Shield: złośliwy kod i backdoory
Czym różni się zainfekowanie od backdoora, jakie ślady szuka skaner, dlaczego złośliwy kod wraca po czyszczeniu i w jakiej kolejności leczyć stronę.
Dwie najpoważniejsze kategorie Shield — złośliwy kod i backdoory. Różnica jest prosta: pierwsze działa w przeglądarce odwiedzającego, drugie daje przestępcy dostęp do samej strony. Tutaj zebrano prawie wszystkie krytyczne kontrole katalogu.
Złośliwy kod
- Wbudowany skrypt. Obcy kod na stronach: przekierowania, zamiana treści, zbieranie danych.
- Skimmer danych płatniczych. Skrypt, który zbiera numery kart bezpośrednio z formularza płatności — zazwyczaj zauważany po skargach klientów, a nie po stronie.
- Miner. Wykorzystuje procesor odwiedzającego; zauważalny po przegrzewaniu urządzenia i skargach na spowolnienia.
- Ukryty iframe i ukryte linki. Niewidoczne dla człowieka wstawki, działające na cudze promowanie.
- Cloaking. Strona pokazuje robotowi wyszukiwarki jedno, a odwiedzającemu drugie — pewna droga do sankcji.
- Domena na listach blokad. Znak, że zainfekowanie zostało już zauważone z zewnątrz.
Backdoory
| Znalezisko | Co to jest |
|---|---|
| Web shell | Plik, który umożliwia wykonywanie poleceń na serwerze przez przeglądarkę |
| Zmodyfikowane pliki jądra | Do systemowych plików CMS dodany obcy kod |
| Obcy administrator | Konto z pełnymi prawami, które nikt nie tworzył |
| Zadanie w harmonogramie | Regularnie przywraca zainfekowanie po czyszczeniu |
| Backdoor w .htaccess | Zasady przekierowania, działające tylko dla robota wyszukiwarki |
| Podejrzany plik | Plik wykonywalny w folderze dla obrazków |
Dlaczego zainfekowanie wraca
Usunięcie złośliwego pliku to za mało: jeśli pozostał backdoor lub zadanie w harmonogramie, po dobie wszystko wróci. Dlatego czyszczą w innej kolejności — najpierw zamykają dostęp, potem przywracają pliki, a dopiero potem zmieniają hasła.Co robić przy znalezieniu
- Zrobić kopię zapasową aktualnego stanu — będzie potrzebna do analizy.
- Zamknąć dostęp: zaktualizować CMS i komponenty, usunąć zbędne konta, sprawdzić harmonogram.
- Przywrócić pliki jądra z oficjalnego dystrybucji, a nie "czyścić ręcznie".
- Zmienić wszystkie hasła: admin, baza, FTP, e-mail — zob. analiza wycieków.
- Sprawdzić stronę i poprosić o ponowne rozpatrzenie w Search Console, jeśli pojawiło się tam ostrzeżenie.
Co to oznacza dla promocji
Zainfekowaną stronę promować jest bez sensu: linki będą prowadzić do strony, którą wyszukiwarka obniża lub oznacza ostrzeżeniem. Najpierw leczenie, potem linki — o tym samym artykuł „Komu PromoPilot nie odpowiada”.
Częste pytania
Czym różni się backdoor od złośliwego kodu?
Złośliwy kod działa w przeglądarce odwiedzającego, backdoor daje przestępcy dostęp do samej strony i pozwala na przywrócenie zainfekowania.
Dlaczego zainfekowanie wraca po czyszczeniu?
Ponieważ pozostał dostęp: backdoor, obcy administrator lub zadanie w harmonogramie. Najpierw zamykają dostęp, potem przywracają pliki.
Czy można promować zainfekowaną stronę?
Nie ma sensu: wyszukiwarka obniża takie strony i oznacza ostrzeżeniem. Najpierw leczenie, potem linki.
Czy artykuł był pomocny?
Dziękujemy! Weźmiemy to pod uwagę przy dalszym rozwoju.
Wypróbuj na swoim projekcie
Wszystko, co opisano w artykule, jest dostępne w panelu — bonus przy rejestracji już na saldzie.
Open dashboard