Tråd för stöd om hacking för SEO

[hans99]

Hacking för att skapa typiskt dolda länkar på sajter eller länkar som ligger på undersidor som ägare sällan kan tänkas titta på tycks nu ha kommit till Sverige på allvar. Och givetvis kommer det bli värre för det här är ju hacking som faktiskt tämligen enkelt går att omsätta till reda pengar tillskillnad från mycket annat inom hacking. Ta t.ex. den här nyheten som någon postade upp om SEO-folk som sålde narkotika på nätet och åkt fram och tillbaka till Frankrike för att hämta hem 100 000 kr svart per resa.

Drabbade nu
Jag fick reda på en aktör igår som blivit utsatt för detta i en nisch. Idag surfade jag runt på andra sajter i samma nisch och tittade efter drabbad. Jag upptäckte två stycken och otäckt nog är jag väldigt säker på att dessa två är gjorda av en angripare men den första av en annan. Det här kan med andra ord vara vanligt.

Jag tänkte vi kunde ha en tråd om det här och vad man kan göra för att upptäcka det. Det finns ju externa detekteringstjänster som tittar om ens hemsida blivit ändrade. Men här används ju typiskt cloaking där dessa länkar bara vissas upp för Google bot och inte dessa.

Posta gärna er erfarenhet, verktyg som kan vara användbara och idéer om hur man skyddar sig m.m. Jag tar också kontakt med ett par välkänt mycket duktiga experter inom området och hör om de är intresserade av att komma hit till tråden och ge tips.

Posta upp ALLT som kan vara intressant: nyheter, guider, verktyg...

Jag sammanställer det här så får tillslut förhoppningsvis en guide med all viktig information i nu första halvåret. Så har vi det när det här börjar komma riktigt hårt och blodigt andra halvåret. Alltid redo!

Vi har ju varit "här" nu några gånger tidigare så de flesta vet ju vad som gäller. Vi håller ihop & hjälper varandra. Rent hjärta & klara ögon & ingen feghet. Att samarbeta med dessa aktörer eller att använda de här metoderna är givetvis fullständigt oaccepterat och sådana ska frysas ut fullständigt av övriga. Om får du sajter angripna och angriparen begär pengar för att låta bli övriga ska du aldrig betala.

1. Google om problemet
Länkar till allt vi hittar hos Google om problemet.

Följande kommentar av Cutts har vi åtminstone nu.

2008 will be the year that hacking and search engine optimization (SEO) collide in a major way. By the end of the year, a nontrivial fraction of blackhat SEO will involve illegally hacking sites for links or landing pages. One webhost will get a significant black eye as hundreds or thousands of customers’ websites are hacked. The growth of illegal-blackhat SEO will leave traditional blackhats with a difficult choice: risk doing something illegal or sit out.
Från: http://www.mattcutts.com/blog/my-2008-predictions/

2. Drabbade branscher & vart länkarna går
Följande känner jag till har drabbats senaste månaden:
1) Utbildning. Ett stort svenskt prestige universitet.
2) Sajter inom gambling.
3) Sajter inom hemelektronik.

Vid ett jämförbart angrepp ("sneaky javascript redirect" från forum) som dock faller i en annan grupp av angrepp än här går länkarna ofta till olaglig försäljning av droger & läkemedel och gambling. Där har vi ju större population att titta på än för detta där jag ännu bara känner till ett fåtal drabbade.

3. Mer fakta, nyheter m.m. på nätet

SEO isn�t hacking - and data security tips. SEOMOZ.org.
Having Fun at Donalds Expense - So How's this Happening? Threadwatch.org.
Identifying Link Farm Spam Pages Wolf-howl.com.

4. Verktyg & Metoder för att skydda sig
I tråden finns en kort diskussion om säkerhetsskanners:
http://www.seo-forum.se/25698-post9.html

En mini-diskussion om XSS:
http://www.seo-forum.se/25699-post10.html

5. Att efterfråga från hostingleverantören

6. Checklistor vid angrepp

7. Typer av angrepp

7.1. Cloaking
Sajten hackas till att visa upp ändrade sidor bara för Google bot. Dessa ändrade sidor innehåller länkar till angriparens sajter för att gynna dessa eller vilka straffade sajter som helst för att skada sajten som angripits.

