این راهنما به طور خاص برای نوعی هک ایجاد شده است که متن ژاپنی تولید شده خودکار را در سایت شما ایجاد می کند، که ما از آن به عنوان هک کلمه کلیدی ژاپنی یاد می کنیم. این راهنما برای کاربران سیستم‌های مدیریت محتوای محبوب (CMS) طراحی شده است، اما حتی اگر از CMS استفاده نکنید، این راهنما برای شما مفید خواهد بود.
ما می خواهیم مطمئن شویم که این راهنما واقعاً برای شما مفید است. برای کمک به بهبود ما ، بازخورد بگذارید !
این نوع هک را شناسایی کنید
هک کلمات کلیدی ژاپنی معمولاً صفحات جدیدی با متن ژاپنی تولید شده خودکار در سایت شما در نام دایرکتوری هایی که به طور تصادفی تولید می شوند ایجاد می کند (به عنوان مثال، http://example.com/ltjmnjp/341.html ). این صفحات با استفاده از پیوندهای وابسته به فروشگاه‌هایی که کالاهای برند جعلی را می‌فروشند درآمدزایی می‌کنند و سپس در جستجوی Google نشان داده می‌شوند. در اینجا نمونه ای از ظاهر یکی از این صفحات آمده است:
با این نوع هک، هکر معمولاً خود را به عنوان مالک دارایی در کنسول جستجو اضافه می کند تا با دستکاری تنظیمات سایت شما مانند اهداف جغرافیایی یا نقشه های سایت، سود را افزایش دهد. اگر اعلانی دریافت کرده اید مبنی بر اینکه شخصی که نمی شناسید سایت شما را در کنسول جستجو تأیید کرده است، احتمال هک شدن سایت شما بسیار زیاد است.
با بررسی ابزار مسائل امنیتی در کنسول جستجو شروع کنید تا ببینید آیا گوگل هر یک از این صفحات هک شده را در سایت شما کشف کرده است یا خیر. گاهی اوقات می‌توانید صفحاتی مانند این را با باز کردن یک پنجره جستجوی Google و تایپ site:_your site url_ با نشانی اینترنتی سطح ریشه سایت خود کشف کنید. با این کار صفحاتی که گوگل برای سایت شما ایندکس کرده است، از جمله صفحات هک شده را به شما نشان می دهد. چند صفحه از نتایج جستجو را ورق بزنید تا ببینید آیا URL های غیرعادی را مشاهده می کنید. اگر محتوای هک شده ای در جستجوی گوگل نمی بینید، از همان عبارات جستجو با موتور جستجوی دیگری استفاده کنید. در اینجا یک مثال از آنچه که به نظر می رسد آورده شده است:
معمولاً، وقتی روی پیوندی به یک صفحه هک شده کلیک می‌کنید، یا به سایت دیگری هدایت می‌شوید یا صفحه‌ای پر از محتوای هک می‌بینید. با این حال، ممکن است پیامی نیز ببینید که نشان می دهد صفحه وجود ندارد (به عنوان مثال، خطای 404). گول نخورید! هکرها سعی می کنند شما را فریب دهند و فکر کنید که صفحه از بین رفته یا درست شده است، در حالی که هنوز هک شده است. آنها این کار را با پنهان کردن محتوا انجام می دهند. با وارد کردن نشانی‌های اینترنتی سایت خود در ابزار بازرسی URL ، پنهان‌سازی را بررسی کنید. ابزار Fetch as Google به شما امکان می دهد محتوای پنهان زیرین را ببینید.
اگر این مشکلات را مشاهده کردید، به احتمال زیاد سایت شما تحت تأثیر این نوع هک قرار گرفته است.
هک را برطرف کنید
قبل از شروع، یک کپی آفلاین از هر فایلی قبل از حذف آنها تهیه کنید، در صورتی که بعداً نیاز به بازیابی آنها داشتید. بهتر است قبل از شروع فرآیند پاکسازی، از کل سایت خود نسخه پشتیبان تهیه کنید. می توانید این کار را با ذخیره تمام فایل هایی که در سرور شما هستند در مکانی خارج از سرور خود یا جستجوی بهترین گزینه های پشتیبان برای سیستم مدیریت محتوای خاص خود (CMS) انجام دهید. اگر از CMS استفاده می کنید، از پایگاه داده نیز نسخه پشتیبان تهیه کنید.
