5 การโจมตี WordPress ที่พบบ่อยและวิธีป้องกัน

คุณกังวลว่าแฮกเกอร์จะโจมตีเว็บไซต์ WordPress ของคุณ? เราหวังว่าจะบอกให้คุณไม่ต้องกังวล แต่ความจริงคือ เว็บไซต์ WordPress ถูกแฮกเกอร์มุ่งเป้าตลอดเวลา ส่วนใหญ่เพราะความนิยมของ WordPress ที่ครอบครองเว็บไซต์บนอินเทอร์เน็ตเกือบ 1 ใน 3

แม้ WordPress เองจะเป็นแพลตฟอร์มสร้างเว็บไซต์ที่ปลอดภ แต่ไม่ได้ทำงานคนเดียว คุณต้องการปลั๊กอินและธีมเพื่อรันเว็บไซต์ WordPress ปลั๊กอินและธีมมักพัฒนาช่องโหว่ซึ่งแฮกเกอร์ใช้ประโยชน์เพื่อแฮกเว็บไซต์

เมื่อพวกเขาเข้าถึงเว็บไซต์ของคุณ พวกเขาจะดำเนินกิจกรรมอันตรายอย่างหลากหลาย เช่น ขโมยข้อมูลละเอียดอ่อน ลักลวงลูกค้า และแสดงเนื้อหาผิดกฎหมาย ในขณะเดียวกัน ไซต์ของคุณอาจถูกตั้งคำเตือนในผลการค้นหา ถูก Google แบล็คลิสต์ หรือถูกระงับโดยเว็บโฮสต์ ทั้งหมดนี้นำไปสู่การสูญเสียผู้เข้าชมและรายได้

แม้นักพัฒนา WordPress จะรักษาแพลตฟอร์มให้ปลอดภัยมากที่สุด เจ้าของเว็บไซต์ WordPress ก็ต้องดำเนินมาตรการด้วยตัวเอง ในบทความนี้ เราพูดถึงการโจมตีที่พบบ่อยที่สุดบนเว็บไซต์ WordPress และมาตรการป้องกันที่คุณสามารถทำได้

TL;DR: หากคุณกังวลเกี่ยวกับแฮกเกอร์โจมตีเว็บไซต์ WordPress คุณสามารถดำเนินมาตรการป้องกันทันที ติดตั้งปลั๊กอินรักษาความปลอดภัย WordPress ของเรา MalCare มันจะสแกนและตรวจสอบไซต์ทุกวัน และบล็อกแฮกเกอร์ที่พยายามแฮกเข้า

ทำไม WordPress จึงเป็นเป้าหมายยอดนิยมของแฮกเกอร์?

WordPress เป็นแพลตฟอร์มสร้างเว็บไซต์ที่ทำให้ทุกคนสร้างเว็บได้โดยไม่ต้องรู้เขียนโค้ด นอกจากนี้ WordPress ฟรี

ผลคือ แพลตฟอร์มนี้ขับเคลื่อนเว็บไซต์ที่ใช้งานอยู่เกิน 1.3 พันล้านไซต์ในวันนี้

ข้อเสียคือ เว็บไซต์ WordPress ถูกมุ่งเป้ามากกว่าเว็บไซต์ที่สร้างบนแพลตฟอร์มอื่น

ตอนนี้มีหลายวิธีที่แฮกเกอร์สามารถแฮกเข้าไซต์ของคุณได้ เราได้แยกเหลือ 5 วิธีที่พบบ่อยที่สุด เราจะอธิบายว่าอะไรเกิดขึ้นและคุณสามารถปกป้องเว็บไซต์ WordPress ได้อย่างไร

5 การโจมตีที่พบบ่อยที่สุดบนเว็บไซต์ WordPress

1. ปลั๊กอินและธีมที่มีช่องโหว่ (Vulnerable Plugins and Themes)

เว็บไซต์ WordPress สร้างขึ้นจาก 3 องค์ประกอบ คือ การติดตั้ง lõi (core) ธีม และปลั๊กอิน ทั้ง 3 องค์ประกอบมีศักยภาพทำให้ไซต์เปราะบางต่อการแฮก

หลายปีมา ไม่มีช่องโหว่ร้ายแรงใน WordPress core มันได้รับการดูแลโดยทีมนักพัฒนาที่มีประสบการณ์และคุณสมบัติสูง พวกเขาทำงานหนักเพื่อให้แพลตฟอร์มปลอดภัยสมบูรณ์ คุณไม่ต้องกังวลเรื่องนี้

