Понедельник, 24 августа 2015 г.
Сегодня в рамках нашей кампании #NoHacked мы расскажем о том, как устранить взлом с внедрением случайных символов в URL, о котором мы писали на прошлой неделе. Даже если ваш сайт не заражен этим конкретным типом взлома, многие из этих шагов будут полезны для исправления других видов взлома. Следите за обсуждениями в
Twitter
и Google+ по тегу
#NoHacked.
(Часть 1,
Часть 2,
Часть 3,
Часть 4)
Временно переведите сайт в оффлайн
Временный перевод сайта в оффлайн режим закроет посетителям доступ к взломанным страницам и даст вам время на надлежащее восстановление сайта. Если оставить сайт онлайн, вы рискуете подвергнуться повторному взлому во время очистки.
Обработка вашего сайта
Следующие несколько шагов требуют уверенных навыков внесения технических изменений на ваш сайт. Если вы не достаточно знакомы с сайтом или не чувствуете уверенности для выполнения этих изменений, лучше обратиться к специалисту или нанять его. Тем не менее, чтение этих шагов все равно будет полезным.
Прежде чем приступать к исправлению сайта, мы рекомендуем сделать его резервную копию. (Эта резервная копия все еще будет содержать взломанный контент и должна использоваться только в том случае, если вы случайно удалите критический файл). Если вы не уверены, как сделать резервную копию сайта, обратитесь за помощью к хостинг-провайдеру или изучите документацию вашей системы управления контентом (CMS). При выполнении шагов обязательно сохраняйте копию каждого удаляемого файла.
Проверка файла .htaccess
Для манипуляций с вашим сайтом этот тип взлома создает или изменяет содержимое файла
.htaccess .
Если вы не знаете, где найти файл.htaccess , обратитесь к документации вашего сервера или CMS. Проверьте содержимое файла
.htaccess на наличие подозрительного контента. Если вы не знаете, как интерпретировать содержимое файла .htaccess , вы можете прочитать об этом в документации Apache.org , задать вопрос на форуме помощи или проконсультироваться со специалистом. Вот пример файла
.htaccess
, измененного в результате этого взлома: Выявление других вредоносных файлов
Наиболее распространенными типами файлов, которые изменяются или внедряются при этом взломе, являются файлы JavaScript и PHP. Хакеры обычно используют два подхода: первый — вставка новых файлов PHP или JavaScript на ваш сервер. Внедренные файлы иногда могут называться очень похоже на легитимный файл на вашем сайте, например
wp-cache.php по сравнению с легитимным файлом wp_cache.php
. Второй подход заключается в изменении легитимных файлов на вашем сервере и внедрении в них вредоносного контента. Например, если у вас на сайте есть файл JavaScript шаблона или плагина, хакеры могут добавить в него вредоносный код JavaScript.Например, на
www.example.com в папку сайта был внедрен вредоносный файл с именем happypuppy.php , ранее обнаруженный в файле.htaccess . Однако хакеры также повредили легитимный файл JavaScript под названием json2.js , добавив в него вредоносный код. Вот пример поврежденного файла json2.js . Вредоносный код выделен красным цветом и добавлен в самый низ файла json2.js : Чтобы эффективно отслеживать вредоносные файлы, вам нужно понимать функции файлов JavaScript и PHP на вашем сайте. Возможно, вам потребуется обратиться к документации CMS. Как только вы поймете, что делают файлы, вам будет проще находить вредоносные файлы, которым не место на вашем сайте.
Также проверьте сайт на наличие недавно измененных файлов. Шаблонные файлы, которые недавно подвергались изменениям, следует тщательно изучить. Инструменты, которые помогут интерпретировать обфусцированные PHP-файлы, можно найти в Приложении.
Удаление вредоносного контента
Как упоминалось ранее, сделайте надлежащую резервную копию содержимого сайта перед удалением или изменением любых файлов. Если вы регулярно создаете резервные копии сайта, очистка может оказаться такой же простой, как восстановление чистой резервной копии.
Однако, если вы не делаете резервные копии регулярно, у вас есть несколько альтернатив. Во-первых, удалите все вредоносные файлы, добавленные на ваш сайт. Например, на сайте www.example.com вы бы удалили файл
happypuppy.php . Для поврежденных PHP или JavaScript файлов, таких как json2.js
, вам придется загрузить чистую версию этих файлов на сайт. Если вы используете CMS, подумайте о повторной загрузке свежей копии ядровых файлов CMS и плагинов на ваш сайт.Выявление и устранение уязвимости
После удаления вредоносного файла вам нужно будет найти и устранить уязвимость, которая позволила скомпрометировать ваш сайт, иначе вы рискуете подвергнуться взлому снова. Уязвимость может быть любой: от украденного пароля до устаревшего веб-по. Обратитесь к разделу
Google Webmaster Hacked Help
, чтобы узнать способы выявления и устранения уязвимости. Если вы не можете выяснить, как был скомпрометирован ваш сайт, вам следует изменить пароли для всех учетных данных, обновить все веб-по и серьезно задуматься о привлечении дополнительной помощи, чтобы убедиться, что все в порядке.
Дальнейшие действия
После завершения очистки сайта используйте инструмент «Просмотреть как Google», чтобы проверить, по-прежнему ли взломанные страницы видны Google. Для тестирования с помощью инструмента «Просмотреть как Google» вам нужно будет вернуть сайт онлайн. Не забудьте также проверить главную страницу на наличие взломанного контента. Если взломанный контент исчез, поздравляем, ваш сайт должен быть чист! Если инструмент «Просмотреть как Google» по-прежнему видит взломанный контент на этих страницах, вам еще предстоит поработать. Снова проверьте сайт на наличие вредоносных PHP или JavaScript файлов, которые вы могли пропустить.
Верните сайт в режим онлайн, как только будете уверены, что он чист и уязвимость устранена. Если было принято
manual action
frns
на своем сайте вы захотите подать
запрос на повторное рассмотрение
в Search Console. Также подумайте о том, как защитить свой сайт от будущих атак. Вы можете прочитать подробнее о том, как обезопасить свой сайт от будущих атак в
Google Hacked Webmaster Help Center.
Мы надеемся, что эта статья помогла вам лучше понять, как восстановить ваш сайт после взлома с внедрением нечитаемых URL-адресов. Обязательно следите за нашими кампаниями в социальных сетях и делитесь любыми советами или приемами обеспечения безопасности в сети с хэштегом #nohacked.
Если у вас возникнут дополнительные вопросы, вы можете задать их на
Webmaster Help Forums
где сообщество веб-мастеров поможет ответить на ваши вопросы. Вы также можете присоединиться к нашей
Hangout on Air about Security
26 августа.
Приложение
Это инструменты, которые могут оказаться полезными. Google не управляет ими и не поддерживает их.
PHP Decoder,
UnPHP: Хакеры часто искажают файлы PHP, чтобы их было труднее читать. Используйте эти инструменты для очистки файлов PHP, чтобы лучше понять, что делает файл PHP.
Как мы это применяем
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Связанные услуги