Sigurnost weba
Hakiran WordPress web: što napraviti prvo.
Hakiran web ne izgleda uvijek hakirano. Posjetitelji možda ne vide ništa neobično, dok Google vidi stranice sa spamom ili se poslužitelj muči pod opterećenjem. Vodič opisuje kako to prepoznati, što napraviti prije brisanja, kako očistiti web i što napraviti u Search Consoleu.
Znakovi
Kako hakiranje može izgledati.
01
Spam koji vidi samo Google
U rezultatima pretrage pojavljuju se stranice ili naslovi koje niste napisali, a ista adresa u vašem pregledniku izgleda normalno. To se zove cloaking: web Googlebotu pokazuje drukčiji sadržaj nego ljudima.
02
Neobjašnjivo opterećenje poslužitelja
Poslužitelj je spor ili hosting upozorava na potrošnju resursa, a promet to ne objašnjava. Skrivene skripte, među njima i crypto mineri, mogu stalno trošiti procesor poslužitelja.
03
Nepoznati korisnici i datoteke
Administrator kojeg nitko ne prepoznaje, PHP datoteke koje niste dodali ili nedavno promijenjene datoteke jezgre.
04
Upozorenja izvana
Poruka u Search Consoleu, upozorenje preglednika ili obavijest ili suspenzija od hostinga.
Da biste provjerili što vidi Google, pretražite site:vasadomena.hr, pregledajte nekoliko stranica rezultata i sumnjive adrese upišite u alat za pregled URL-a u Search Consoleu. Uredna stranica u vašem pregledniku kod ove vrste napada ništa ne dokazuje.
Prije čišćenja
Nemojte početi brisanjem.
- Napravite zasebnu kopiju datoteka i baze u sadašnjem stanju. Trebat će vam da nađete kako je napadač ušao i ako čišćenje nešto pokvari.
- Zapišite kada ste primijetili problem i što ste vidjeli.
- Javite se hostingu. Možda vidi zapise koje vi ne vidite, a mogući su i drugi webovi na istom računu.
- Staru kopiju nemojte vraćati dok ne znate da je ulaz zatvoren, jer ista rupa ostaje otvorena. I sama kopija možda već sadrži zarazu.
Čišćenje
Uklonite kod i zatvorite ulaz.
01
Pristupi
Promijenite lozinke za hosting, FTP ili SFTP, bazu i sve korisnike WordPressa, uključite prijavu u dva koraka gdje možete i obnovite tajne ključeve u wp-config.php, da se svi odjave. Uklonite korisnike koje ne prepoznajete.
02
WordPress, teme i dodaci
Jezgru WordPressa zamijenite čistom kopijom iste verzije, a teme i dodatke ponovno instalirajte iz službenog izvora. Uklonite ono što ne koristite, pa sve ažurirajte.
03
Gdje gledati
Prvo .htaccess, zatim index.php, wp-load.php, functions.php, header.php i footer.php, datoteke izvan standardne instalacije, nedavno promijenjene i neuobičajeno velike datoteke.
04
Kako izgleda sumnjiv kod
Dugi blokovi nečitljivog teksta uz base64_decode, eval, gzinflate, rot13 ili strrev. Nije svaka upotreba zlonamjerna, a zlonamjeran kod može izgledati i obično, pa usporedite s izvornim datotekama, a ne oslanjajte se samo na pretragu.
Pronaći uzrok jednako je važno kao ukloniti kod. Ako ulaz ostane otvoren, ista se zaraza obično vraća. Koraci prate Googleov vodič o napadu skrivenim ključnim riječima (na engleskom) i česta pitanja WordPressa o hakiranim webovima (na engleskom).
Nakon čišćenja: Search Console.
- Otvorite izvještaj o sigurnosnim problemima. Ako navodi problem, popravite sve što piše, pa tamo zatražite pregled.
- Adrese sa spamom ponovno provjerite alatom za pregled URL-a. „Nije pronađeno” dobar je znak da ih više nema, a 404 u vašem pregledniku nije dovoljan, jer ga napad možda pokazuje samo vama.
- Provjerite robots.txt i sitemap te da napadač nije dodao još jednog vlasnika u Search Consoleu.
- Uklanjanje adresa alatom za uklanjanja samo ih privremeno skriva. Ne čisti web, pa dolazi tek nakon čišćenja, ako uopće treba.
Adrese sa spamom mogu neko vrijeme ostati u rezultatima i nakon čišćenja. Datum ne obećavamo, jer taj dio ovisi o Googleu.
Iz našeg rada
Četiri slučaja, četiri pouke.
01
Farmaceutski spam koji je vidio samo Google
Na jednom webu Google je prikazivao stranice sa spamom za Viagru, a posjetitelji nisu vidjeli ništa neobično. Uzrok je bio neažuriran dodatak u koji je bio ubačen base64 kod. Nakon uklanjanja poduzeli smo ostale mjere kroz Search Console, da se web što prije vrati u normalu.
02
Crypto miner na poslužitelju
Drugi web bio je zaražen crypto minerom koji je stvarao ogromno opterećenje na poslužitelju. Znak je ovdje bilo opterećenje, a ne sadržaj.
03
Nulled dodaci
Četvrti web koristio je nulled dodatke, plaćene dodatke koji se dijele bez licence, i bio je zaražen s više vrsta špijunskog softvera. Obrisali smo zaražene dodatke, očistili datoteke i poslužitelj, a kasnije smo te dodatke zamijenili rješenjima izrađenima po mjeri.
04
Bez ijedne kopije
Treći slučaj nije bio napad: disk poslužitelja trajno je izgubio sve podatke, a web nije imao sigurnosne kopije. Rekonstruirali smo ga iz archive.org, Googleove predmemorije i drugih izvora. Uspjelo je, ali to je mnogo više posla od vraćanja kopije, a kopiju i preporučujemo.
Prevencija
Što sljedeći put čini manje vjerojatnim i manje skupim.
- Ne instalirajte nulled dodatke ni teme. Ostale ažurirajte prema rasporedu, a one koje ne koristite uklonite. Vodič o održavanju opisuje provjere prije i nakon nadogradnji.
- Čuvajte kopije izvan poslužitelja i isprobajte povrat. Vodič o testu povrata pokazuje kako.
- Svakoj osobi dajte zaseban račun, najnižu ulogu koja joj je dovoljna i prijavu u dva koraka.
- Pratite opterećenje poslužitelja i Search Console, da promjenu primijetite prije svojih kupaca.
Kontrolni popis
Kratka verzija.
- Jeste li napravili kopiju sadašnjeg stanja prije izmjena?
- Jeste li provjerili site:vasadomena.hr i pregled URL-a, a ne samo svoj preglednik?
- Jesu li sve lozinke promijenjene i svi korisnici poznati?
- Jesu li jezgra, teme i dodaci zamijenjeni čistim kopijama i ažurirani?
- Jeste li pronašli kako je napadač ušao?
- Jeste li zatražili pregled ako izvještaj o sigurnosnim problemima navodi problem?
- Imate li isprobanu kopiju izvan poslužitelja?
Besplatna provjera gleda samo izvana, pa ne može potvrditi da je web čist. Može pokazati što je javno izloženo.
Mislite da je vaš web hakiran?
Napišite nam što ste primijetili i kada. Lozinke ne šaljite e-poštom. Pogledajte i našu uslugu sigurnosti weba.