Мой сайт был взломан? Как проверить

1. Реактивные пути, которые вы можете обнаружить, ваш сайт был взломан
2. Google Chrome (или другой браузер) предупреждает вас
3. Ваш хостинг провайдер переводит ваш сайт в автономный режим, потому что он взломан
4. Результаты поиска Google Пометить ваш сайт как взломанный или вредный
5. Консоль поиска Google предупреждает вас о вредоносных программах на вашем сайте
6. Ваш вредоносный сканер предупреждает вас о заражении или взломе
7. Клиент связывается с вами по поводу взлома вашего сайта
8. Проактивные способы обнаружения взлома до того, как Google или ваши клиенты заметят
9. Используйте службу мониторинга, которая включает изменения сайта
10. Контролировать трафик сайта и следить за шипами
11. Регулярно посещайте ваш сайт
12. Используйте удаленный сканер
13. Заключение

Большинство клиентов, которые обращаются к нам за помощью в очистке взломанного сайта, обнаружили, что их сайт взломан, потому что их браузер предупреждает их, когда они посещают их собственный сайт, или их хостинг-провайдер отключил свой сайт. Это губительно, потому что это означает, что ваш сайт был заражен достаточно долго, чтобы хакеры могли нанести ущерб. Ущерб, нанесенный ими, привел к тому, что хостинг-провайдер закрыл сайт, или Google обнаружил, что на сайте размещены вредоносные программы, SEO-спам или фишинг-атака.

Именно поэтому мы призываем всех наших клиентов инвестировать в безопасность своих сайтов. Вы можете использовать Wordfence (наш собственный продукт) или один из множества альтернативных продуктов, но важно, чтобы у вас был способ получать уведомления об изменении ваших файлов, обнаружении вредоносных программ или других подозрительных действиях.

Давайте определим различные способы, которыми вы можете обнаружить или обнаружить, что ваш сайт был взломан.

Реактивные пути, которые вы можете обнаружить, ваш сайт был взломан

Даже самые настороженные системные администраторы не могут контролировать свой сайт 100% времени. Лучшие инструменты мониторинга имеют задержку между каждой проверкой или сканированием сайта. Таким образом, вы можете обнаружить, что обнаружили, что вас взломали из внешнего источника. Давайте рассмотрим некоторые способы, которыми вы можете обнаружить, что ваш сайт был взломан. Мы обсуждаем это, потому что все они являются источниками данных, которые вы можете использовать для проактивного мониторинга состояния вашего сайта.

Google Chrome (или другой браузер) предупреждает вас

Если один из ваших посетителей (или вы) увидели одно из следующих предупреждений в Chrome, ваш сайт, вероятно, был взломан и заражен вредоносным ПО.

Приведенное выше предупреждение означает, что ваш сайт использовался в фишинговых кампаниях. Жертва отправляет по электронной почте URL-адрес, содержащий ссылку на ваш сайт. Хакер использует ваш веб-сайт для размещения вредоносного ПО, которое заставляет жертву предпринять какие-либо действия, которые требуется хакеру при посещении вашего сайта.

Приведенное выше предупреждение означает, что на вашем сайте размещено вредоносное ПО. Хакер получил доступ к вашему сайту, установил на него вредоносное ПО и заражает компьютеры, принадлежащие посетителям вашего сайта.

Ваш хостинг провайдер переводит ваш сайт в автономный режим, потому что он взломан

В этом случае ваш хост может получать сообщения от посетителей сайта о том, что ваш сайт был взломан, их собственные автоматизированные средства безопасности могли предупреждать их или они могли получать предупреждения от автоматизированных систем за пределами своей компании. В любом случае они обычно сразу же переводят ваш сайт в автономный режим.

Обратите внимание, что некоторые хостинговые компании применяют политику немедленного форматирования зараженной учетной записи сервера или хостинга. Они делают это, чтобы предотвратить распространение инфекции среди других клиентов даже после отключения сайта. Это еще одна причина, почему важно иметь резервные копии или ваш сайт.

Ваш хост обычно уведомляет вас по электронной почте, что ваш сайт отключен.

Результаты поиска Google Пометить ваш сайт как взломанный или вредный

Если вы или один из посетителей вашего сайта заметили следующее в результатах поиска, включающих ваш сайт, он, вероятно, был взломан.

Google часто просто удаляет взломанные сайты из результатов поиска. Но в некоторых случаях сайт все еще может быть в списке, но будет помечен сообщением о том, что «Этот сайт может быть взломан» или «Этот сайт может нанести вред вашему компьютеру». Когда вы переходите на веб-сайт с помощью Chrome, браузер выдаст одно из приведенных выше предупреждений. Пользователь, использующий другой браузер, может не получать предупреждения, поэтому предупреждение также включается в результаты поиска.

«Этот сайт может быть взломан» означает, что Google обнаружил что-то необычное на вашем сайте, например необычные изменения на существующих страницах или добавление новых с SEO-спамом или переадресацией. Эти сайты обычно не отображают стандартную страницу предупреждения о вредоносных программах Google.

