Na webu jsou vložené odkazy na podvodné domény
Co to je
V HTML úvodní stránky jsou odkazy na domény s koncovkami, které se hromadně používají v podvodných kampaních (například .sbs, .cyou, .cfd). Odkazy, které jste tam sami nedali, jsou typický otisk SEO injekce: útočník vloží do stránky skrytý blok odkazů a využije pověst vaší domény.
Díváme se jen na HTML úvodní stránky, jak ho dostane běžný návštěvník. Je to heuristika. Neumíme poznat, kudy se útočník dostal, ani kolik dalších stránek je zasažených.
Proč je to problém
- Vyhledávače vás spojí s podvodnými weby a pověst domény klesá.
- Odkazy na škodlivé cíle vidí i vaši návštěvníci, někdy web označí za nebezpečný prohlížeč nebo Google.
- Vložený obsah znamená, že někdo umí měnit soubory nebo databázi vašeho webu. Vložené odkazy jsou obvykle jen to, čeho jste si všimli.
Jak to opravit
Berte to jako možné napadení webu, dokud se neprokáže opak.
1. Najděte vložený kód
curl -s https://example.cz/ | grep -oE 'https?://[a-z0-9.-]+\.(sbs|cyou|cfd)[^"<> ]*'Hledejte stejnou doménu v šabloně, ve vložených pluginech a v databázi (příspěvky, widgety, volby šablony). Skrytý blok bývá schovaný přes display:none nebo umístěný mimo obrazovku.
Část injekcí se ukáže jen vyhledávacím robotům. Co nevidíte v prohlížeči, nemusí být čisté. Zkuste si stránku stáhnout s hlavičkou robota:
curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://example.cz/ | grep -c 'display:none'Samotné číslo moc neříká, protože display:none používají i běžné stránky. Spusťte stejný příkaz bez přepínače -A (běžné stažení) a porovnejte: znamením je výrazně vyšší číslo u hlavičky robota nebo skryté bloky s odkazy, které nepoznáváte.
2. Zjistěte, kudy se útočník dostal
- zastaralý plugin, šablona nebo jádro CMS,
- uniklé nebo slabé heslo správce, FTP či hostingu,
- soubory změněné v poslední době, které jste nezměnili vy:
find /var/www -name '*.php' -mtime -14 -type f3. Vyčistěte a zpevněte
- obnovte web z čisté zálohy, nebo ručně odstraňte vložený kód i zadní vrátka,
- aktualizujte CMS, pluginy a šablony, smažte ty, které nepoužíváte,
- odeberte neznámé správce a změňte všechna hesla (správce, databáze, FTP, hosting),
- po opravě spusťte sken znovu. Pokud web označil Google, požádejte o přehodnocení v Search Console.