อย่างไรก็ตาม ปลั๊กอินและธีม WordPress ถูกสร้างโดยนักพัฒนาภายนอก และมักพัฒนาช่องโหว่ WordPress บ่อยครั้ง

เมื่อนักพัฒนาพบช่องโหว่ พวกเขาจะแก้ไขทันทีและปล่อยเวอร์ชันอัปเดต

คุณ بصفคุณเป็นเจ้าของไซต์ ต้องอัปเดตเป็นเวอร์ชันล่าสุด และไซต์ของคุณจะปลอดภ การติดตั้งอัปเดตความปลอดภัยทันทีมีความสำคัญ เพราะเมื่อนักพัฒนาปล่อยอัปเดต พวกเขายังเผยแพร่เหตุผลของการอัปเดตด้วย ดังนั้น ช่องโหว่จึงถูกประกาศสู่สาธารณะ

หมายความว่าแฮกเกอร์ตอนนี้รู้ว่ามีช่องโหว่อยู่ พวกเขายังรู้ว่าไม่ใช่เจ้าของไซต์ทุกคนอัปเดตทันที ดังนั้นเมื่อพวกเขารู้ว่าปลั๊กอินหรือธีมไหนเปราะบาง พวกเขาจะเขียนบอทและสแกนเนอร์เลื้อยคลานอินเทอร์เน็ตหาไซต์ที่ใช้ปลั๊กอิน/ธีมนั้น การรู้ช่องโหว่ที่แน่นอนทำให้พวกเขาใช้ประโยชน์ แฮกเข้า และแทรกมัลแวร์อย่าง wp feed malware ฯลฯ ได้ง่าย

วิธีป้องกันไซต์จากปลั๊กอินและธีมที่มีช่องโหว่

1. ใช้เฉพาะธีมและปลั๊กอินที่เชื่อถือได้จาก WordPress repository หรือตลาดอย่าง ThemeForest และ Code Canyon
2. ตรวจสอบรายการปลั๊กอินเป็นประจำ และเก็บเฉพาะที่ใช้งาน ลบปลั๊กอินที่ไม่ต้องการหรือไม่ได้ใช้งาน
3. สแกนธีมเป็นประจำ และในที่สุด ควรเก็บเฉพาะธีมที่ใช้งานอยู่
4. อย่าใช้ธีมและปลั๊กอินลิขสิทธิ์ (nulled/pirated) มักมีมัลแวร์ฝังอยู่ซึ่งจะติดเชื้อเว็บไซต์ของคุณ
5. ให้แน่ใจว่าคุณรู้จักปลั๊กอินและธีมทั้งหมดบนไซต์ บางครั้งแฮกเกอร์ติดตั้งปลั๊กอิน/ธีมของตัวเองที่มี backdoor ฝังอยู่ ให้พวกเขาเข้าถึงไซต์ได้ลับๆ

2. การโจมตี Brute Force (Brute Force Attacks)

เพื่อล็อกอินเข้า WordPress คุณต้องใส่ข้อมูลประจำตัว คือ ชื่อผู้ใช้และรหัสผ่าน

หลายครั้ง เจ้าของเว็บ WordPress ใช้ชื่อผู้ใช้และรหัสผ่านที่จำง่าย หลายคนยังคงใช้ username เริ่มต้นคือ 'admin' รหัสผ่านทั่วไปเช่น 'password123' หรือ '1234567'

แฮกเกอร์รู้ดีเรื่องนี้และโจมตีหน้าล็อกอินของเว็บไซต์ WordPress

พวกเขาสร้างฐานข้อมูลชื่อผู้ใช้และรหัสผ่านที่ใช้บ่อย ต่อมาเขียนบอทมุ่งเป้าเว็บไซต์ WordPress และลองคอมบิเนชันต่างๆ ในฐานข้อมูลของพวกเขา

ถ้าข้อมูลประจำตัวของคุณอ่อนแอ บอทมีโอกาสสูงที่จะทายถูกและแฮกเข้าไซต์ วิธีนี้เรียกว่า 'Brute Force Attacks' และประมาณว่ามีอัตราสำเร็จ 10%!

