המדריך הזה מתייחס לסוג של פריצה שיוצרת באתר טקסט ביפנית שנוצר באופן אוטומטי. אנחנו קוראים לזה פריצה של מילות מפתח ביפנית. המדריך מיועד למשתמשים במערכות פופולריות לניהול תוכן (CMS), אבל הוא יהיה שימושי גם אם האתר שלכם לא מבוסס על מערכת כזו.
זיהוי סוג הפריצה
בדרך כלל, פריצה למילות מפתח ביפנית יוצרת דפים חדשים עם טקסט ביפנית שנוצר באופן אוטומטי באתר שלכם, בשמות של ספריות שנוצרו באופן אקראי (לדוגמה, http://example.com/ltjmnjp/341.html). הדפים האלה מניבים רווחים באמצעות קישורי שותפים לחנויות שמוכרות מוצרים מזויפים של מותגים, ואז הם מוצגים בחיפוש Google. דוגמה למראה של אחד מהדפים האלה:
בפריצה מסוג כזה, הפורץ בדרך כלל מוסיף את עצמו כבעלים של נכס ב-Search Console, כדי להגדיל את הרווחים שלו על ידי שינוי ההגדרות של האתר, כמו טירגוט גיאוגרפי או קובצי Sitemap. אם קיבלתם הודעה שמישהו שאתם לא מכירים אימת את האתר שלכם ב-Google Search Console, יש סיכוי גבוה שהאתר שלכם נפרץ.
מתחילים בבדיקה של הכלי בעיות אבטחה ב-Search Console כדי לראות אם Google גילתה באתר שלכם דפים פרוצים מהסוגים האלה. לפעמים אפשר למצוא דפים כאלה גם על ידי פתיחת חלון חיפוש ב-Google והקלדה של site:_your site url_, עם כתובת ה-URL ברמת הבסיס של האתר. כך תוכלו לראות את הדפים ש-Google הוסיפה לאינדקס באתר שלכם, כולל הדפים שנפרצו. כדאי לעבור על כמה דפים של תוצאות חיפוש כדי לראות אם יש כתובות URL חריגות. אם לא מצאתם תוכן שנפרץ בחיפוש Google, כדאי להשתמש באותם מונחי חיפוש במנוע חיפוש אחר. דוגמה למראה של תג כזה:
בדרך כלל, כשלוחצים על קישור לדף שנפרץ, מועברים לאתר אחר או רואים דף מלא בתוכן לא מובן. עם זאת, יכול להיות שתוצג גם הודעה שלפיה הדף לא קיים (לדוגמה, שגיאה 404). אל תתפתו! האקרים ינסו לגרום לכם לחשוב שהדף נעלם או שהבעיה נפתרה, למרות שהוא עדיין פרוץ. הם עושים את זה באמצעות הסוואה תוכן. כדי לבדוק אם יש באתר הסוואה, מזינים את כתובות ה-URL של האתר בכלי לבדיקת כתובות URL. הכלי הזה מאפשר לכם לראות את התוכן המוסתר.
אם אתם רואים את הבעיות האלה, סביר להניח שהאתר שלכם נפגע מסוג כזה של פריצה.
תיקון הפריצה
לפני שמתחילים, כדאי ליצור עותק אופליין של כל הקבצים לפני שמסירים אותם, למקרה שתצטרכו לשחזר אותם בהמשך. עדיף לגבות את כל האתר לפני שמתחילים בתהליך הניקוי. אפשר לעשות זאת על ידי שמירת כל הקבצים שנמצאים בשרת במיקום מחוץ לשרת, או על ידי חיפוש אפשרויות הגיבוי הטובות ביותר למערכת ניהול התוכן (CMS) הספציפית שלכם. אם אתם משתמשים במערכת CMS, כדאי גם לגבות את מסד הנתונים.
הסרת חשבונות חדשים מ-Search Console
אם בעלים חדש שאתם לא מכירים נוסף לחשבון שלכם ב-Search Console, עליכם לבטל את הגישה שלו בהקדם האפשרי. אפשר לבדוק אילו משתמשים אומתו באתר בדף האימות של Search Console. כדי לראות את כל המשתמשים המאומתים, לוחצים על 'פרטי האימות' של האתר.
כדי להסיר בעלים מ-Search Console, אפשר לעיין בקטע 'הסרת בעלים' במרכז העזרה בנושא ניהול משתמשים, בעלים והרשאות.
תצטרכו להסיר את טוקן לאימות הבעלות המשויך, שהוא בדרך כלל קובץ HTML בתיקיית הבסיס של האתר או קובץ .htaccess שנוצר באופן דינמי ומדמה קובץ HTML.
