Jak zlokalizować adres IP hakera

Gdy Twoja strona zostaje zhakowana, konsekwencje mogą wahać się od drobnych utrudnień, takich jak spam w komentarzach, po poważne problemy prawne związane z treściami obraźliwymi lub nieprzyzwoitymi. Po wykryciu oznak włamania natychmiast zmień hasło używane do publikacji treści – zarówno w panelu webowym, jak i w FTP. Upewnij się, że hasło zna wyłącznie zaufana osoba, która rzeczywiście potrzebuje dostępu administracyjnego. Dzięki analizie logów serwera możesz także ustalić adres IP atakującego i trwale go zablokować.

Sprawdzanie logów serwera

Załóżmy, że strona about.php została zmodyfikowana między 12:00 a 15:00 czasu wschodniego, a inne podstrony pozostały nienaruszone. Jeśli Twój pakiet hostingowy umożliwia dostęp do logów, pobierz plik logu serwera (może wymagać rozpakowania). Log to zwykły plik tekstowy, w którym każda linia ma postać:

123.45.67.89 - - [13/Oct/2009:13:51:31 -0600] "GET /about.php HTTP/1.1" 200 3286 "-" "google.com"

Elementy tej linii oznaczają:

• 123.45.67.89 – adres IP odwiedzającego.
• 13/Oct/2009:13:51:31 -0600 – data i godzina zapisu (czas serwera, niekoniecznie Twój).
• GET – metoda HTTP, a /about.php – żądany plik.
• 200 – kod statusu (OK), 3286 – liczba przesłanych bajtów.
• google.com – referer (puste, gdy odwiedzający nie przyszedł z linku).

Wyszukaj w logu wszystkie zapytania o about.php w wyznaczonym przedziale czasowym (np. 11:00‑14:00 czasu centralnego). Jeśli znajdziesz jedynie jedną pozycję, to właśnie ten adres IP należy do hakera. W przypadku wielu wpisów zanotuj dodatkowe podejrzane działania – częste odświeżania, obraźliwe komentarze, nieudane próby logowania itp.

Blokowanie hakera

Gdy znasz adres IP, możesz trwale wykluczyć go z dostępu do całej witryny, dodając poniższe reguły na początku pliku .htaccess:

Options -Indexes
order allow,deny
allow from all

  deny from 123.45.67.89

Po zapisaniu zmian haker nie będzie już mógł uzyskać dostępu do Twojej strony. Następnie przywróć zmodyfikowaną podstronę do stanu sprzed ataku.

Co zrobić, gdy nie masz dostępu do logów?

W planach budżetowych dostęp do logów serwera lub pliku .htaccess może być ograniczony. Skontaktuj się z działem wsparcia swojego dostawcy hostingu i poproś o udostępnienie logów lub pomoc w wprowadzeniu reguł blokujących. Zgłoś także wszystkie próby włamań – nawet nieudane – ponieważ inne witryny na tym samym serwerze mogą być zagrożone.

Geolokalizacja adresu IP

Usługi geolokalizacji IP pozwalają uzyskać informacje o mieście, kraju, kodzie pocztowym, prędkości połączenia oraz dostawcy usług internetowych (ISP). Jeśli ataki będą się powtarzać, przekaż te dane do ISP hakera, aby podjął odpowiednie kroki.