Vad är Cloaking? Cloaking i Wikipedia.

7.2. XSS & Likartat
Olika typer av legitima funktioner i besökarens gränssnitt på sajten utnyttjas för att skapa dynamiska sidor som innehåller länkar. Det enklaste exemplet är ju sökresultat för nätet på olika sajter där länkarna i sökresultatet är sökmotorvänliga. Sådana dynamiska sidor länkas sedan in och indexeras ibland av Google.

XSS - cross site scripting (CSS) - ger likartat resultat men är en smalare grupp av säkerhetshål begränsnad av tillämpningen: Cross-site scripting i Wikipedia.

7.3. Dublicering
Ett till denial of service angrepp som förekommit länge bygger på att data dublicerat på ett sätt som utnyttjar en defekt i Google. Resultatet blir att original sidan går ur Googles index.

Om detta fel fortfarande finns i Google vet jag inte. Men om någon drabbas vet jag dessbättre (och tror mig vara den ändå som har en fungerande lösning) hur detta fixas blixtsnabbt och kräver inte att du gör någon uppdatering eller annan ändring på din sajt. Lösningen är helt seriös men av vissa skäl dokumenterar jag den inte här. Drabbade skickar mig ett PM och känner jag igen er från forumet får ni lösningen och givetvis kostnadsfritt.

8. IP-rymder att spärra ut
Indikationer finns på att angrepp kommer från eller "studsar" via Israel och Indien. För svenska sajter rekommenderas att man spärrar ut all trafik annat än svensk. Det är inte felsäkert men alltid något.

Extremt viktigt är att du inte spärrar ut Google

Det finns ett verktyg i Webmaster central för att verifera att robot.txt är korrekt:
https://www.google.com/webmasters/tools/

Jag har ingen stor erfarenhet av det men jag uppfattar att det är tänkt just för att upptäcka problem som att Google inte kommer åt din sajt korrekt. Information om verktyget finns här:
http://www.google.com/support/webmas...py?topic=12732
Om jag misstolkat detta eller begränsningar viktiga att känna till finns ber jag att den som märker det postar detta i tråden.

Du hittar verktyget i gränssnittet enligt bilden nedan:



9. Så här återhämtar man sig med Google
Här har jag väldigt mycket information & kunskap men det kan vänta ett tag med att dokumentera tills jag vet om någon på forumet faktiskt har drabbats. Om jag nu någonsin skriver ner det här. Det är trots allt värdefull kunskap som också kan missbrukas av webbspammare. Men drabbade kan alltid skicka ett PM.

10. Blogga drabbade
För att stödja de som drabbas är det uppmuntrat att seriösa medlemmar (som inte konkurrenterar) bloggar en drabbad sajt om sajten är seriös. Detta ger också något för den som hjälper till:

1) Du får hjälp om du drabbas.
2) Du får rykte.
3) Du får en länk härifrån.
4) Jag tänker samla länkar till alla sådana bloggpostningar på en stark sida med information om SEO-hacking.

Karma!

Bloggat för att hjälpa varandra
Hans99: Varning: SEO-hacking nu i Sverige - Bingo först ut

[hans99]

Det har nu kommit till min kännedom att någon erbjuder svenska sajter att sänka deras konkurrenter i sökresultaten. Jag tror vi alla här är helt eniga om att sådant inte är accepterat. Inte heller tror jag att några av medlemmarna här skulle köpa det men vi känner ju alla till vilka de oseriösa SEO-levernatörerna och webbspammarna är så det är rekommenderat att hålla ett extra öga på dessa.

Jag vill också säga att jag inte tror att någon har något att vinna på att köpa en sådan tjänst. Detta eftersom det kommer slå tillbaka ordentligt för sådant kommer fram och ingen lär länka en som köpt sådant.