אם לא מצאתם טוקן לאימות בעלות מסוג HTML באתר, כדאי לבדוק אם יש כלל שכתוב בקובץ .htaccess. כלל הכתיבה מחדש ייראה כך:
RewriteEngine On
RewriteRule ^google(.*)\.html$ dir/file.php?google=$1 [L]
כדי להסיר את טוקן לאימות בעלות שנוצר באופן דינמי מהקובץ .htaccess
שלכם, פועלים לפי השלבים הבאים:
בדיקת קובץ .htaccess (2 שלבים)
בנוסף לשימוש בקובץ .htaccess כדי ליצור באופן דינמי אסימוני אימות, האקרים משתמשים לעיתים קרובות בכללי .htaccess כדי להפנות משתמשים או ליצור דפי ספאם חסרי משמעות. אלא אם יש לכם כללי .htaccess מותאמים אישית, כדאי להחליף את .htaccess בעותק חדש לגמרי.
שלב 1
מאתרים את קובץ .htaccess באתר. אם אתם לא בטוחים איפה הוא נמצא ואתם משתמשים במערכת ניהול תוכן כמו WordPress, Joomla או Drupal, חפשו במנוע חיפוש את המחרוזת "מיקום קובץ .htaccess" יחד עם שם מערכת ניהול התוכן. יכול להיות שיופיעו כמה קובצי .htaccess, בהתאם לאתר. יוצרים רשימה של כל המיקומים של קובצי .htaccess.
שלב 2
מחליפים את כל הקבצים מסוג .htaccess בגרסה נקייה או בגרסת ברירת מחדל של הקובץ .htaccess. בדרך כלל אפשר למצוא גרסת ברירת מחדל של קובץ .htaccess על ידי חיפוש של "קובץ .htaccess של ברירת מחדל" ושם מערכת ניהול התוכן. באתרים עם כמה קבצים מסוג .htaccess, צריך למצוא גרסה נקייה של כל אחד מהם ולהחליף אותם.
אם לא קיים קובץ .htaccess שמוגדר כברירת מחדל ומעולם לא הגדרתם קובץ .htaccess באתר, קובץ ה-.htaccess שאתם מוצאים באתר הוא כנראה קובץ זדוני. כדאי לשמור עותק של קובץ ה-.htaccess(או הקבצים) אופליין למקרה הצורך, ולמחוק את קובץ ה-.htaccess מהאתר.
הסרת כל הקבצים והסקריפטים הזדוניים (4 שלבים)
זיהוי קבצים זדוניים יכול להיות מסובך ולגזול זמן רב. כדאי לקחת את הזמן כשבודקים את הקבצים. אם עדיין לא עשיתם זאת, זה הזמן לגבות את הקבצים באתר. כדי למצוא הוראות לגיבוי האתר, מבצעים חיפוש ב-Google של 'גיבוי אתר' ואת השם של מערכת ניהול התוכן.
שלב 1
אם אתם משתמשים במערכת ניהול תוכן, התקינו מחדש את כל קובצי הליבה (ברירת המחדל) שמגיעים עם הפצת ברירת המחדל של מערכת ניהול התוכן, וגם את כל מה שהוספתם (כמו ערכות נושא, מודולים או פלאגינים). כך נוכל לוודא שהקבצים האלה לא מכילים תוכן שנפרץ. אפשר לחפש ב-Google את המילים "התקנה מחדש" ואת השם של מערכת ניהול התוכן כדי למצוא הוראות להתקנה מחדש. אם יש לכם פלאגינים, מודולים, תוספים או עיצובים, הקפידו להתקין אותם מחדש.
שלב 2
האקרים משנים לעיתים קרובות את ה-sitemap שלכם או מוסיפים sitemap חדש כדי שכתובות ה-URL שלהם יאונדקסו מהר יותר. אם היה לכם קובץ Sitemap, כדאי לבדוק אם יש בו קישורים חשודים ולהסיר אותם. אם יש קובצי Sitemap שלא זכור לך שהוספת לאתר, כדאי לבדוק את הקובץ. מסירים את הקובץ אם הוא מכיל רק כתובות URL של ספאם.
שלב 3
מחפשים קבצים זדוניים או קבצים שנפרצו. יכול להיות שכבר הסרתם את כל הקבצים הזדוניים בשני השלבים הקודמים, אבל מומלץ לבצע את השלבים הבאים למקרה שיש באתר עוד קבצים שנפרצו.
אל תנסו לפתוח ולבדוק כל קובץ PHP. התחילו ביצירת רשימה של קובצי PHP חשודים שאתם רוצים לבדוק. הנה כמה דרכים לקבוע אילו קובצי PHP הם חשודים:
- אם כבר טענתם מחדש את קובצי מערכת ניהול התוכן, חפשו רק קבצים שלא שייכים לקבצים או לתיקיות של מערכת ניהול התוכן שמוגדרים כברירת מחדל. הפעולה הזו אמורה לסנן הרבה קובצי PHP ולהשאיר לכם כמה קבצים לבדיקה.
- ממיינים את הקבצים באתר לפי התאריך שבו הם שונו לאחרונה. מחפשים קבצים שעברו שינוי תוך כמה חודשים מהזמן שבו גיליתם לראשונה שהאתר שלכם נפרץ.
- ממיינים את הקבצים באתר לפי גודל. מחפשים קבצים גדולים באופן חריג.
