Website bị chèn link cờ bạc, nhà cái: cách phát hiện và làm sạch

Bạn gõ tên web trên Google và thấy dưới tên miền của mình có những trang “nhà cái uy tín”, “đá gà trực tuyến”, “tải app cá cược”. Hoặc khách nhắn rằng trang chủ có một dòng link lạ ở chân trang. Đây là kiểu tấn công chèn link cờ bạc (spam SEO). Kẻ tấn công không phá web của bạn mà mượn uy tín tên miền để đẩy trang cờ bạc lên Google. Web càng lâu năm, càng có thứ hạng thì càng bị nhắm tới.

1. Các dạng chèn link cờ bạc

• Link ẩn trong trang: một khối link cờ bạc được chèn vào chân trang, đầu trang hoặc bài viết, giấu bằng CSS (chữ trắng trên nền trắng, kích thước 0) nên chủ web không thấy, nhưng Google thì đọc được.
• Trang rác tạo hàng loạt: hàng nghìn trang mới được sinh ra dưới tên miền của bạn, thường ở các đường dẫn lạ. Chúng có thể nằm trong cơ sở dữ liệu dưới dạng bài viết hoặc được tạo bằng một file PHP trong thư mục web.
• Nội dung chỉ hiện với Google (cloaking): khi người thường mở trang thì thấy bình thường, nhưng khi bot Google vào thì nhận về trang cờ bạc. Đây là dạng khó phát hiện nhất.
• Chuyển hướng: khách vào từ Google hoặc trên điện thoại bị đẩy sang web cá cược. Xem riêng bài website bị chuyển hướng sang trang lạ.

2. Cách phát hiện

1. Tìm trên Google: gõ site:tenmien.com, rồi thử site:tenmien.com nhà cái, site:tenmien.com casino, site:tenmien.com slot. Có kết quả là web đã bị chèn.
2. Xem mã nguồn trang: trên máy tính, bấm chuột phải chọn “Xem nguồn trang”, rồi tìm (Ctrl+F) các từ như casino, bet, nhà cái, display:none.
3. Search Console: mục Vấn đề bảo mật và Thao tác thủ công có thể đã có cảnh báo. Mục Trang có thể cho thấy số trang được index tăng đột biến.
4. Xem như Google xem: dùng công cụ Kiểm tra URL trong Search Console, chọn “Kiểm tra URL đang hoạt động”, rồi xem phần HTML Google nhận được. Cách này lộ ra dạng cloaking.
5. Quét từ bên ngoài bằng công cụ kiểm tra bảo mật WordPress để thấy những chỗ web đang để hở.

3. Các bước làm sạch

1. Sao lưu nguyên trạng cả file và cơ sở dữ liệu trước khi xoá bất cứ thứ gì.
2. Đổi toàn bộ mật khẩu: hosting, FTP, cơ sở dữ liệu, mọi tài khoản quản trị WordPress. Xoá tài khoản quản trị lạ.
3. Tìm trong file:
   • File PHP nằm trong wp-content/uploads. Thư mục này chỉ nên chứa ảnh và tài liệu, không được có file PHP.
   • File có tên ngẫu nhiên hoặc giả tên file hệ thống ở thư mục gốc (ví dụ wp-confg.php, about.php, index-old.php).
   • Đoạn mã lạ ở đầu index.php, wp-config.php, functions.php của theme. Mã độc hay dùng eval(, base64_decode(, gzinflate( để giấu nội dung.
   • Quy tắc lạ trong .htaccess, nhất là các dòng kiểm tra HTTP_USER_AGENT có chữ Googlebot.
4. Tìm trong cơ sở dữ liệu: trong phpMyAdmin, tìm các từ khoá cờ bạc và thẻ <script trong bảng wp_posts (nội dung bài) và wp_options (widget, cài đặt theme). Xoá các bài rác được tạo hàng loạt.
5. Cài lại lõi WordPress, theme, plugin từ nguồn sạch, bỏ hẳn plugin và theme lậu.
6. Kiểm tra lại bằng cách xem nguồn trang và Kiểm tra URL trong Search Console.

Dọn mà sót một file cửa hậu (backdoor) thì vài ngày sau link cờ bạc sẽ quay lại. Nếu đã dọn một lần mà bị lại, nhiều khả năng còn cửa hậu hoặc lỗ hổng chưa vá.

4. Gỡ trang rác khỏi Google

• Các trang rác sau khi xoá phải trả mã 404 hoặc 410. Google sẽ tự gỡ dần khi thu thập lại, có thể mất vài tuần.
• Muốn ẩn nhanh, dùng công cụ Xoá URL trong Search Console. Có thể xoá theo tiền tố nếu các trang rác chung một thư mục.
• Nếu có cảnh báo bảo mật hoặc thao tác thủ công, gửi yêu cầu xem xét lại sau khi đã dọn xong, kèm mô tả việc đã làm.
• Gửi lại sitemap sạch. Xem bài gửi sitemap lên Search Console.

5. Phòng bị chèn lại

• Cập nhật plugin và theme đều đặn. Đa số web bị chèn link do plugin cũ có lỗ hổng đã công bố.
• Chặn chạy PHP trong thư mục uploads.
• Bật xác thực hai lớp và giới hạn đăng nhập sai.
• Mỗi tháng kiểm tra lệnh site: một lần.

Danh sách đầy đủ có trong bài 12 việc bảo mật WordPress.

6. Khi nào nên nhờ người làm

Chèn link cờ bạc thường đi kèm cửa hậu, và dạng cloaking rất khó tự dọn hết. Dịch vụ xử lý website bị hack, nhiễm mã độc của DatPilot giá 890.000đ đến 1.900.000đ: quét file và cơ sở dữ liệu, dọn link và trang rác, vá lỗ hổng, gửi yêu cầu xem xét lại với Google nếu cần, bảo hành 30 ngày. Gói bảo trì website từ bản Plus có quét mã độc và spam SEO định kỳ.