Att köpa eller själva implementera sådana angrepp är också olagligt. Vidare kan det falla under internationell terrorism beroende på var den angripna sajten är driftsatt. Det kan i så fall bl.a. innebära att man vid inresa till USA och en del andra länder blir utvisad eller tas i förvar. Om det är fallet är inget du får veta innan du stiger på planet men tas i tullen när du kommer fram.

[hans99]

Bakom kulisserna har jag gjort en tråd för de som drabbats av SEO-hacking:
http://www.seo-forum.se/bakom-kuliss...html#post25609
Där kan man efterfråga råd & stöd från övriga medlemmar. Ingen drabbad ska känna att de står ensamma.

Så vitt jag vet har det inte hänt någon här på forumet än men det kommer och jag tror många kommer råka ut för det här under året.

Det här gången är vi emellertid tidigt ute och hinner förbereda oss. Kontrollera säkerheten, fixa övervakningssystem o.s.v. om det saknas och varna varandra.

[hans99]

Många som drabbats har använt Wordpress.org som plattform. Wordpress.org har information om att säkra upp plattformen här: Hardening Wordpress.

Av de nio jag sett idag utan att sökt allt för mycket efter drabbade körde sju Wordpress.org.

Det där räcker emellertid inte för alla angrepp vi diskuterade i den första postningen. Bygger ni egen kod ovanpå som hanterar indata från användarna gör något med det och presenterar ett resultatet behöver ni vara observanta på att XSS inte blir möjligt (och SQL-injection för den delen också).

Men det är ju med härdning och fellagningar man ska börja.

Kör ni Wordpress.org ska ni kolla upp att ni eller webbhotellet korrigerat säkerhetshålen.

[Waldo]

Mycket bra tråd! Jag kommer inte åt tråden bakom kulisserna, behövs det särskilda rättigheter?

[hans99]

Mycket bra tråd! Jag kommer inte åt tråden bakom kulisserna, behövs det särskilda rättigheter?

Den stänger de som Lär sig SEO tror jag. Men det är väl något du borde ändra i vilket fall som helst då du vid det här laget kan mer än så.

[Waldo]

Jag har befodrat mig själv ett steg i kontrollpanelen men det verkar inte som det gått genom hela vägen. Måste det godkännas av någon moderator eller hur funkar det?

[hans99]

Jag har befodrat mig själv ett steg i kontrollpanelen men det verkar inte som det gått genom hela vägen. Måste det godkännas av någon moderator eller hur funkar det?

Ja det måste godkännas. Vem som kan göra det vet jag inte. Antagligen Jim. Han ser ut att hänga på WN nu så skicka honom ett PM om det är bråttom för dig.

[hans99]

Att använda säkerhetsskanners.

Nu var det ett par år sedan jag använt dessa annat än som mest ett par gånger per månad. Likväl tänkte jag försöka skriva några rader här.

1. Deras uppgift

1.1. Att enkelt och automatiskt upptäcka säkerhetshål som en server har.
1.2. Att ge exakt information om säkerhetshålet.
1.3. Att peka ut fellagning som krävs.

2. Vad tillför en säkerhetsskanner i skydd mot SEO-hacking?
I de fall angriparen hackar sig in på servern och för att lägga in i kod eller sabotera kan dte ske via säkerhetshål i mjukvaran. Säkerhetsskanner kan upptäcka dessa säkerhetshål. Du kan då förhoppningsvis ta bort säkerhetshålen eller göra att de inte kan missbrukas.

Det är av den anledningen vettigt att genomföra en säkerhetsskanning. Detta är något man kan göra regelbundet eftersom nya säkerhetshål upptäcks regelbundet.

Resultaten kan vidare användas som en indikation på om det är dags att byta webbhotell. Är de dåliga på att hantera fellagningar av säkerhetshål är det ju en nackdel.