שלב 4
אחרי שיש לכם רשימה של קובצי PHP חשודים, צריך לבדוק אותם כדי לראות אם יש בהם תוכן זדוני. אם אתם לא מכירים את PHP, התהליך הזה עשוי לקחת יותר זמן. לכן כדאי לעיין במסמכי PHP. אם אתם חדשים לגמרי בתחום התכנות, מומלץ לדבר עם מפתח מנוסה. בינתיים, יש כמה דפוסים בסיסיים שאפשר לחפש כדי לזהות קבצים זדוניים.
אם אתם משתמשים במערכת ניהול תוכן (CMS) ולא נוהגים לערוך את קובצי ה-PHP שלה ישירות, כדאי להשוות בין הקבצים בשרת לבין רשימה של קובצי ברירת המחדל שמצורפים למערכת ניהול התוכן ולכל הפלאגינים והתבניות. מחפשים קבצים שלא שייכים, וגם קבצים גדולים יותר מהגרסה שמוגדרת כברירת מחדל.
סורקים את הקבצים החשודים שכבר זוהו כדי לחפש בלוקים של קוד שעבר הסתרה. יכול להיות שזה ייראה כמו שילוב של אותיות ומספרים שנראים מבולבלים, בדרך כלל אחרי שילוב של פונקציות PHP כמו base64_decode, rot13, eval, strrev או gzinflate. הנה דוגמה לאופן שבו בלוק הקוד עשוי להיראות. לפעמים כל הקוד הזה יהיה דחוס לשורה ארוכה אחת של טקסט, כך שהוא ייראה קטן יותר ממה שהוא באמת.
$O_O0O_O0_0=urldecode("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70
%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A");
$OO0_0OO0__=$O_O0O_O0_0{26}.$O_O0O_O0_0{6}.$O_O0O_O0_0{10}.$O_O0O_O0_0{30}
בדיקה אם האתר נקי
אחרי שמסיימים להיפטר מהקבצים שנפרצו, בודקים אם העבודה הקשה השתלמה. זוכרים את הדפים עם הג'יבריש שזיהיתם קודם? כדאי להשתמש שוב בכלי 'אחזר כמו Google' כדי לבדוק אם הם עדיין קיימים.
אם התשובה היא Not Found (לא נמצא) ב'אחזור כ-Google', סביר להניח שהמצב טוב ואפשר להמשיך לתיקון נקודות החולשה באתר.
איך אפשר למנוע פריצה נוספת?
תיקון נקודות חולשה באתר הוא שלב חיוני אחרון בתהליך התיקון של האתר. מחקר שנערך לאחרונה מצא ש-20% מהאתרים שנפרצו נפרצים שוב תוך יום אחד. חשוב לדעת בדיוק איך האתר שלכם נפרץ. כדי להתחיל את הבדיקה, אפשר לקרוא את המדריך שלנו בנושא הדרכים העיקריות שבהן שולחי ספאם פורצים לאתרים. אם אתם לא מצליחים להבין איך האתר שלכם נפרץ, כדאי לפעול לפי רשימת המשימות הבאה כדי לצמצם את נקודות החולשה באתר.
- סורקים את המחשב באופן קבוע: כדאי להשתמש בתוכנת אנטי-וירוס פופולרית כדי לבדוק אם יש וירוסים או פרצות אבטחה.
- שינוי הסיסמאות באופן קבוע: שינוי הסיסמאות באופן קבוע לכל החשבונות באתר, כמו ספק האירוח, FTP ו-CMS, יכול למנוע גישה לא מורשית לאתר. חשוב ליצור סיסמה חזקה וייחודית לכל חשבון.
- שימוש באימות דו-שלבי (2FA): מומלץ להפעיל אימות דו-שלבי בכל שירות שנדרשת בו כניסה. כך קשה יותר להאקרים להיכנס לחשבון, גם אם הם הצליחו לגנוב את הסיסמה.
- עדכון קבוע של מערכת ניהול התוכן, הפלאגינים, התוספים והמודולים: מקווים שכבר ביצעתם את השלב הזה. הרבה אתרים נפרצים כי הם מריצים תוכנה לא עדכנית. חלק ממערכות ניהול התוכן תומכות בעדכון אוטומטי.
- כדאי להירשם לשירות אבטחה כדי לעקוב אחרי האתר: יש הרבה שירותים שיכולים לעזור לכם לעקוב אחרי האתר תמורת תשלום קטן. מומלץ להירשם אליהם כדי לשמור על אבטחת האתר.
מקורות מידע נוספים
אם עדיין לא הצלחתם לתקן את האתר, יש עוד כמה מקורות מידע שיכולים לעזור.
הכלים האלה סורקים את האתר שלכם ויכולים למצוא תוכן בעייתי. Google לא מפעילה את הכלים האלה ולא תומכת בהם, למעט VirusTotal.
אלה רק כמה כלים שיכולים לסרוק את האתר שלכם כדי לזהות תוכן בעייתי. חשוב לזכור שהסורקים האלה לא יכולים להבטיח שהם יזהו כל סוג של תוכן בעייתי.
הנה עוד מקורות מידע מ-Google שיכולים לעזור: