Задача каждого вебмастера при создании и поддержке сайта - максимально защитить его от хакеров, вирусов и других злодеев и гадостей. К сожалению не у всех это получается. И, порой, натыкаешься в Интернете на зараженные сайты.

Одни уже могут попасть в список опасных и поисковые системы могут не пускать на них или как минимум предупреждают об опасности. Другие - еще не в списках - приносят вред посетителям, ну или по крайней мере стараются это сделать.  Причины заражения и симптомы могут быть различными, рассмотрим наиболее частые.

Способы заражения сайта вирусом

Как заразить сайт вирусом? - да очень легко! Достаточно выполнить первые четыре пункта, и с очень большой вероятностью ваш сайт будет заражен вирусом.

Варианты заражения сайта вирусом:

• сохранение паролей к FTP в файловых менеджерах;
• слабая защита админки CMS;
• не идеальная либо устаревшая CMS;
• установка шаблонов, модулей, компонентов, плагинов для CMS с "левых" сайтов;
• деятельность хакера
• и др.



1. При работе с сайтом по FTP-протоколу ни в коем случае не сохраняйте пароль в файловом менеджере, это небезопасно! Файловый менеджер Total Commander даже об этом предупреждает. Дело в том, что пароли в файловых менеждерах хранятся в незашифрованном виде, и в случае заражения вашего компьютера некоторым типом вирусов эти пароли сразу же отправляются по заданному адресу хозяину вируса, и тот уж не поленится воспользоваться вашей оплошностью.

В крайнем случе, это можно делать только тогда, когда доступ к FTP-серверу возможен только с вашего компьютера, но все-таки лучше пароль не сохранять. Безопаснее написать его на листке бумаги на наклеить на монитор, чем сохранять в файловом менеджере.

2. Некоторые администраторские панели CMS не имеют защиты от подбора логина и паролей, т.е. нет ограничений на количество попыток ввода логина и пароля, нет капчи для защиты от роботов и т.д. Если же ваша учетная запись администратора имеет стандартный логин - Admin или Administrator, то злоумышленникам будет значительно проще подбирать пароль к админке, чем нежели логин администратора будет типа Nostradamus или Kvalidutika или что-нибудь еще более нестандартное.

Если пароль администратора простой (например, только цифры), это также облегчит его подбор. Так что лучше сразу, еще на начальном этапе создания сайта, переименоваться из администратора в свое уникальное редкое имя и придумать сложный пароль.



3. Некоторые CMS изначально имеют дыры в защите и прочие уязвимости, через которые опытные злоумышленники могут получить доступ к сайту. Также не стоит использовать для сайта устаревшую версию некогда популярной системы управления контентом. Прогресс постоянно шагает вперед, выходят новые версии CMS, желательно не лениться и своевременно обновлять версию CMS, установленную на сайте.

4. Некоторые шаблоны, модули, компоненты и плагины для популярных CMS платные, и их стоимость может составлять от 2-3 до нескольких десятков $. Некоторые "экономные" вебмастера могут пожалеть этих денег, - такие начинают искать данные компоненты на пиратских сайтах, с которых весь контент можно скачать бесплатно.

В этом случае есть довольно большой риск скачать (а потом и установить самостоятельно на сайт) подкорректированный компонент, который либо сразу заразит ваш сайт, либо создаст на нем скрытую дверцу, ключ от которой есть у хакера, подменившего оригинальный компонент своим.

Совет: никогда не скачивайте платные модули, шаблоны и плагины с варезных сайтов, такая игра не стоит свеч. Используйте официальные сайты разработчиков, причем проверенных и имеющих статус.

5. Работа профессионального хакера по взлому вашего сайта сопоставима по вероятности с метеоритом, упавшем в ваш огород. Это самый маловероятный вариант, особенно для сайтов с низким уровнем популярности и посещаемости. Так что, если к вам на сайт ежедневно заходит до 50 уникальных посетителей (из которых 5-10% - роботы), то, скорее всего, хакерская атака вам не грозит.

Что делает вирус на сайте?

Вирус, попавший на сайт, не всегда начинает сразу проявлять свою активность (если вирус хитрый, точнее, его создатель предусмотрительный). Хитрый вирус подождет недельку-другую, а то и больше, прежде, чем начинать делать всякие бяки.



Для чего они так себя ведут? - Дело в том, что многие хостеры, делая backup сайта, сохраняют его версию с откатом максимум на 7-10 дней. И если, например, заражение произошло 1 числа, вирус проявил себя только 15-го, то восстановление сайта из резервной копии будет бесполезным, т.к. самая ранняя копия будет только за 5 число, когда вирус уже прописался на сервере или в БД.

