Мой сайт взломали — и что теперь?

Понедельник, 7 апреля 2008 г.

Хорошо, ваш сайт взломали. Это случается со многими вебмастерами, несмотря на всю ту тяжелую работу, которую вы вкладываете в предотвращение подобных инцидентов. Советы по профилактике включают в себя обновление вашего сайта с помощью новейшего ПО и патчей, создание аккаунта в
Google Webmaster Tools
чтобы видеть, что индексируется, мониторинг файлов журналов, чтобы убедиться, что не происходит ничего подозрительного, и т. д. (Дополнительную информацию можно найти в
Краткий контрольный список безопасности
который мы опубликовали в прошлом году.)

Помните, что вы не одиноки — взломанные сайты становятся все более распространенным явлением. Взлом может привести к заражению вашего сайта бэдварем (а именно вредоносным ПО, одним из видов бэдвара). Взгляните на
StopBadware’s недавно опубликованный отчет о
Тенденции в области вредоносного ПО за 2007 год
для комплексного анализа угроз и тенденций за предыдущий год. Ознакомьтесь с
этим легким техническим отчетом
на
Google Online Security Blog
в котором освещается растущее число результатов поиска, содержащих URL-адрес, помеченный как вредоносный. Для получения еще более глубоких технических отчетов по анализу веб-вредоносного ПО см.
Призрак в браузере
(pdf) и этот
технический отчет
(pdf) о загрузках методом сбора. Прочтите их, и вы получите гораздо лучшее представление о масштабах проблемы. Они также включают в себя реальные примеры различных типов вредоносного ПО.В любом случае первым шагом должно стать обращение к вашему хостинг-провайдеру, если он у вас есть.

Первым шагом в любом случае должно стать обращение к вашему хостинг-провайдеру, если он у вас есть. Часто они могут взять на себя большую часть тяжелой технической работы. Многие вебмастера используют общий хостинг, что может затруднить выполнение некоторых из приведенных ниже действий. Определенные советы, отмеченные звездочкой (*), относятся к случаям, когда вебмастерам, использующим общий хостинг, скорее всего, потребуется помощь хостинг-провайдера. Если у вас есть полный контроль над вашим сервером, мы рекомендуем выполнить следующие четыре условия:

Перевод сайта в оффлайн

• Временно переведите сайт в оффлайн, по крайней мере, до тех пор, пока вы не будете уверены, что все исправили.
• Если вы не можете отключить его, верните
  503 код состояния
  чтобы предотвратить его сканирование.
• В Webmaster Tools используйте
  инструмент удаления URL
  чтобы удалить из результатов поиска любые взломанные страницы или URL-адреса, которые могли быть добавлены. Это предотвратит показ взломанных страниц пользователям.

Оценка ущерба

• Хорошая идея — выяснить, чего именно добивался хакер.
  • Искали ли они конфиденциальную информацию?
  • Хотели ли они получить контроль над вашим сайтом для других целей?
• Ищите измененные или загруженные файлы на вашем веб-сервере.
• Проверьте логи вашего сервера на предмет любой подозрительной активности, такой как неудачные попытки входа в систему, история команд (особенно от имени root), неизвестные учетные записи пользователей и т. д.
• Определите масштабы проблемы — есть ли у вас другие сайты, которые могут пострадать?

Восстановление

• Самое лучшее, что можно сделать в данной ситуации, — это полная переустановка ОС из надежного источника. Это единственный способ быть абсолютно уверенным в том, что вы ударили все, что мог сделать хакер.*
• После свежей переустановки используйте последнюю имеющуюся у вас резервную копию для восстановления сайта. Не забудьте убедиться, что резервная копия чистая и не содержит взломанного контента.*
• Установите последние версии всех программных пакетов. Сюда входят такие вещи, как платформы для блогов, системы управления контентом или любое другое установленное стороннее ПО.
• Измените свои пароли —
  см. наш справочный центр для получения советов о создании надежного пароля

Восстановление вашего присутствия в сети

• Верните вашу систему в онлайн.
• Если вы являетесь пользователем Webmaster Tools, войдите в свой аккаунт
  • Если ваш сайт был помечен как содержащий вредоносное ПО, запросите проверку, чтобы определить, чист ли ваш сайт
  • Если вы использовали инструмент удаления URL для URL-адресов, которые вы хотите оставить в индексе, попросите Webmaster Tools повторно включить ваш контент, отменив удаление.
• Следите за ситуацией, так как хакер может попытаться вернуться.

Ответы на другие вопросы, которые вы можете задать:

Что лучше: отключить сайт или использовать robots.txt для предотвращения его сканирования?
Отключить его — лучший вариант; это предотвратит распространение вредоносного ПО среди пользователей и не позволит хакерам продолжать злоупотреблять системой.

Как только я починил свой сайт, какой самый быстрый способ повторной индексации? Лучший способ, независимо от того, был ли ваш сайт взломан или нет, — следовать
Webmaster Help Center guidelines.

Я все очистил, но оштрафует ли меня Google, если хакер ссылался на какие-то плохие районы? Мы постараемся этого не делать. Мы довольно хорошо умеем добиваться того, чтобы хорошие сайты не подвергались штрафам из-за действий хакеров и спамеров. На всякий случай полностью удалите любые ссылки, которые могли добавить хакеры.

Что делать, если это произошло на моем домашнем компьютере? Все вышесказанное по-прежнему применимо. Вам нужно будет уделить особое внимание очистке; если вы этого не сделаете, скорее всего, все повторится снова. Идеальным вариантом является полная переустановка ОС.

Дополнительные ресурсы, которые могут оказаться полезными:

• Если ваш сайт был помечен Google как распространяющий вредоносное ПО, мы
  предупредим вас
  когда вы посетите
  Webmaster Tools.
• Не забудьте про
  Google Webmaster Help Group; он полон чрезвычайно знающих пользователей, а также сотрудников Google. Отличный пример по теме можно посмотреть в
  этой ветке. Также есть
  Stop Badware group.
• Мэтт Каттс недавно опубликовал
  Три совета по защите вашей установки WordPress
  в своем блоге, а под постом также есть много отличных комментариев.

Автор: Натан Джонс (Search Quality Team)