Na webe sú vložené odkazy na podvodné domény
Čo to je
V HTML úvodnej stránky sú odkazy na domény s koncovkami, ktoré sa hromadne používajú v podvodných kampaniach (napríklad .sbs, .cyou, .cfd). Odkazy, ktoré ste tam sami nedali, sú typický odtlačok SEO injekcie: útočník vloží do stránky skrytý blok odkazov a využije povesť vašej domény.
Pozeráme sa len na HTML úvodnej stránky, ako ho dostane bežný návštevník. Je to heuristika. Nevieme zistiť, ktorým miestom sa útočník dostal, ani koľko ďalších stránok je zasiahnutých.
Prečo je to problém
- Vyhľadávače vás spoja s podvodnými webmi a povesť domény klesá.
- Odkazy na škodlivé ciele vidia aj vaši návštevníci, niekedy web označí za nebezpečný prehliadač alebo Google.
- Vložený obsah znamená, že niekto vie meniť súbory alebo databázu vášho webu. Vložené odkazy sú zvyčajne len to, čoho ste si všimli.
Ako to opraviť
Berte to ako možné napadnutie webu, kým sa nepreukáže opak.
1. Nájdite vložený kód
curl -s https://example.cz/ | grep -oE 'https?://[a-z0-9.-]+\.(sbs|cyou|cfd)[^"<> ]*'Hľadajte rovnakú doménu v šablóne, vo vložených pluginoch a v databáze (príspevky, widgety, voľby šablóny). Skrytý blok býva schovaný cez display:none alebo umiestnený mimo obrazovky.
Časť injekcií sa ukáže len vyhľadávacím robotom. Čo nevidíte v prehliadači, nemusí byť čisté. Skúste si stránku stiahnuť s hlavičkou robota:
curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://example.cz/ | grep -c 'display:none'Samotné číslo veľa nehovorí, pretože display:none používajú aj bežné stránky. Spustite rovnaký príkaz bez prepínača -A (bežné stiahnutie) a porovnajte: znamením je výrazne vyššie číslo pri hlavičke robota alebo skryté bloky s odkazmi, ktoré nepoznáte.
2. Zistite, ktorým miestom sa útočník dostal
- zastaraný plugin, šablóna alebo jadro CMS,
- uniknuté alebo slabé heslo správcu, FTP či hostingu,
- súbory zmenené v poslednom čase, ktoré ste nezmenili vy:
find /var/www -name '*.php' -mtime -14 -type f3. Vyčistite a spevnite
- obnovte web z čistej zálohy, alebo ručne odstráňte vložený kód aj zadné vrátka,
- aktualizujte CMS, pluginy a šablóny, zmažte tie, ktoré nepoužívate,
- odoberte neznámych správcov a zmeňte všetky heslá (správca, databáza, FTP, hosting),
- po oprave spustite sken znova. Ak web označil Google, požiadajte o prehodnotenie v Search Console.