Вирусы на сайтах: как это работает на самом деле
Большинство владельцев сайтов представляют заражение примерно так: на главной странице внезапно появляется баннер с кричащей рекламой или браузер начинает открывать посторонние вкладки. Реальность устроена иначе. Современный вредоносный код ведёт себя тихо, потому что шум невыгоден самим злоумышленникам.
Механика обычно такая: сначала на сайт загружается скрипт-«троян», который встраивается в файлы и начинает выполнять команды удалённо. Зачастую атака не направлена конкретно против вашего проекта. Хакеры сканируют сотни тысяч ресурсов в поисках известных уязвимостей, находят их, а затем продают доступ на закрытых форумах. Покупатель уже сам решает, что делать с найденной дырой.
Цели бывают разными. Чаще всего это одно из следующего:
- вставка скрытых ссылок для продвижения сторонних товаров или услуг;
- редиректы пользователей на фишинговые ресурсы;
- сбор персональных данных посетителей сайта;
- использование сервера для рассылки спама или атак на другие сайты.
Заражённый сайт может работать нормально с точки зрения его владельца ещё месяцами, пока поисковые системы не начнут выдавать предупреждения или хостер не зафиксирует аномальную активность.
Как происходит взлом сайта
Процедура взлома, как правило, делится на два этапа. Первый это загрузка вредоносного кода в файлы сайта. Этот код намеренно маскируется под стандартные компоненты платформы, на которой написан сайт. Неопытному разработчику обнаружить такую вставку крайне сложно. Второй этап это собственно вредоносное действие: редиректы, размещение запрещённого контента или организация шлюза для атак на сторонние ресурсы.
Почему уязвимости возникают
Есть несколько системных причин, по которым сайты становятся мишенями.
Виртуальный хостинг.Привлекательная цена виртуального хостинга имеет оборотную сторону: данные клиентов не изолированы друг от друга. Взлом одного сайта на таком хостинге нередко открывает доступ к соседним. Поддерживать высокий уровень безопасности на общих серверах дорого, и провайдеры зачастую этого не делают. Иногда для получения доступа к чужому сайту достаточно зарегистрировать тестовый аккаунт и запустить скрипт через браузер.
Устаревшее программное обеспечение.Новые версии CMS и плагинов выходят именно потому, что в старых находят уязвимости. Разработчики закрывают дыры, но если обновление не происходит автоматически, многие владельцы сайтов просто не обновляются. При этом инструкции по эксплуатации старых версий публично доступны на хакерских форумах. Это одна из самых частых причин взлома.
Слабые пароли и человеческий фактор.Пароль вида «admin123» или дата рождения перебирается за секунды. Помимо этого, часто доступ передаётся через незащищённые каналы или оставляется у бывших сотрудников после их увольнения.
Аудит безопасности: как его проводят
Один из способов проверить реальную защищённость ресурса: провести аудит безопасности, который включает тестирование на проникновение. Суть в том, что специалист имитирует действия реального злоумышленника.
Чаще всего применяется метод «чёрного ящика»: тестировщик не знает внутреннего устройства системы и начинает с разведки, как это делал бы реальный хакер. Цель: решить хотя бы одну из задач:
- получить доступ к конфиденциальным данным;
- ограничить доступ к главным функциям сайта;
- изменить или уничтожить данные без возможности восстановления;
- внедрить вредоносный код.
Перед началом тестирования необходима подготовка. Без неё проверка либо окажется бесполезной, либо превратится в настоящую хакерскую атаку с реальным ущербом.
Подготовка к аудиту
Грамотный аудит начинается с нескольких обязательных шагов:
- Соглашение о неразглашении.В ходе работы исследователь получает доступ к конфиденциальной информации. Договор защищает обе стороны.
- Тестирование на копии сайта.Тестировщик применяет методы, которые могут привести к поломке или потере этих. Проводить такую проверку на боевой версии сайта не стоит.
- Выбор проверенного подрядчика.Сертифицированный специалист с подтверждённой экспертизой снижает риск того, что найденные уязвимости будут использованы против вас.
Методы тестирования на проникновение
Разведка по открытым источникам.Тестировщик начинает с публично доступной информации. Его интересует технический стек: на каком языке написан сайт, какую CMS использует, какие плагины установлены. Многое можно узнать через LinkedIn (найти разработчиков компании и определить их специализацию), GitHub или обычный поиск. Иногда там же обнаруживаются ТЗ к плагинам или обсуждения конкретных компонентов.
