Lundi 24 août 2015
Aujourd’hui, dans le cadre de notre campagne #NoHacked, nous allons aborder la correction du piratage d’URL avec charabia injecté dont nous avons parlé la semaine dernière. Même si votre site n’est pas infecté par ce type spécifique de piratage, bon nombre de ces étapes peuvent vous aider à résoudre d’autres types de piratages. Suivez les discussions sur
Twitter
et Google+ en utilisant le hashtag
#NoHacked.
(Partie 1,
Partie 2,
Partie 3,
Partie 4)
Mettez votre site temporairement hors ligne
Mettre votre site hors ligne temporairement empêchera les visiteurs d’accéder aux pages piratées et vous donnera le temps de réparer correctement votre site. Si vous maintenez votre site en ligne, vous courez le risque d’être à nouveau compromis pendant que vous nettoyez votre site.
Traitement de votre site
Les prochaines étapes exigent que vous soyez à l’aise avec la réalisation de modifications techniques sur votre site. Si vous n’êtes pas assez familier ou à l’aise avec votre site pour effectuer ces changements, il est préférable de consulter ou d’engager quelqu’un qui l’est. Cependant, la lecture de ces étapes restera utile.
Avant de commencer à réparer votre site, nous vous conseillons d’en faire une sauvegarde. (Cette version sauvegardée contiendra toujours du contenu piraté et ne doit être utilisée que si vous supprimez accidentellement un fichier critique.) Si vous ne savez pas comment sauvegarder votre site, demandez de l’aide à votre hébergeur ou consultez la documentation de votre système de gestion de contenu (CMS). Au fil des étapes, chaque fois que vous supprimez un fichier, veillez à en conserver également une copie.
Vérification de votre fichier .htaccess
Pour manipuler votre site, ce type de piratage crée ou modifie le contenu de votre fichier
.htaccess .
Si vous ne savez pas où trouver votre fichier.htaccess , consultez la documentation de votre serveur ou de votre CMS. Vérifiez le contenu de votre fichier
.htaccess pour y détecter tout contenu suspect. Si vous ne savez pas comment interpréter le contenu du fichier .htaccess , vous pouvez vous renseigner dans la documentation d' Apache.org , poser la question sur un forum d’aide ou consulter un expert. Voici un exemple de fichier
.htaccess
modifié par ce piratage : Identification d’autres fichiers malveillants
Les types de fichiers les plus fréquemment modifiés ou injectés par ce piratage sont les fichiers JavaScript et PHP. Les pirates adoptent généralement deux approches : la première consiste à insérer de nouveaux fichiers PHP ou JavaScript sur votre serveur. Les fichiers insérés peuvent parfois porter un nom très proche d’un fichier légitime de votre site, comme
wp-cache.php par rapport au fichier légitime wp_cache.php
. La seconde approche consiste à altérer des fichiers légitimes sur votre serveur et à y insérer du contenu malveillant. Par exemple, si vous disposez d'un fichier JavaScript de modèle ou de plugin sur votre site, les pirates peuvent y ajouter du code JavaScript malveillant.Par exemple, sur
www.example.com , un fichier malveillant nommé happypuppy.php , identifié précédemment dans le fichier.htaccess , a été injecté dans un dossier du site. Cependant, les pirates ont également corrompu un fichier JavaScript légitime appelé json2.js en y ajoutant du code malveillant. Voici un exemple de fichier json2.js corrompu. Le code malveillant est mis en surbrillance en rouge et a été ajouté tout au bas du fichier json2.js : Pour traquer efficacement les fichiers malveillants, vous devez comprendre la fonction des fichiers JavaScript et PHP sur votre site. Vous devrez peut-être consulter la documentation de votre CMS pour vous aider. Une fois que vous saurez ce que font les fichiers, il vous sera plus facile de repérer les fichiers malveillants qui n’ont rien à faire sur votre site.
