Fallstudien: Gehackte Websites reparieren

Mittwoch, 18. Februar 2015

Jeden Tag werden Tausende von Websites gehackt. Gehackte Websites können Nutzern schaden, indem sie Schadsoftware verbreiten, persönliche Daten sammeln oder sie auf Websites umleiten, die sie eigentlich gar nicht besuchen wollten. Webmaster möchten gehackte Websites schnell reparieren, aber leider kann die Wiederherstellung nach einem Hack ein komplizierter Prozess sein.

Wir versuchen, den Prozess der Wiederherstellung nach einem Hack für Webmaster mit Funktionen zu erleichtern wie
Sicherheitsprobleme,
Hilfe für gehackte Websites, und
einem Bereich unseres Forums speziell für gehackte Websites. Kürzlich haben wir mit zwei Webmastern von gehackten Websites gesprochen, um mehr darüber zu erfahren, wie sie ihre Websites reparieren konnten. Wir teilen ihre Geschichten in der Hoffnung, dass sie anderen Webmastern, die Opfer von Hacking wurden, Ideen liefern können. Wir nutzen diese Geschichten und weiteres Feedback auch, um unsere Dokumentation für gehackte Websites zu verbessern und den Prozess für alle künftig einfacher zu gestalten.

Fallstudie Nr. 1: Restaurant-Website mit mehreren durch Hacks injizierten Skripten

Eine Restaurant-Website, die WordPress verwendet, erhielt eine Nachricht von Google in ihrem Webmaster Tools-Konto, die sie warnte, dass ihre Website von Hackern verändert worden war. Um Google-Nutzer zu schützen, wurde die Website in den Google-Suchergebnissen als gehackt gekennzeichnet. Der Webmaster der Website, Sam, sah sich den Quellcode an und bemerkte viele unbekannte Links auf der Website mit pharmazeutischen Begriffen wie „viagra“ und „cialis“. Sie bemerkte auch viele Seiten, bei denen die Meta-Description-Tags (im HTML) Inhalte wie „valtrex in florida kaufen“ hinzugefügt hatten. Es gab auch versteckte div
-Tags (ebenfalls im HTML) auf vielen Seiten, die auf zahlreiche Websites verwiesen. Keiner dieser Links wurde von Sam hinzugefügt.

Sam entfernte alle gefundenen gehackten Inhalte und reichte einen Antrag auf Überprüfung ein. Der Antrag wurde abgelehnt, aber in der Nachricht, die sie von Google erhielt, wurde ihr geraten, nach unbekannten Skripten in PHP-Dateien (oder anderen Serverdateien) sowie nach Änderungen an der
.htaccess
-Datei zu suchen. Diese Dateien enthalten höchstwahrscheinlich Skripte, die von Hackern hinzugefügt wurden und die Website modifizieren. Diese Skripte zeigen die gehackten Inhalte typischerweise nur Suchmaschinen an, während sie den Inhalt vor normalen Benutzern verbergen. Sam untersuchte alle .php -Dateien und verglich sie mit den sauberen Kopien aus ihrem Backup. Sie fand neue Inhalte, die ihrer footer.php,
index.php, und functions.phphinzugefügt worden waren. Als sie diese Dateien durch die sauberen Backups ersetzte, konnte sie keine gehackten Inhalte mehr auf ihrer Website finden. Als sie einen weiteren Überprüfungsantrag einreichte, erhielt sie eine Antwort von Google, in der ihr mitgeteilt wurde, dass ihre Website keine gehackten Inhalte mehr enthielt!

Obwohl Sam die gehackten Inhalte auf ihrer Website bereinigt hatte, wusste sie, dass sie ihre Website weiterhin
gegen zukünftige Angriffe absichern
musste. Sie befolgte die folgenden Schritte, um ihre Website in Zukunft sicher zu halten:

• Halten Sie das CMS (Content-Management-System wie WordPress, Joomla, Drupal usw.) mit der aktuellsten Version auf dem neuesten Stand. Stellen Sie sicher, dass auch Plugins aktuell sind.
• Stellen Sie sicher, dass das Konto für den Zugriff auf die Verwaltungsfunktionen des CMS ein schwieriges und einzigartiges Passwort verwendet.
• Aktivieren Sie, falls vom CMS unterstützt,
  die Bestätigung in 2 Schritten
  für die Anmeldung. (Dies kann auch als Zwei-Faktor-Authentifizierung oder Zwei-Schritt-Authentifizierung bezeichnet werden.) Dies wird auch für das Konto empfohlen, das für die Passwortwiederherstellung verwendet wird. Die meisten E-Mail-Anbieter wie
  Google,
  Microsoft,
  Yahoo!
  unterstützen dies alle!
• Stellen Sie sicher, dass die installierten Plugins und Themes von einer vertrauenswürdigen Quelle stammen – Raubkopien von Plugins oder Themes können oft Code enthalten, der es Hackern noch leichter macht, einzudringen!