Определение защитных систем.Специалист выясняет, есть ли на сайте файервол, антиддос-защита и другие средства безопасности. Наличие фаервола проверяется сканером портов, антиддос-сервисы определяются по DNS-записям домена. Зная, какие системы защищают сайт, можно целенаправленно искать способы их обойти.
Проверка на стандартные уязвимости.Прежде чем копать в сторону «уязвимостей нулевого дня», специалист проверяет сайт на известные бреши. Это самый продуктивный этап, потому что большинство реальных взломов происходит именно через давно известные дыры. На этом этапе проверяется:
- возможность удалённого выполнения кода;
- SQL-инъекции;
- XSS, RFI и LFI уязвимости;
- доступность backup-файлов;
- устойчивость системы авторизации к брутфорсу и обходу аутентификации.
Поиск уязвимостей нулевого дня.Это наиболее сложный и дорогостоящий этап, который проводят не все аудиторы. Специалист пытается обнаружить уязвимость, которая ещё нигде не зафиксирована. Актуально только для крупных проектов с высокой ценностью данных. Если сайт проходит тестирование на стандартные угрозы, проверку можно считать успешной.
Чем вирус отличается от взлома
Это принципиально разные ситуации, хотя внешне могут выглядеть похоже.
С вирусом понятна точка входа: вредоносный код попал на сайт через конкретный заражённый компьютер или файл. Его можно вылечить: почистить компьютер, удалить вредоносный скрипт с сервера или откатить сайт на незаражённую резервную копию.
Взлом сложнее. Нужно сначала выяснить, как именно злоумышленник получил доступ. Точек входа может быть несколько: слабый пароль на FTP, уязвимость в плагине, дыра в коде самого сайта. Пока не закрыты все точки входа, удаление вредоносного кода не решит проблему, через время всё повторится. Хакер использует те же инструменты, что и вирус, только управляет ими целенаправленно.
Практические меры защиты
На виртуальном хостинге возможности самостоятельной защиты ограничены, но на выделенных серверах или VPS контроль полностью в руках владельца. Вот базовые меры, которые закрывают большинство распространённых векторов атак.
Пароли и авторизация
- Используйте только случайно сгенерированные пароли длиной от 8 символов, со смешанным регистром, цифрами и спецсимволами.
- Для каждого сайта, сервиса или системы: отдельный аккаунт. Никакого переиспользования паролей.
- Подключите двухфакторную авторизацию везде, где это возможно.
- Убедитесь, что доменное имя и хостинг оформлены на вас или вашу компанию, а не на подрядчика.
Резервные копии
Регулярные резервные копии с разной глубиной хранения, суточные, недельные, месячные, позволяют откатить сайт до незаражённой версии. Это не защищает от взлома, но заметно снижает ущерб от него. Проверяйте, что бэкапы действительно создаются и из них можно восстановиться.
Обновление программного обеспечения
Своевременное обновление CMS, плагинов и серверного ПО закрывает уязвимости, которые хакеры активно эксплуатируют. Если платформа не обновляется автоматически, выстройте ручной процесс проверки обновлений хотя бы раз в месяц.
Работа с подрядчиками
Не передавайте доступы к сайту, базе данных или серверу через мессенджеры и незашифрованные каналы. После окончания сотрудничества с разработчиком или фрилансером немедленно меняйте все пароли, к которым у них был доступ. Недобросовестный подрядчик это одна из частых причин взломов, особенно в малом бизнесе.
Мониторинг и аудит
Настройте уведомления об изменениях в главных файлах сайта. Периодически проверяйте код на наличие посторонних вставок. Для сайтов на популярных CMS существуют плагины и сервисы, которые сканируют файлы на предмет вредоносного кода автоматически. Ряд антивирусных сервисов позволяет проверить сайт по URL и получить базовый отчёт о подозрительных элементах.
Итог
Взлом сайта, не исключительное событие, которое случается только с крупными компаниями. Атаки автоматизированы, хакеры массово сканируют сотни тысяч ресурсов в поисках стандартных уязвимостей, и небольшой сайт на устаревшей CMS с паролем «qwerty» подвергается тому же риску, что и портал с миллионной аудиторией.
Большинство реальных взломов происходит через давно известные уязвимости: необновлённые плагины, слабые пароли, отсутствие двухфакторной авторизации. Это значит, что базовые меры безопасности действительно работают. Потратить время на их внедрение намного дешевле, чем разбираться с последствиями взлома: чисткой кода, восстановлением репутации в поисковых системах и возможными претензиями со стороны пользователей, чьи данные утекли.
