Pomocy! Moja strona została zhakowana. Jak to naprawić lub temu zapobiec?

Włamanie na konto to bardzo nieprzyjemna sytuacja. Robimy wszystko, aby maksymalnie utrudnić życie hakerom, ale niestety nadal może się zdarzyć, że haker uzyska dostęp do strony. Wtedy najważniejsze jest ustalenie, w jaki sposób haker dostał się do systemu.

Może to być trudne i czasochłonne, ale znajomość przyczyny (źródła) jest konieczna, aby zapobiec takim sytuacjom w przyszłości. Samo usunięcie wszystkiego i przywrócenie kopii zapasowej nie jest rozwiązaniem.

Zainfekowanej strony nie należy ponownie udostępniać w internecie, dopóki nie ma 100% pewności, że problem został usunięty i strona jest bezpieczna.

W panelu sterowania, w ustawieniach domeny (lub w opcji Witryny w przypadku hostingu Windows), mogą Państwo tymczasowo wyłączyć domenę, aby zhakowana strona nie wyrządziła dalszych szkód innym osobom. Ewentualnie można przywrócić starszą kopię zapasową przez Installatron (hosting Linux) albo skorzystać z naszego modułu kopii zapasowych. Najpierw należy usunąć wszystkie katalogi i pliki, a dopiero potem przywrócić kopię zapasową, w przeciwnym razie nowo dodane, zainfekowane pliki pozostaną na serwerze.

Mogą Państwo również zlecić usunięcie skutków włamania naszym specjalistom. Ponieważ jest to czasochłonna praca, ta usługa niestety nie jest bezpłatna.
Kliknij tutaj, aby dowiedzieć się więcej.

Badanie możliwych przyczyn:

• Najczęstsza przyczyna: używany skrypt lub wtyczka nie została zaktualizowana do najnowszej wersji, nie jest bezpieczna lub zawiera błędy. Może to być również moduł, na przykład w WordPress lub Joomla.
• Strona umożliwia odwiedzającym przesyłanie plików, a jeden z odwiedzających przesłał i uruchomił program PHP.
• Używane są przewidywalne, zbyt proste hasła lub hasła, które można znaleźć na przykład w serwisie haveibeenpwned.com.
• Komputer jest zainfekowany wirusem, robakiem lub keyloggerem, który w ten sposób przechwytuje hasła i nazwy użytkowników, na przykład do konta FTP.
• Na stronie jest formularz, w którym można przemycić na przykład kod SQL lub PHP, albo formularz bez Captcha, przez który można rozsyłać spam.
• Warto przejrzeć logi serwera WWW (w DirectAdmin w menu statystyk i logów) pod kątem podejrzanych wpisów. Należy sprawdzić również Litespeed/Apache Usage Log oraz Backed up Apache logs. Prosimy szukać adresów IP z nietypowych krajów, a zwłaszcza żądań POST w połączeniu z adresem IP z zagranicy. Zwykle można tam coś znaleźć. Z jakiego kraju pochodzi dany adres IP, można sprawdzić na przykład w serwisie www.whatsmyip.org.

Jak zapobiec włamaniu:

• Najważniejsze: wszystkie skrypty, takie jak WordPress/Joomla, powinny być zawsze zaktualizowane do najnowszej wersji. Dotyczy to również wtyczek i szablonów. Aktualizacje zwykle można łatwo wykonać przez Installatron lub w samym skrypcie.
• Należy używać FTPS zamiast zwykłego FTP.
• NIGDY nie należy umieszczać w skryptach swojej głównej nazwy użytkownika i hasła. Jeśli jest to konieczne, prosimy utworzyć do tego osobnego użytkownika w panelu sterowania.
• Należy używać wyłącznie znanych i renomowanych skryptów i dbać o ich aktualność.
• NIGDY nie należy udostępniać możliwości przesyłania plików. To bardzo niebezpieczne.

WordPress, Joomla i inne skrypty: prosimy zadbać o instalację najnowszej wersji!
Aktualizowanie WordPress, Joomla i innych skryptów jest bardzo ważne. W ten sposób zazwyczaj można zapobiec włamaniom. Przez Installatron (hosting Linux) aktualizacje instaluje się bardzo łatwo. Jeśli WordPress, Joomla lub inny skrypt nie został zainstalowany przez Installatron, można go łatwo zaimportować do Installatron, a następnie zaktualizować.

Zabezpieczanie katalogów, takich jak administrator w Joomla
Katalogi takie jak /administrator warto dodatkowo zabezpieczyć. Ten artykuł wyjaśnia, jak to zrobić.

Włamanie typu iframe:

Jeśli strona padła ofiarą włamania typu iframe, przyczyną jest często trojan na komputerze, który sam uzyskuje dostęp do kont FTP.

• Prosimy sprawdzić, czy strona rzeczywiście została zhakowana. Można to zrobić na przykład w serwisie UnmaskParasites.
• Do logowania należy używać FTPS zamiast FTP. FTP przesyła wszystkie dane otwartym tekstem, a FTPS szyfruje przesyłane dane, dzięki czemu hakerom trudniej jest je przechwycić.
• Następnie prosimy zmienić wszystkie hasła FTP.
• Prosimy zmienić uprawnienia wszystkich katalogów (Linux) w panelu sterowania (menedżer plików) lub przez FTP na chmod 755, a wszystkich plików na chmod 644.

Włamanie przez HTACCESS / zmieniony plik .htaccess:

W poniższym przykładzie haker zmienił plik .htaccess. Google i Yahoo nadal normalnie indeksują stronę, ale wszyscy pozostali odwiedzający są przekierowywani na stronę hakera.

RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*yahoo.*$ [NC,OR]
RewriteRule .* http://hacker.xx/in.html?= [R,L]

Google oznacza stronę jako niebezpieczną (strona zgłoszona jako atakująca!):

Pod poniższymi linkami można uzyskać informacje (prosimy wpisać własną nazwę domeny):

http://safebrowsing.clients.google.com/safebrowsing/diagnostic?client=Firefox&hl=nl&site=http://www.nazwadomeny.xx/

Pod tym linkiem można między innymi uzyskać informacje, ale też złożyć prośbę, aby domena lub strona nie była już oznaczana jako niebezpieczna. Prosimy jednak upewnić się, że strona została całkowicie oczyszczona!

http://www.google.com/support/webmasters/bin/answer.py?hl=nl&answer=45432

1. Wybierz odpowiednią stronę w panelu Narzędzi dla webmasterów.
2. W komunikacie „Fragmenty tej witryny mogą rozpowszechniać złośliwe oprogramowanie” kliknij „Więcej informacji”.
3. Kliknij „Poproś o weryfikację”.