حساب های جدید ایجاد شده را از کنسول جستجو حذف کنید
اگر مالک جدیدی که نمی‌شناسید به حساب کنسول جستجوی شما اضافه شده است، دسترسی او را در اسرع وقت لغو کنید. در صفحه تأیید کنسول جستجو می توانید بررسی کنید که کدام کاربران برای سایت شما تأیید شده اند. برای مشاهده تمامی کاربران تایید شده، روی "جزئیات تایید" کلیک کنید.
برای حذف یک مالک از کنسول جستجو، به بخش حذف مالک در مرکز راهنمای مدیریت کاربران، مالکان و مجوزها مراجعه کنید. باید رمز تأیید مرتبط را حذف کنید که معمولاً یا یک فایل HTML در ریشه سایت شما است یا یک فایل .htaccess ایجاد شده به صورت پویا که یک فایل HTML را تقلید می کند.
اگر نمی توانید یک نشانه تأیید HTML در سایت خود پیدا کنید، قانون بازنویسی را در فایل .htaccess خود بررسی کنید. قانون بازنویسی شبیه به این خواهد بود:
RewriteEngine On
RewriteRule ^google(.*)\.html$ dir/file.php?google=$1 [L]
برای حذف کد تأیید پویا از فایل .htaccess خود، این مراحل را دنبال کنید:
فایل .htaccess خود را بررسی کنید (2 مرحله)
گذشته از استفاده از یک فایل .htaccess برای ایجاد توکن های تاییدیه تولید شده به صورت پویا، هکرها اغلب از قوانین .htaccess برای تغییر مسیر کاربران یا ایجاد صفحات هرزنامه گیج کننده استفاده می کنند. اگر قوانین .htaccess سفارشی ندارید، .htaccess خود را با یک کپی کاملا جدید جایگزین کنید.
مرحله 1
فایل .htaccess خود را در سایت خود پیدا کنید. اگر مطمئن نیستید کجا آن را پیدا کنید و از یک سیستم مدیریت محتوای مدیریت محتوا مانند وردپرس، جوملا یا دروپال استفاده می‌کنید، ".htaccess. location file location" را همراه با نام CMS خود در موتور جستجو جستجو کنید. بسته به سایت خود، ممکن است چندین فایل .htaccess را مشاهده کنید. فهرستی از تمام مکان‌های فایل .htaccess تهیه کنید.
مرحله 2
همه فایل‌های .htaccess را با نسخه تمیز یا پیش‌فرض فایل .htaccess جایگزین کنید. معمولاً می توانید نسخه پیش فرض یک فایل .htaccess را با جستجوی "default .htaccess file" و نام CMS خود بیابید. برای سایت هایی که دارای چندین فایل .htaccess هستند، یک نسخه تمیز از هر یک را پیدا کنید و آنها را جایگزین کنید.
اگر هیچ .htaccess پیش‌فرضی وجود نداشته باشد و هرگز فایل .htaccess را در سایت خود پیکربندی نکرده باشید، فایل .htaccess که در سایت خود پیدا می‌کنید احتمالاً مخرب است. یک کپی از فایل(های) .htaccess را به صورت آفلاین ذخیره کنید و فایل .htaccess را از سایت خود حذف کنید.
حذف همه فایل ها و اسکریپت های مخرب (4 مرحله)
شناسایی فایل های مخرب می تواند مشکل و زمان بر باشد. هنگام بررسی فایل های خود وقت بگذارید. اگر هنوز این کار را نکرده اید، زمان خوبی برای پشتیبان گیری از فایل های سایتتان است. برای یافتن دستورالعمل‌هایی در مورد نحوه پشتیبان‌گیری از سایت خود، عبارت «سایت پشتیبان‌گیری» و نام CMS خود را در گوگل جستجو کنید.
