Pomoč! Moja spletna stran je bila vdrta. Kako to rešim oziroma preprečim?

Neprijetno je, če je bil Vaš uporabniški račun vdrt. Delamo vse, da hekerjem čim bolj otežimo delo, a se žal vseeno lahko zgodi, da heker pridobi dostop do Vaše spletne strani. Takrat je pomembno ugotoviti vzrok, torej kako je heker prišel do Vašega sistema.

To je lahko zahtevno in zamudno delo, vendar je vzrok oziroma vir pomemben, da lahko vdor v prihodnje preprečite. Če le vse izbrišete in obnovite varnostno kopijo, to ni rešitev.

Okužene spletne strani ne postavite ponovno na splet, dokler niste 100-odstotno prepričani, da je težava odpravljena in da je stran varna.

V nadzorni plošči lahko pri nastavitvah domene (ali pri možnosti spletnih strani pri gostovanju Windows) domeno začasno deaktivirate, tako da vdrta stran ne more več škodovati drugim. Po potrebi lahko prek Installatrona (gostovanje Linux) obnovite starejšo varnostno kopijo ali uporabite naš modul za varnostne kopije. Najprej izbrišite vse mape in datoteke in šele nato obnovite varnostno kopijo, sicer na strežniku ostanejo na novo dodane in okužene datoteke.

Odpravo vdora lahko prepustite tudi našim strokovnjakom. Ker je to zamudno delo, ta storitev žal ni brezplačna.
Kliknite tukaj za več informacij.

Raziskovanje možnih vzrokov:

• Najpogostejši vzrok: uporabljate skripto ali vtičnik, ki ni posodobljen na najnovejšo različico, ni varen ali vsebuje napake. To je lahko tudi modul na primer v WordPressu ali Joomli.
• Obiskovalcem omogočate nalaganje datotek in eden od obiskovalcev je naložil in zagnal program PHP.
• Uporabljate predvidljiva, preveč preprosta gesla ali gesla, ki jih je mogoče najti na primer prek haveibeenpwned.com.
• Vaš računalnik je okužen z virusom, črvom ali keyloggerjem, ki tako pridobi gesla in uporabniška imena, na primer za Vaš račun FTP.
• Izdelali ste spletni obrazec, v katerega je mogoče vnesti na primer kodo SQL ali PHP, ali obrazec brez Captche, prek katerega je mogoče pošiljati neželeno pošto.
• V dnevnikih strežnika (v DirectAdminu v meniju statistike / dnevniki) preverite, ali se v njih pojavlja kaj sumljivega. Preglejte tudi Litespeed/Apache Usage Log in Backed up Apache logs. Iščite naslove IP iz tujih držav, predvsem pa ukaze POST v kombinaciji z naslovom IP iz tuje države. Pogosto tam kaj najdete. Na strani, kot je www.whatsmyip.org, lahko preverite, iz katere države prihaja naslov IP.

Kako preprečim vdor:

• Najpomembnejše: poskrbite, da so vse Vaše skripte, kot sta WordPress/Joomla, vedno posodobljene z najnovejšimi posodobitvami. To velja tudi za vtičnike in predloge. Posodobitve lahko običajno preprosto namestite prek Installatrona ali v sami skripti.
• Namesto navadnega FTP uporabljajte FTPS.
• V skriptah NIKOLI ne uporabljajte SVOJEGA uporabniškega imena in gesla. Če je to nujno, v nadzorni plošči zanje ustvarite ločenega uporabnika.
• Uporabljajte samo znane in uveljavljene skripte in skrbite, da ostanejo posodobljene.
• NIKOLI ne omogočajte nalaganja datotek. To je izjemno nevarno.

WordPress, Joomla in druge skripte: poskrbite, da je nameščena najnovejša različica!
Pomembno je, da WordPress/Joomlo in druge skripte redno posodabljate. Tako lahko večino vdorov preprečite. Prek Installatrona (gostovanje Linux) lahko posodobitve namestite zelo preprosto. Če WordPressa/Joomle ali druge skripte niste namestili prek Installatrona, jo lahko v Installatron preprosto uvozite naknadno in jo nato posodobite.

Zaščita map, kot je administrator v Joomli
Mape, kot je /administrator, je pomembno dodatno zaščititi. Ta članek pojasnjuje, kako.

Vdor iframe:

Če ste žrtev vdora iframe, je vzrok pogosto trojanski virus na Vašem računalniku, ki si sam pridobi dostop do Vaših računov FTP.

• Preverite, ali je Vaša spletna stran res vdrta. To lahko storite na primer na spletni strani UnmaskParasites.
• Za prijavo namesto FTP uporabljajte FTPS. FTP namreč vse podatke pošilja kot berljivo besedilo, FTPS pa poslane podatke šifrira, zato hekerji teh občutljivih podatkov težje pridobijo.
• Zdaj spremenite vsa gesla FTP.
• V nadzorni plošči (upravitelj datotek) ali prek FTP nastavite vse mape (Linux) na chmod 755 in vse datoteke na chmod 644.

Vdor HTACCESS / datoteka .htaccess je bila spremenjena:

V spodnjem primeru je heker spremenil Vašo datoteko .htaccess. Google in Yahoo bosta Vašo stran še naprej indeksirala, vsi drugi obiskovalci pa bodo preusmerjeni na hekerjevo stran.

RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*yahoo.*$ [NC,OR]
RewriteRule .* http://hacker.xx/in.html?= [R,L]

Google Vašo stran prikazuje kot napadalno stran (Prijavljeno napadalno spletno mesto!):

Na spodnjih povezavah lahko pridobite informacije (vnesite svoje domensko ime):

http://safebrowsing.clients.google.com/safebrowsing/diagnostic?client=Firefox&hl=nl&site=http://www.uwdomein.xx/

Na tej povezavi lahko med drugim dobite informacije, lahko pa tudi oddate zahtevo, da Vaše domene oziroma strani ne obravnavajo več kot napadalne strani. Prej se prepričajte, da je stran res povsem očiščena!

http://www.google.com/support/webmasters/bin/answer.py?hl=nl&answer=45432

1. Na nadzorni plošči Orodij za spletne skrbnike izberite želeno spletno mesto.
2. V sporočilu »Deli tega spletnega mesta morda razširjajo zlonamerno programsko opremo« kliknite »Več informacij«.
3. Kliknite »Pošlji zahtevo za pregled«.