Продвинутый вебмастер делает собственные резервные копии и сохраняет их в безопасном месте. Обычно резервные копии сайта делают каждый раз после каких-либо существенных изменений в его структуре или наполнении.

Деятельность вирусов на сайте:

1. Загрузка другого сайта в невидимом фрейме при открытии любой страницы зараженного сайта. В таких случаях вирус добавляет iframe-код в php- или js-файлы сайта. Таким образом вирус делает невидимые посещения для своих сайтов - ворует трафик.

2. Блокировка содержимого сайта неким фреймом (окном), текст которого просит доказать, что вы живой человек, указать свой номер мобильного телефона и потом отправить СМС, стоимость которой обычно составляет несколько сотен рублей.

Продемонстрирую второй вариант заражения на примере одного сайта. Как подобная ситуация была на сайте мебельной фабрики "Комфорт Плюс" - comfortplus-ul.ru.

При открытии сайта поверх его главной страницы отображается дополнительное окно, которое блокирует остальное содержимое страницы и просит доказать, что вы не робот:

При этом навигация по сайту и по открытой странице не возможна, страница не активна, фрейм ее блокирует.



Если внимательно присмотреться, то видно, что цветовая гамма этого окна отличается от сайта, хотя в целом на первый взгляд это не бросается в глаза, блокирующий фрейм не кажется чужеродным, а вполне вписывается в дизайн. Молодцы вирусописатели - подобрали адекватный шаблон для фрейма!

Благодаря плагину Adblock для браузера Mozilla Firefox можно кое-что сделать с этим фреймом, а точнее заблокировать его:

В появившемся окне блокировки видно, что адрес фрейма отличается от адреса нашего просматриваемого сайта:



После блокировки фрейма сайт можно просмотреть в обычном режиме, вся навигация активна и доступна:

Если открыть список элементов плагина Adblock (команда Ctrl+Shift+V) также видно адрес сайта - он кардинально отличается от того, который мы просматриваем:

Временно разблокируем фрейм и посмотрим структуру кода страницы с помощью плагина Firebug для браузера Mozilla Firefox. Также видим, что картинка грузится с "левого" сайта:

Немного покопавшись в коде, можно найти iframe-код. Он в теле страницы присутствует в нескольких экземплярах, причем при обычном просмотре кода страницы: командой Ctrl+U нет ни одного frame-кода.

Более глубоко копать не стал, анализ вирусности сайта через front-end (web-интерфейс) - занятие неблагодарное, возможностей мало. Факт наличия вируса на сайте зафиксирован, остальное - дело вебмастера - починить сайт.

Последним штрихом в анализе этого зараженного вирусом сайта было открытие его в другом браузере - в Google Chrome. Фрейм-блокировщик страницы не отобразился, СМС отправить никто не просил, зато зазвучали сами по себе звуки, вероятнее всего это в невидимом режиме в iframe-коде загрузился и "отображался" какой-то сайт с мультимедийным содержанием (видеоролики).

Как удалить вирус с сайта?

Самый простой способ - восстановить сайт из резервной копии, заведомо чистой. Перед этим поменять все пароли: на хостинг, на БД MySQL, на админку. Потом обновить установленную CMS, если это возможно. Не использовать непроверенные модули, шаблоны и плагины для CMS.

Если выполнение данных процедур не возможно или не принесло положительного результата, то можно попробовать обратиться к профессионалам по лечению сайтов от вирусов. Эта работа не дешевая, но зачастую может помочь. Самостоятельно вручную корректировать код зараженных php- или js-файлов - практически бесполезно. Нужно сначала найти дырку, через которую попали вирусы на сайт, и удалить этот источник.

Ну а если уже все-все перечисленное не помогает, то остается только один вариант - полностью переделать сайт: сохранить контент, удалить БД и все папки и файлы на сервере, заново установить CMS, настроить ее, установить все необходимые модули, плагины и шаблон - только чистые! С официальных сайтов разработчиков, имеющих положительные отзывы и/или раскрученное имя в сфере web-технологий. И заново создать весь контент на сайте, скопировав его из сохраненной копии.

Импорт в MySQL лучше не делать, мало ли что там у вас в БД может оказаться? - Не стоит рисковать, чтобы самостоятельно не сделать SQL-инъекцию. Лучше копировать текст и вставлять с автоматической очисткой кода.