Na stronie są wstrzyknięte linki do oszukańczych domen
Co to jest
W HTML strony głównej są linki do domen z końcówkami masowo używanymi w oszukańczych kampaniach (na przykład .sbs, .cyou, .cfd). Linki, których sam tam nie umieściłeś, to typowy ślad wstrzyknięcia SEO: atakujący dodaje do strony ukryty blok linków i wykorzystuje reputację Twojej domeny.
Patrzymy tylko na HTML strony głównej tak, jak dostaje go zwykły odwiedzający. To heurystyka. Nie umiemy ustalić, którędy wszedł atakujący ani ile innych stron jest dotkniętych.
Dlaczego to problem
- Wyszukiwarki łączą Cię z oszukańczymi stronami i reputacja domeny spada.
- Odwiedzający mogą trafić na szkodliwe cele, a przeglądarka lub Google może oznaczyć stronę jako niebezpieczną.
- Wstrzyknięta treść oznacza, że ktoś potrafi zmieniać pliki lub bazę Twojej strony. Linki to zwykle tylko to, co udało się zauważyć.
Jak to naprawić
Traktuj to jako możliwe włamanie, dopóki nie wykażesz inaczej.
1. Znajdź wstrzyknięty kod
curl -s https://example.cz/ | grep -oE 'https?://[a-z0-9.-]+\.(sbs|cyou|cfd)[^"<> ]*'Szukaj tej samej domeny w szablonie, we wtyczkach i w bazie danych (wpisy, widżety, opcje szablonu). Ukryty blok bywa schowany przez display:none albo umieszczony poza ekranem.
Część wstrzyknięć pokazuje się tylko robotom wyszukiwarek. To, czego nie widzisz w przeglądarce, nie musi być czyste. Pobierz stronę z nagłówkiem robota:
curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://example.cz/ | grep -c 'display:none'Sama liczba niewiele mówi, bo display:none stosują też zwykłe strony. Uruchom to samo polecenie bez opcji -A (zwykłe pobranie) i porównaj: sygnałem jest wyraźnie wyższa liczba przy nagłówku robota albo ukryte bloki z linkami, których nie rozpoznajesz.
2. Ustal, którędy wszedł atakujący
- przestarzała wtyczka, szablon lub rdzeń CMS,
- wyciekłe lub słabe hasło administratora, FTP albo hostingu,
- ostatnio zmienione pliki, których nie zmieniałeś Ty:
find /var/www -name '*.php' -mtime -14 -type f3. Wyczyść i wzmocnij
- przywróć stronę z czystej kopii albo ręcznie usuń wstrzyknięty kod i tylne drzwi,
- zaktualizuj CMS, wtyczki i szablony, a nieużywane usuń,
- usuń nieznanych administratorów i zmień wszystkie hasła (admin, baza, FTP, hosting),
- po naprawie uruchom skan ponownie. Jeśli Google oznaczył stronę, poproś o ponowną weryfikację w Search Console.