«Этот сайт может нанести вред вашему компьютеру» означает, что Google обнаружил вредоносное ПО на сайте, и если вы посещаете сайт, вы делаете это на свой страх и риск, и вы увидите предупреждение о вредоносном ПО Google, если вы щелкнете по которому, чтобы предупредить вас о том, что сайт в настоящее время небезопасен.

Консоль поиска Google предупреждает вас о вредоносных программах на вашем сайте

Google «Search Console» Раньше назывался «Инструменты Google для веб-мастеров». Если вы запускаете веб-сайт, вам следует немедленно настроить консоль поиска Google, если вы еще этого не сделали. Он предупредит вас о проблемах, с которыми Google может столкнуться при индексации вашего сайта, и предоставит вам статистику, показывающую ваши посещения сайта с помощью поиска.

Консоль поиска может отправлять вам оповещения о вашем сайте по электронной почте, в том числе, если она обнаруживает, что ваш сайт заражен вредоносным ПО. Перейдите к «Настройкам консоли поиска» и включите оповещения по электронной почте. Это немедленно уведомит вас, когда Google обнаружит вредоносное ПО на вашем сайте, и вы сможете исправить проблему, прежде чем они начнут отображать предупреждения.

Если вы вошли в консоль поиска, посетите панель «Проблемы безопасности» и, если вы увидите предупреждение, подобное приведенному ниже, это означает, что ваш сайт заражен.

Ваш вредоносный сканер предупреждает вас о заражении или взломе

Если вы используете Wordfence или другой сканер вредоносных программ, вы можете получить предупреждение о заражении. Это предпочтительный метод обнаружения взлома, потому что обычно он занимает самое короткое время между заражением и обнаружением.

Обычно вы будете получать это оповещение по электронной почте, поэтому важно внимательно следить за оповещениями с ваших сайтов. Не создавайте слепую зону, потому что вы получаете слишком много предупреждений. Вы можете настроить, какие оповещения вы будете получать по электронной почте в вашем программном обеспечении для мониторинга.

Клиент связывается с вами по поводу взлома вашего сайта

Посетители вашего сайта просматривают ваш сайт чаще, чем вы. Если у вас есть несколько тысяч посещений в день, и ваш сайт явно взломан, вполне вероятно, что клиент может связаться с вами до того, как вы получите предупреждение, или Google обнаружит взлом. Немедленно сообщите вашему клиенту, что вы принимаете меры. Вы также должны рассмотреть вопрос о переводе вашего сайта в автономный режим.

Проактивные способы обнаружения взлома до того, как Google или ваши клиенты заметят

Используйте сканер исходного кода

Инфекции часто хорошо скрыты и не видны посторонним посетителям. Вы можете использовать исходный код сканер вредоносных программ лайк Wordfence определить, если ваш сайт взломан. Сканер будет систематически проверять весь ваш PHP и другой исходный код на наличие вредоносных программ и предупреждать вас о наличии любых вредоносных программ.

Сканеры исходного кода используют несколько механизмов для обнаружения взлома. Основной метод обнаружения - поиск известных сигнатур вредоносного ПО или шаблонов, соответствующих коду вредоносного кода. Новые методы не обнаруживаются с помощью этого метода, поэтому другой метод, который используют более сложные сканеры, - это сравнение исходного кода с известной хорошей версией того же кода. Например, Wordfence будет сравнивать исходный код ядра, темы и плагина WordPress с известной верной версией тех же файлов и предупреждать вас о любых изменениях. Этот метод обнаруживает новые инфекции, где сигнатура обнаружения может еще не существовать. Выполнение сканирования вручную с помощью сканера исходного кода - очень эффективный способ обнаружения и устранения взлома.

Используйте службу мониторинга, которая включает изменения сайта

Мы используем сервис мониторинга на наших сайтах, который предупреждает нас о простоях. Он включает в себя сервис, который сообщает нам, изменилась ли страница более чем на определенный процент. Многие из наших страниц не изменяются вообще или могут иметь незначительные изменения, такие как дата или год авторского права. Мы отслеживаем эти страницы и получаем уведомление, если изменяется более чем небольшой процент страниц.

WebSitePulse предоставляет услугу, которая включает в себя мониторинг контента, как это делает Pingdom , Как правило, это платные услуги, но они могут быть эффективным способом оповещения, если вас взломали в течение нескольких минут.

Большинство хороших услуг включают возможность мониторинга из разных мест. Мы рекомендуем вам включить это, потому что взломанный сайт не всегда обслуживает вредоносное ПО. Он часто предназначен только для определенных пользователей в зависимости от местоположения, времени суток, источника трафика или других параметров. Мониторинг нескольких страниц из разных мест может улучшить обнаружение.

Контролировать трафик сайта и следить за шипами

Если трафик вашего сайта резко возрастает, вы должны немедленно выполнить сканирование исходного кода и убедиться, что вас не взломали. Взломанные сайты часто видят резкий всплеск трафика.