3. Begränsningar
Man kan inte utgå från att dessa klarar av att upptäcka annat än standarddefekter i standardmjukvara t.ex. ett säkerhetshål i webbservern eller annan inte ovanlig mjukvara. Inte heller upptäcker de säkerhetshål som inte är dokumenterade eller säkerhetshål som din säkerhetsskanner inte uppdaterats med (uppdatera därför inför varje körning).

Mjukvara du utvecklat själv ser de ingenting i. För skydd mot SEO-hacking är det en begränsning att tänka på kring XSS vilket jag dock berör separat senare.

Retina är ett undantag här (och kanske fler som jag inte känner) och har vissa funktioner för att upptäcka okända säkerhetshål. Likväl ska man inte tro att detta är enormt effektivt eller något att lita på. Mer om den och vad jag tycker om den finns att läsa här:
http://sartryck.idg.se/Art/Retina_ss52003.html

4. Vad ska jag tänka på innan jag gör en säkerhetsskanning?

1. Du ska informera och diskutera det med din hostingpartner eller webbhotell först.
2. Du ska om inte särskild anledning finns och du är kompetent undvika säkerhetstester som testar DoS hål.
3. Du ska göra testet vid den tid då du har minst besökare.
4. Du ska vara beredd på att sajten kan gå ner.

5. Mitt webbhotell vill göra det åt mig och ta betalt för det
Att göra en säkerhetsskanning är idag trivialt och tar ingen tid. Likväl tar många aktörer orimliga priser för det.

En rimlig betalning är inte mer än 1000 kr. Ovanligt är inte att priser på 10 - 30 kkr begärs.

6. Var hittar jag en säkerhetsskanner att använda
Det finns både kommersiella och sådana som är öppenkällkod. Avseende kommersiella är alla stora leverantörers bra numera och det är mycket en smaksak vad man föredrar. För behoven här bör alla dessa vara likvärdiga.

Den jag föredrar är Retina som är kommersiell och Nessus som är öppenkällkod. Bra med Retina är att den är enkel för alla, kör stabilt på Windows, klarar enterprice bra och upplever jag missar mycket lite. Nackdelen är att den är dyrare än flera andra kommersiella alternativ.

Nessus missar också mycket lite. Den är vidare gratis vilket bör vara en avgörande fördel för medlemmarna här som inte har någon stor IT-park att hantera. En kommersiell senare version finns men den tidigare har tillgång till samma data om säkerhetshål. Nackdelen är den typiskt upplevs som krånglig från installation till användning av den som är ovan.

www.nessus.org
http://www.securityfocus.com/brief/79 (om fri kontra kommersiell Nessus)

www.eeye.com/html/products/Retina/
http://sartryck.idg.se/Art/Retina_ss52003.html

[hans99]

Utan att gå djupt in i XSS är principen:

1) Data tas från besökaren.
2) Mjukvaran gör något.
3) Presenterar utifrån det något på skärmen.

XSS i kod du utvecklat själv
Det potentiella problemet illustreras med följande exempel. Säg att du har en sökfunktion som tar in något och visar ett sökresultat tillsammans med söktermen. Söktermen skrivs rätt ut tillsammans med övrig html. Söker någon med en länk blir det då en länk på sidan.

Indexeras den sidan har angriparen skapat en länk från din sajt. För att få den indexerad kan angriparen länka in den. Ibland kommer Google då att indexera den men inte alltid.

Det hindras genom att filtrera allt indata och ta bort alla tecken som kan vara farliga.

Drabbas du av angrepp här är det troligen riktat specifikt mot dig. Det är ju ett troligt scenario avseende SEO-hacking.

XSS i standardmjukvara
XSS kan också finnas som ett säkerhetshål i mjukvara som du använder. Det korrigeras då med en fellagning.

Mer om XSS
Följande är bra läsning:
http://www.cgisecurity.com/articles/xss-faq.shtml
http://www.technicalinfo.net/papers/CSS.html
http://www.cert.org/tech_tips/malici...itigation.html

[clirre]

Jag råkade ut för detta på mitt webbhotell Servage. Jag tätade sidorna lite för sql-injections och bytte webbhotell. Det senare gjorde susen.