مرحله 1
اگر از CMS استفاده می‌کنید، تمام فایل‌های اصلی (پیش‌فرض) را که در توزیع پیش‌فرض CMS شما قرار می‌گیرند، و همچنین هر چیزی که اضافه کرده‌اید (مانند تم‌ها، ماژول‌ها یا افزونه‌ها) را دوباره نصب کنید. این کمک می کند تا اطمینان حاصل شود که این فایل ها از محتوای هک شده پاک هستند. برای یافتن دستورالعمل‌های نصب مجدد، می‌توانید عبارت "reinstall" و نام CMS خود را در گوگل جستجو کنید. اگر افزونه‌ها، ماژول‌ها، برنامه‌های افزودنی یا تم دارید، حتماً آنها را نیز دوباره نصب کنید.
مرحله 2
هکرها اغلب نقشه سایت شما را تغییر می دهند یا نقشه سایت جدیدی اضافه می کنند تا به ایندکس شدن سریعتر URL هایشان کمک کند. اگر قبلاً یک فایل نقشه سایت داشتید، فایل را برای هر لینک مشکوک بررسی کنید و آنها را از نقشه سایت خود حذف کنید. اگر فایل‌های نقشه سایتی وجود دارد که به خاطر ندارید آنها را به سایت خود اضافه کنید، دوباره آنها را بررسی کنید و اگر فقط حاوی URLهای اسپم هستند، آنها را حذف کنید.
مرحله 3
به دنبال هر فایل مخرب یا در معرض خطر دیگری باشید. ممکن است قبلاً همه فایل‌های مخرب را در دو مرحله قبلی حذف کرده باشید، اما بهتر است در صورت وجود فایل‌های بیشتری در سایت شما که در معرض خطر قرار گرفته‌اند، مراحل بعدی را طی کنید.
با این فکر که باید هر فایل PHP را باز کرده و نگاهی بیندازید غرق نشوید. با ایجاد لیستی از فایل های PHP مشکوک که می خواهید بررسی کنید، شروع کنید. در اینجا چند راه برای تعیین اینکه کدام فایل های PHP مشکوک هستند وجود دارد:
- اگر قبلاً فایل‌های CMS خود را بارگیری مجدد کرده‌اید، فقط به فایل‌هایی نگاه کنید که بخشی از فایل‌ها یا پوشه‌های CMS پیش‌فرض شما نیستند. این باید بسیاری از فایل‌های PHP را رد کند و شما را با تعداد انگشت شماری از فایل‌ها برای بررسی باقی بگذارد.
- فایل های موجود در سایت خود را بر اساس تاریخ آخرین تغییر مرتب کنید. به دنبال فایل هایی بگردید که در عرض چند ماه از زمانی که برای اولین بار متوجه هک شدن سایت خود شدید، اصلاح شده اند.
- فایل های سایت خود را بر اساس اندازه مرتب کنید. به دنبال هر فایل غیرعادی بزرگ باشید.
مرحله 4
هنگامی که لیستی از فایل های PHP مشکوک را دارید، آنها را برای محتوای مخرب بررسی کنید. اگر با PHP آشنا نیستید، این فرآیند ممکن است زمان‌برتر باشد، بنابراین برخی از اسناد PHP را بررسی کنید. اگر در زمینه کدنویسی کاملاً تازه کار هستید، توصیه می‌کنیم کمک بگیرید . در این میان، برخی از الگوهای اساسی وجود دارد که می توانید برای شناسایی فایل های مخرب به دنبال آنها باشید.
اگر از CMS استفاده می‌کنید و عادت به ویرایش مستقیم فایل‌های PHP آن ندارید، فایل‌های روی سرور خود را با لیستی از فایل‌های پیش‌فرض بسته‌بندی شده با CMS و هر پلاگین و تم مقایسه کنید. به دنبال فایل‌هایی باشید که به آنها تعلق ندارند، و همچنین فایل‌هایی که بزرگ‌تر از نسخه پیش‌فرضشان هستند.
فایل های مشکوکی را که قبلاً شناسایی کرده اید اسکن کنید تا به دنبال بلوک های کد مبهم بگردید. این ممکن است ترکیبی از حروف و اعداد به ظاهر درهم به نظر برسد، که معمولاً با ترکیبی از توابع PHP مانند base64_decode ، rot13 ، eval ، strrev ، یا gzinflate جلو می‌آیند. در اینجا مثالی از این است که بلوک کد ممکن است شبیه باشد. گاهی اوقات همه این کدها در یک خط طولانی متن قرار می گیرند و آن را کوچکتر از آنچه هست نشان می دهند.
