju.
Naslovi URL s spamom, ki jih Google že pozna, naj po čiščenju vračajo status 404 ali 410, da izpadejo iz indeksa. Ne preusmerjajte jih splošno na začetno stran. V naslednjih tednih naprej opazujte Search Console, saj ponovna pojavitev spama kaže na spregledana stranska vrata. Popolno nadaljnjo obravnavo opisuje naš Kontrolni seznam po vdoru.
Da se opozorilo ne ponovi, naj bo po čiščenju trajno urejenih nekaj stvari:
- Posodobitve za PHP, CMS, teme in razširitve se nameščajo pravočasno in nekdo je za to odgovoren.
- Neuporabljene razširitve, stare preizkusne namestitve in pozabljene podmape so odstranjene.
- Skrbniški dostopi so osebni in zaščiteni z drugim faktorjem.
- Nadzor datotek sporoča nove datoteke PHP v mapah za nalaganje in predpomnilnik.
- E-poštna obvestila Search Console prispejo na naslov, ki se redno bere.
Pri daljših izpadih ali prizadetih podatkih strank o stanju stvarno obvestite tudi svoje stranke. Odprta, mirna komunikacija zaupanje praviloma zaščiti bolje kot molk.
Kako PHP SOS pomaga konkretno?
- Najprej zavarujemo sledi in razjasnimo, prek katere ranljivosti je napadalec prišel.
- Datoteke, podatkovno zbirko in konfiguracijo strežnika očistimo v okviru odstranitve zlonamerne programske opreme in zapremo vzrok.
- Spletno stran preverimo z Googlovega vidika, odstranimo tuje lastnike v Search Console in z vami pripravimo zahtevo za ponovni pregled.
- Pri akutni okužbi zajezitev prevzame naša nujna pomoč pri vdrtih spletnih straneh, dokler incident ni zaključen in dokumentiran.
Pogosta vprašanja
Kako dolgo traja, da Google opozorilo odstrani?
Tega ni mogoče zanesljivo napovedati. Pregled se začne šele, ko ga zahtevate v Search Console, in je odvisen od vrste in obsega težave. Stanje vidite v poročilu o težavah z varnostjo.
Kaj se zgodi, če ponovni pregled zahtevam prezgodaj?
Če Google pri pregledu še naprej najde škodljive vsebine, je zahteva zavrnjena in opozorilo ostane. Ponavljajoče se zavrnitve lahko zakasnijo naslednji pregled. Ponovni pregled zato zahtevajte šele po popolnem čiščenju.
Zakaj strani s spamom ne vidim sam?
Številni vdori spam pokažejo samo iskalnikom ali obiskovalcem, ki pridejo prek Googla, prijavljenim skrbnikom pa običajno stran. Ta tehnika se imenuje cloaking. S preverjanjem URL v Search Console vidite, kaj Google dejansko pridobi.
Ali moram po čiščenju svoje uvrstitve zgraditi znova?
Po odstranitvi opozorila se vidnost pogosto okreva, vendar ne nujno na staro raven. Odločilno je, da naslovi URL s spamom izginejo iz indeksa in da so pravi vsebini dosegljivi nespremenjeni.