Одной из причин скачка трафика может быть то, что ваш сайт включен в спам-кампанию. Хакер рассылает спам и добавляет ссылку на ваш сайт, на котором размещается вредоносное ПО или перенаправляется трафик на другой вредоносный сайт. Хакеры делают это, чтобы избежать обнаружения спама. Ваш сайт является «чистым» доменом и неизвестно, содержит ли он вредоносное ПО при первом заражении. Включив ссылку на ваш сайт вместо собственного известного сайта размещения вредоносных программ, хакеры избегают обнаружения спама. Это приводит к резкому скачку трафика на вашем сайте.

В дополнение к инструментам мониторинга трафика на основе javascript, таким как Google Analytics, вам также следует отслеживать трафик вашего сайта на предмет «бот» трафика, который обычно не регистрируется Google Analytics. Вы можете использовать функцию живого трафика Wordfence или другой серверный инструмент мониторинга трафика. Ваш хостинг-провайдер может включать диаграммы, которые показывают трафик сервера или использование полосы пропускания.

Регулярно посещайте ваш сайт

Если вы заметили какие-либо изменения или какой-либо странный текст, внедренный в ваши страницы, вы должны немедленно выполнить сканирование на вашем сайте, чтобы проверить наличие инфекции. Ошибки PHP также являются общим признаком того, что вы можете быть заражены, и они часто появляются в самой верхней части вашей страницы, часто над содержимым.

Как правило, просто посещайте несколько страниц на своем собственном сайте для проверки работоспособности, по крайней мере, один раз в день.

Используйте удаленный сканер

Удаленные сканеры просматривают «визуализированную» версию вашего сайта. Это означает, что они смотрят на HTML, который создает ваш сайт, а не на исходный код сайта. Это может обнаружить взлом, если хакер решил включить вредоносное ПО в HTML-код, который он обслуживает, для текущего посетителя сайта и на просматриваемой странице.

Хакеры часто включают код, который отображает вредоносное ПО только для определенных посетителей в определенное время и соответствует определенным критериям. По этой причине возможно, что удаленный сканер пропустит заражение, потому что вредоносная программа просто не активна в это время или зараженный код не отображает вредоносную программу для сканера, когда сканер проверяет сайт. Тем не менее, удаленные сканеры вредоносных программ могут подхватить множество простых вирусов, и их стоит использовать в качестве дополнительного инструмента.

Вот несколько инструментов для просмотра файлов и удаленных сканеров, которые могут помочь вам обнаружить инфекцию:

• VirusTotal имеет функцию сканирования URL, которая проверяет реакцию вашего сайта на огромное количество вирусных баз и сообщит вам, активировала ли вы какую-либо из них.
• SpamHaus поддерживает различные списки. Вы можете использовать эту страницу проверить имя хоста и IP-адрес вашего сайта по различным спискам SpamHaus. Если ваш сайт появляется, он был помечен для включения в спам-сообщения или размещения вредоносных программ. Оба указывают, что ваш сайт был взломан.
• Вы можете используйте эту ссылку, чтобы проверить статус своего сайта в списке безопасного просмотра Google , Просто замените «wordfence.com» в конце URL на собственное имя хоста вашего сайта. Не забывайте "www." если ваш сайт имеет префикс с этим. На странице будет указано, помечен ли ваш сайт Google для фишинга или размещения вредоносных программ. Он также расскажет вам историю вашего сайта и то, что произошло, когда Google последний раз сканировал ваш сайт.
• urlquery.net выполняет очень полезный анализ отклика вашего сайта, включая проверку того, вызвал ли ваш отклик срабатывание систем обнаружения вторжений Snort и Suricata, показывает захваченные файлы, черные списки вашего сайта, а также разбивает отклик на HTTP-транзакции и то, чем они были.
• aw-snap.info включает в себя инструмент для просмотра файлов он выделяет теги сценариев, iframes и другие обнаруживаемые внедрения кода и позволяет просматривать заголовки HTTP, которые могут помочь вам увидеть вредоносный код и перенаправления на стороне сервера в ответе вашего сайта. Это также позволит вам переключаться между различными типами пользовательских агентов и поисковых роботов, которые часто обнаруживают скрытые инъекции, которые отображаются только для определенных пользовательских агентов и / или поисковых роботов.

Заключение

Эта статья предоставила вам несколько инструментов для активного мониторинга вашего сайта на предмет взлома, и мы также обсудили способы, которыми вы можете реагировать на то, что вас взломали. Мы рекомендуем вам также использовать «реактивный» раздел как часть вашего инструментария. Например, регулярно входите в консоль поиска Google, чтобы проверить состояние своего сайта, посмотрите на свой собственный сайт в результатах поиска, чтобы убедиться, что все в порядке, и часто посещайте свой собственный сайт в Google Chrome, где вы увидите предупреждения браузера.

Поддержание работоспособного и без взлома веб-сайта не должно быть тяжелой работой, но разработка здоровой рутины проверок поможет вам выявить проблемы на раннем этапе и устранить их до того, как произойдет какое-либо повреждение.