$O_O0O_O0_0=urldecode("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70
%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A");
$OO0_0OO0__=$O_O0O_O0_0{26}.$O_O0O_O0_0{6}.$O_O0O_O0_0{10}.$O_O0O_O0_0{30}
بررسی کنید که آیا سایت شما تمیز است یا خیر
پس از خلاص شدن از شر فایل های هک شده، بررسی کنید که آیا کار سخت شما نتیجه داده است یا خیر. آن صفحات بیهوده ای را که قبلاً شناسایی کردید، به خاطر دارید؟ دوباره از ابزار Fetch as Google روی آنها استفاده کنید تا ببینید آیا هنوز وجود دارند یا خیر. اگر در Fetch as Google به عنوان "Not Found" پاسخ دهند، به احتمال زیاد در وضعیت خوبی هستید و می توانید به رفع آسیب پذیری های سایت خود ادامه دهید.
چگونه از هک شدن مجدد جلوگیری کنم؟
رفع آسیب پذیری ها در سایت شما آخرین مرحله ضروری برای تعمیر سایت شما است. یک مطالعه اخیر نشان داد که 20 درصد از سایت های هک شده در عرض یک روز دوباره هک می شوند. دانستن اینکه سایت شما دقیقا چگونه هک شده است مفید است. راهنمای ما را بخوانید که چگونه وب سایت ها توسط هرزنامه ها هک می شوند تا تحقیقات خود را شروع کنید. با این حال، اگر نمی توانید بفهمید که سایت شما چگونه هک شده است، چک لیستی از کارهایی است که می توانید برای کاهش آسیب پذیری های سایت خود انجام دهید.
- به طور منظم رایانه خود را اسکن کنید: از هر اسکنر ویروسی محبوب برای بررسی ویروس ها یا آسیب پذیری ها استفاده کنید.
- گذرواژه‌های خود را به طور منظم تغییر دهید: تغییر منظم رمزهای عبور تمام حساب‌های وب‌سایت خود مانند ارائه‌دهنده میزبانی، FTP و CMS می‌تواند از دسترسی غیرمجاز به سایت شما جلوگیری کند. ایجاد یک رمز عبور قوی و منحصر به فرد برای هر حساب بسیار مهم است.
- استفاده از احراز هویت دو مرحله ای (2FA) : فعال کردن 2FA در هر سرویسی که نیاز به ورود به سیستم دارد را در نظر بگیرید. 2FA ورود به سیستم را برای هکرها دشوارتر می کند حتی اگر با موفقیت رمز عبور شما را بدزدند.
- CMS، افزونه‌ها، افزونه‌ها و ماژول‌های خود را مرتباً به‌روزرسانی کنید: امیدواریم قبلاً این مرحله را انجام داده باشید. بسیاری از سایت ها به دلیل استفاده از نرم افزارهای قدیمی هک می شوند. برخی از CMS ها از به روز رسانی خودکار پشتیبانی می کنند.
- اشتراک یک سرویس امنیتی برای نظارت بر سایت خود را در نظر بگیرید: بسیاری از خدمات عالی وجود دارند که می توانند با پرداخت هزینه ای ناچیز به شما در نظارت بر سایت خود کمک کنند. برای حفظ امنیت سایت خود، ثبت نام در آنها را در نظر بگیرید.
منابع اضافی
اگر هنوز در تعمیر سایت خود مشکل دارید، چند منبع دیگر وجود دارد که ممکن است به شما کمک کند.
این ابزارها سایت شما را اسکن می کنند و ممکن است بتوانند محتوای مشکل دار را پیدا کنند. به غیر از VirusTotal، Google آنها را اجرا یا پشتیبانی نمی کند.
اینها فقط برخی از ابزارهایی هستند که ممکن است بتوانند سایت شما را برای محتوای مشکل دار اسکن کنند. به خاطر داشته باشید که این اسکنرها نمی توانند تضمین کنند که هر نوع محتوای مشکل دار را شناسایی می کنند.
در اینجا منابع اضافی از Google وجود دارد که می تواند به شما کمک کند: