该网站可能含有恶意软件,有可能会危害您的电脑

     最近一个朋友网站被人攻击了，google搜索显示“该网站可能含有恶意软件，有可能会危害您的电脑。”

     google:该网站可能会损害您的计算机提示警告问题的排查远离消除解除处理方法。就在9月初，活动目录网络专家博客遭遇了stopbadware的“袭击”，在google的搜索结果中，活动目录网络专家博客被标注了“该网站可能含有恶意软件，有可能会危害您的电脑。”英文的提示应该是："This site may harm your computer"毫无疑问，这对于网站的声誉会有很大的影响，更会直接影响到搜索者的点击。如果这个标注出现在绝大多数收录页面上，那后果将会是非常严重的。

背景资料 很遗憾，在这个事情发生之前，我并没有接受到google的任何警告或者提示，这一点是google非常不合理的一个地方。幸好，我经常跟踪到访记录，对到访记录的追踪过程中，及时发现了这个问题。我搜索了一下，有很多网站都说到了如何解决该网站可能会损害您的计算机提示警告问题。毫无疑问是google（谷歌）黑板报中首先发表了这个解决方法，随后我在点石互动上看到了转载及相关说明 。但是这两篇文章和网络上的相关文章，都没有提到向 stopbadware的申请review以及如何跟踪的细节。这样的话，很多朋友在初次遇到这个问题的时候，就可能手足无措，情急之下可能采取的措施，可能会导致更多问题。
gnaw0725注：要提到的一点是，判断一个站点上是否可能含有恶意软件，并不是google直接进行的，而是google委托stopbadware站点操作的，所以在下面的问题排查章节中，我们可以看到，申诉是向stopbadware提出的，而不是向google提出申请。

问题排查 这里面最关键的一个方面，不是如何向stopbadware提出review的申请（关于申诉页面上的那几句鸟文，我后面给大家解释），而是如何查找您站点上的恶意软件，到底是什么内容导致stopbadware认定您的站点包含了恶意软件。我在昨天的搜索引擎营销大会上，也跟Robin提到了这个问题。
我是后来才注意到stopbadware上给出的问题排查技巧的：Tips for Cleaning & Securing Your Website ，不过我之前也基本是按照文章中提到的步骤进行的。这篇文章提到，您在遇到这个问题，需要从一下几个方面入手进行问题排查：
1、在您的站点上可能包含了恶意软件的下载。尤其是下载站，大家在提供一些破解版、注册版、绿色版下载的时候，一定要注意该软件是否包含了恶意软件。
2、您站点上可能包含了恶意软件的链接。和第一点相同，即便是提供了一些恶意软件的链接，也可能会影响到您的站点页面。
3、您站点上的恶意软件广告可能会恶意软件进行传播。例如一些恶意软件的banner广告，这些广告背后的代码可能指向了恶意软件。
4、您站点上的用户参与内容可能包含恶意软件链接。例如一些用户回复的内容，留言等等内容中包含的链接。
5、您的站点遭到了攻击。常见的攻击方式就是注入式攻击，比如：
     a、不可见的Frame。攻击者利用您站点的漏洞，向页面中插入了不可见的帧 ，例如宽度和长度均为0的 frame(width="0" and height="0")。所以大家要特别注意这样的代码。这样的代码常见于一些站长刷流量的代码和工具。您在获得了所谓“流量”的同时，也遭遇了攻击。
     b、模糊代码。攻击者可能在页面中写入一些难于排查和检测的模糊代码，或者经过编译后的代码。

stopbadware讲了需要排查的内容，我就说说问题排查的思路和技巧：
1、观察ClearingHouseList。看看列表中，您哪些遭到了警告，然后分析这些页面的共性，也就是说是什么东西在这些页面上都会出现。这通常包括一些功能代码，比如在线调查、留言板、计数器或者侧边栏中的功能模块。找出怀疑的代码，记录下来。
gnaw0725注：关于如何查看 ClearingHouseList，我会在下面的问题解决章节中说明。
2、在google中依次搜索这些代码提供者的域名，如果google同样也给这些域名标识了“该网站可能含有恶意软件，有可能会危害您的电脑”，那么该域提供的代码可能含有恶意软件，请立刻从您的站点中移除它们。
3、用一些第三方的恶意代码检测工具，检查问题页面的源代码。找到怀疑的地方，将问题页面备份之后，移除怀疑代码。

提交申述 好，我们最后说说如何解决恶意代码的问题。
1、移除恶意代码或者软件。既然发现了，就好移除。移除的方法，您也可以参考 Tips for Cleaning & Securing Your Website 中的 Removing badware from your site 章节。
2、提出Review申诉。前面我们说到应该向stopbadware提出申诉而不是google。申诉站点地址是 http://stopbadware.org/home/review 。或者您也可以尝试给 appeals@stopbadware.org 写信。相比之下，用前者要一些，因为大家可以看到review的过程，不会让人等的闹心。
      a、您在访问上面的网址之后，在页面下方会看到这样的提示：
      b、Enter a portion of the site's URL ，您在这里输入您的站点地址，注意不要包含http://，不要包含域名后的页面地址，例如www.domain.com ，例如 gnaw0725.blogbus.com
      c、然后点击 Search Clearinghouse 按钮，这样就可以找到目前您站点所有被警告的页面。随后出现的页面列表就是前面提到的 ClearingHouseList。
      d、点击任何一个链接，进入到申诉页面。请填写如下字段：
Your Name （填写您的名字）
Your Email Address （填写Email地址，这将会用于发送审核Review的结果）
Click here if you are the owner or administrator of this website. （如果您申述的网站属于您，请勾选此项。相信大多数人都需要勾选。）
Reason you are requesting review （请输入您申述的原因，这里当然要说我已经移除了恶意软件，那么就可以这样输入：
I've removed all badware and fixed the vulnerability that allowed it to be placed on my site.）
Is there anything else you'd like to add regarding this review of your site?（如果您需要补充一些附件信息，请添加在这里，例如：
This problem may caused by the KEY WORD FAST LINK, which provided by BSP.
I'm Microsoft Most Valuable Professional(MVP), so I will not do this thing.
我说这个问题可能是我的blog服务提供商导致的，我是MVP，不可能做这种事情）
By checking here, you certify that you have taken all necessary steps to remove the badware or badware links from your site before submitting this request for review
（如果您确认已经移除了恶意软件或者恶意软件链接，请勾选此项。奥，我们当然要勾选了。）
      e、点击“Submit your Review”按钮，提交您的申述申请。
      f、重复b－e，直至提交完所有页面。此后，我们就可以不断的查看ClearingHouseList，以关注审核进展情况。

跟踪审核 点击任何一行的 A 按钮，就可以看到那个页面的处理情况。大致有如下几个阶段：
Review History for (http://gnaw0725.blogbus.com/c1507212/)
第一阶段：站点被添加到 Clearinghouse，也就是说您的站点被标注的时间。
Clearinghouse
Site added to clearinghouse: 09/04/2007
第二阶段：开始申诉页面的Review，也就是说这个时候您对此页面提出了申诉review请求。
Request for Review Recieved
Request Recieved: 09/04/2007
第三阶段：申诉页面进行中，Stopbadware正在重新审核您的页面，这会为您的页面增加一定的流量。
Review Request Initiated: 32793
Created: 09/06/2007
Last Updated: 09/07/2007
Status: Review Request in process
第四阶段：接收到服务商的反馈信息。如果您在附加信息中提到了您的服务提供商，stopbadware可能会询问向您的服务提供商询问相关信息。
Message received from Provider
Received: 09/07/2007
第五阶段：审核结束。
Review Request Initiated: 32793
Created: 09/06/2007
Last Updated: 09/07/2007
Status: Review closed - Clean
第六阶段：发送Email。stopbadware会将review的结果，发送到您在前面登记的mail地址。
Review Results from StopBadware
Email sent: 09/07/2007
We have received and processed your request for review of your website, gnaw0725.blogbus.com/c1507212/. It appears that your site does not currently host or distribute badware. As such, the Google warning page for your site has either already been removed or should be removed shortly. In addition, if your site has been listed in our Badware Website Clearinghouse, we will be removing your site from the Clearinghouse list.
（这段文字的大意是说：我们已经接受并执行了您站点的申诉请求，http://gnaw0725.blogbus.com/c1507212/ 。看起来，您的站点并没有主持或者散布恶意软件，google对您站点的警告页已经移除或者即将移除。如果我们的Badware网站ClearinghouseList已经列出了您的站点，我们将会从中移除。）

Sometimes website owners are confused about why Google placed a warning in the search results for their site. In many cases, a website run by an innocent site owner has been hacked by a malicious third party, causing the site to distribute badware without the site owner's knowledge. If your site was distributing badware because it has been hacked, then simply removing the bad code from your site is not enough to keep your site clean in the future. You will also need to work with your hosting provider to fix all security vulnerabilities associated with your site.

Please note that we will be retesting your website at periodic intervals in order to monitor that it remains free from badware. If we find that you are hosting or distributing badware in the future, the reviews process may take considerably longer than the original review.
(这段话的大意是说：请注意，我们将会不定期的检测您的网站，如果我们发现您仍旧在主持或者散播恶意软件，那么再次审查的时间将会比第一次长的多。)

Answers to commonly asked questions from site owners who are the subject of Google warnings can be found at: . For tips on keeping your website clean and secure, please visit: http://stopbadware.org/home/security
The StopBadware Team

验证结果 一旦收到Mail之后，我们可以看看实际的结果如何，我们可以在google中搜索之前我们申述的页面地址，例如在上面的例子中就是 gnaw0725.blogbus.com/c1507212/ ，看看google的搜索结果页面是否真的去除了那个警告信息。

小结 从上面的步骤，我们可以看到向stopbadware提交申述，需要有一个过程，一般周期会在一个星期左右。另外，大家需要注意的一点是，在您不断跟踪及查看 ClearingHouseList的过程中，可能还会有一些您站点上的页面，被不断的添加到列表中，这是正常的，不用惊慌。您所需要做的，就是不断把那些加进列表的页面，提交Review申请。
那么怎么知道哪些页面是被新加进来的呢？有一个技巧，您打开IE浏览器，然后在菜单栏－工具－Internet选项－辅助功能－格式化，勾选“忽略网页上指定的颜色”，然后确定。这样一旦列表中有新的页面出现，就会显示成蓝色链接，这样就一目了然了。