Vérifiez également s’il y a des fichiers récemment modifiés sur votre site. Les fichiers de modèles modifiés récemment doivent faire l’objet d’une enquête approfondie. Des outils pour vous aider à interpréter les fichiers PHP obfusqués se trouvent dans l’annexe.
Suppression du contenu malveillant
Comme mentionné précédemment, sauvegardez correctement le contenu de votre site avant de supprimer ou de modifier des fichiers. Si vous effectuez régulièrement des sauvegardes de votre site, le nettoyage peut être aussi simple que la restauration d’une version de sauvegarde propre.
Cependant, si vous ne sauvegardez pas régulièrement votre site, vous avez quelques solutions alternatives. Tout d’abord, supprimez tous les fichiers malveillants qui ont été insérés sur votre site. Par exemple, sur www.example.com, vous supprimeriez le fichier
happypuppy.php . Pour les fichiers PHP ou JavaScript corrompus tels que json2.js
, vous devrez télécharger une version propre de ces fichiers sur votre site. Si vous utilisez un CMS, envisagez de recharger une copie fraîche des fichiers principaux du CMS et des plugins sur votre site.Identification et correction de la vulnérabilité
Une fois que vous avez supprimé le fichier malveillant, vous devez traquer et corriger la vulnérabilité qui a permis à votre site d’être compromis, sous peine de voir votre site à nouveau piraté. La vulnérabilité peut aller d’un mot de passe volé à un logiciel web obsolète. Consultez
Google Webmaster Hacked Help
pour découvrir comment identifier et corriger la vulnérabilité. Si vous ne parvenez pas à déterminer comment votre site a été compromis, vous devez modifier les mots de passe de tous vos identifiants de connexion, mettre à jour tous vos logiciels web et sérieusement envisager de demander de l’aide supplémentaire pour vous assurer que tout va bien.
Prochaines étapes
Une fois le nettoyage de votre site terminé, utilisez l’outil Explorer comme Google pour vérifier si les pages piratées apparaissent toujours pour Google. Vous devrez remettre votre site en ligne pour effectuer le test avec Explorer comme Google. N’oubliez pas de vérifier également votre page d’accueil à la recherche de contenu piraté. Si le contenu piraté a disparu, félicitations, votre site devrait être propre ! Si l’outil Explorer comme Google détecte toujours du contenu piraté sur ces pages, il vous reste du travail à faire. Recherchez à nouveau d’éventuels fichiers PHP ou JavaScript malveillants que vous auriez pu manqués.
Remettez votre site en ligne dès que vous êtes sûr qu’il est propre et que la vulnérabilité a été corrigée. S’il y a eu une
manual action
frns
sur votre site, vous voudrez soumettre une
demande de réexamen
dans la Search Console. Réfléchissez également aux moyens de protéger votre site contre de futures attaques. Vous pouvez en savoir plus sur la sécurisation de votre site contre de futures attaques dans le
Google Hacked Webmaster Help Center.
Nous espérons que cet article vous a aidé à mieux comprendre comment nettoyer votre site du piratage d’URL de charabia injecté. Ne manquez pas de suivre nos campagnes sur les réseaux sociaux et de partager vos astuces ou conseils pour rester en sécurité sur le Web avec le hashtag #nohacked.
Si vous avez d’autres questions, vous pouvez les poser dans les
Webmaster Help Forums
où une communauté de webmasters pourra vous aider à y répondre. Vous pouvez également participer à notre
Hangout on Air about Security
le 26 août.
Annexe
Voici des outils qui pourraient vous être utiles. Google ne les gère ni ne les prend en charge.
PHP Decoder,
UnPHP: Les pirates modifient souvent les fichiers PHP pour les rendre plus difficiles à lire. Utilisez ces outils pour nettoyer les fichiers PHP afin de mieux comprendre ce que fait le fichier PHP.
Comment nous l'appliquons
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Services associés