Fallstudie Nr. 2: Professionelle Website mit vielen schwer auffindbaren gehackten Seiten

Eine Kleinunternehmerin namens Maria, die auch ihre eigene Website verwaltet, erhielt eine Nachricht in ihren Webmaster Tools, dass ihre Website gehackt wurde. Die Nachricht enthielt ein Beispiel für eine von Hackern hinzugefügte Seite: https://example.com/where-to-buy-cialis-over-the-counter/. Sie sprach mit ihrem Hosting-Anbieter, der sich den Quellcode auf der Startseite ansah, aber keine pharmazeutischen Keywords finden konnte. Als der Hosting-Anbieter
https://example.com/where-to-buy-cialis-over-the-counter/besuchte, gab dies eine Fehlerseite zurück. Maria kaufte außerdem einen Malware-Scanning-Dienst, aber der Dienst konnte keine schädlichen Inhalte auf ihrer Website finden.

Maria ging daraufhin zu Webmaster Tools und nutzte das Tool „Abruf wie durch Google“ für die von Google bereitgestellte Beispiel-URL (https://example.com/where-to-buy-cialis-over-the-counter/), die keinen Inhalt zurückgab. Verwirrt reichte sie einen Überprüfungsantrag ein und erhielt eine Ablehnungsnachricht, in der ihr geraten wurde, zwei Dinge zu tun:

1. Überprüfen Sie die Nicht-www-Version Ihrer Website, da Hacker oft versuchen, Inhalte in Ordnern zu verstecken, die der Webmaster übersehen könnte.

   Obwohl es so erscheinen mag, als ob https://example.com und
   https://www.example.com
   dieselbe Website sind, behandelt Google diese tatsächlich als unterschiedliche Websites. https://example.com
   wird als „Root-Domain“ bezeichnet, während https://www.example.com
   die Subdomain genannt wird. Maria hatte https://www.example.com verifiziert, aber nicht https://example.com
   verifiziert,was wichtig ist, da die von Hackern hinzugefügten Seiten Nicht-www-Seiten wie
   https://example.com/where-to-buy-cialis-over-the-counter/ waren. Sobald sie

2. https://example.com verifiziert hatte, konnte sie die gehackten Inhalte unter der angegebenen URL mit dem Tool „Abruf wie durch Google“ in den Webmaster Tools erfolgreich sehen. Überprüfen Sie ihre

   .htaccess -Datei auf neue Regeln.
   Maria sprach mit ihrem Hosting-Anbieter, der ihr zeigte, wie sie auf ihre .htaccess -Datei zugreifen kann. Sie bemerkte sofort, dass ihre

   .htaccess
   -Datei einige seltsame Inhalte enthielt, die sie nicht hinzugefügt hatte:
   Die mod_rewrite -Regel, die Sie oben sehen, wurde vom Hacker eingefügt und leitet jeden, der von bestimmten Suchmaschinen sowie Suchmaschinen-Crawlern kommt, auf main.php um, wodurch alle gehackten Inhalte generiert werden. Es ist auch möglich, dass diese Regeln Benutzer umleiten, die über ein mobiles Gerät auf die Website zugreifen. Am selben Tag sah sie auch, dass ein neuerlicher Malware-Scan verdächtige Inhalte in der

main.php -Datei fand. Darüber hinaus bemerkte sie auch einen unbekannten Benutzer im FTP-Benutzerbereich ihrer Website-Entwicklungssoftware. Sie entfernte die main.php Datei, und der unbekannte Benutzer wurde aus dem Bereich seiner FTP-Benutzer entfernt, und seine Website wurde nicht mehr gehackt!

Schritte, um zu verhindern, dass Ihre Website in Zukunft gehackt wird

• Vermeiden Sie die Verwendung von FTP beim Übertragen von Dateien auf Ihre Server. FTP verschlüsselt keinen Datenverkehr, einschließlich Passwörter. Verwenden Sie stattdessen SFTP, das alles einschließlich Ihres Passworts verschlüsselt, als Schutz vor Lauschern, die den Netzwerkverkehr untersuchen.
• Überprüfen Sie die Berechtigungen für sensible Dateien wie .htaccess. Ihr Hosting-Provider kann Ihnen helfen, wenn Sie Unterstützung benötigen. .htaccess -Datei kann verwendet werden, um Ihre Website zu verbessern und zu schützen, aber sie kann auch für böswillige Angriffe verwendet werden, wenn es ihnen gelingt, Zugriff darauf zu erhalten.
• Seien Sie wachsam und halten Sie Ausschau nach neuen und unbekannten Benutzern in Ihrem Administrationspanel und an jedem anderen Ort, an dem es Benutzer geben könnte, die Ihre Website modifizieren können.

Wir hoffen, dass Ihre Website niemals gehackt wird, aber wenn doch, haben wir viele Ressourcen für gehackte Webmaster auf unserer
Hilfe für gehackte Websites-Seite. Wenn Sie weitere Hilfe benötigen oder Ihre eigenen Tipps teilen möchten, können Sie in unserem
Webmaster-Hilfe-Forumposten. Wenn Sie im Forum posten oder einen Antrag auf erneute Prüfung für Ihre Website einreichen, fügen Sie bitte
#NoHacked.

Veröffentlicht von Julian Prentice und Yuan Niu, Search Quality Team