วิธีป้องกันไซต์จาก Brute Forcing

มีขั้นตอนสองสามอย่างที่คุณสามารถทำเพื่อรักษาความปลอดภัยไซต์จาก brute force attacks:

1. ค่าเริ่มต้น username ของ WordPress คือ admin คุณสามารถเปลี่ยนจาก admin เป็นชื่อที่เฉพาะตัวมากขึ้น
2. ใช้รหัสผ่าน WordPress ที่แข็งแกร่ง เราแนะนำให้ใช้ passphrase ร่วมกับตัวเลขและสัญลักษณ์ เช่น Birdsofafeather123$
3. ใช้ข้อมูลประจำตัวที่ไม่ซ้ำกัน ไม่เคยใช้บนเว็บไซต์อื่น
4. จำกัดจำนวนครั้งที่พยายามล็อกอินบนไซต์ หมายถึงผู้ใช้ WordPress จะมีโอกาสจำกัดในการใส่ข้อมูลประจำตัวที่ถูกต้อง เช่น 3 ครั้งหรือ 5 ครั้ง หลังจากนั้นต้องใช้ตัวเลือก 'ลืมรหัสผ่าน' คุณสามารถติดตั้งปลั๊กอินรักษาความปลอดภัย MalCare บนไซต์ และมันจะใช้การป้องกันล็อกอินนี้โดยอัตโนมัติ
5. ใช้การยืนยันตัวตน 2 ปัจจัย (Two-factor authentication) ผู้ใช้ WordPress ต้องใส่ข้อมูลประจำตัวพร้อมกับรหัสผ่านครั้งเดียว (OTP) ที่สร้างบนสมาร์ทโฟนหรือส่งไปอีเมลที่ลงทะเบียน

3. การโจมตีแบบ Injection (Injection Attacks)

เกือบทุกเว็บไซต์มีฟิลด์รับข้อมูล เช่น ฟอร์มติดต่อ แถบค้นหา หรือส่วนความคิดเห็น ที่ให้ผู้เข้าชมป้อนข้อมูล บางเว็บยังอนุญาตให้อัปโหลดเอกสารและไฟล์รูปภาพ

ปกติข้อมูลนี้จะถูกรับและส่งไปยังฐานข้อมูลเพื่อประมวลผลและเก็บ ฟิลด์เหล่านี้ต้องมีการตั้งค่าที่เหมาะสมเพื่อตรวจสอบและทำความสะอาดข้อมูลก่อนส่งไปฐานข้อมูล เพื่อให้แน่ใจว่ารับเฉพาะข้อมูลที่ถูกต้อง หากขาดมาตรการเหล่านี้ แฮกเกอร์จะใช้ประโยชน์และป้อนโค้ดอันตราย

ลองตัวอย่างเว็บไซต์ WordPress ที่มีฟอร์มติดต่อ โดยปกติฟอร์มควรยอมรับชื่อ ที่อยู่อีเมล และเบอร์โทร

1. ฟิลด์ชื่อควรยอมรับเฉพาะตัวอักษรภาษาอังกฤษ
2. ฟิลด์อีเมลควรยอมรับรูปแบบอีเมลที่ถูกต้อง เช่น example@mysite.com
3. ฟิลด์เบอร์โทรควรมีเฉพาะตัวเลข

ตอนนี้ หากการตั้งค่าเหล่านี้ไม่มีอยู่ แฮกเกอร์สามารถแทรกสคริปต์อันตรายได้ เช่น:

 String userLoginQuery = "SELECT user_id, username, password_hash FROM users WHERE username = '" + request.getParameter("user") + "'"; 

นี่คือโค้ดที่จะสั่งให้ฐานข้อมูลรันฟังก์ชันบางอย่าง ด้วยวิธีนี้ แฮกเกอร์สามารถรันสคริปต์อันตรายบนไซต์ของคุณ และใช้ควบคุมไซต์ได้เต็มที่

การโจมตี Injection ที่พบบ่อยที่สุดบน WordPress รวมถึง SQL Injection และ Cross-Site Scripting (XSS)

วิธีป้องกันเว็บไซต์จากการโจมตี Injection

1. การโจมตี Injection หลายอย่างมาจากธีมและปลั๊กอินที่อนุญาตให้ผู้เข้าชมป้อนข้อมูล เราแนะนำใช้เฉพาะธีมและปลั๊กอินที่เชื่อถือได้ ต่อมา อัปเดตปลั๊กอินและธีมเป็นประจำ
2. ควบคุมการป้อนข้อมูลและการส่งข้อมูลในฟิลด์ เรื่องนี้เทคนิค ต้องการความช่วยเหลือจากนักพัฒนา
3. ใช้ WordPress Firewall หากคุณติดตั้ง MalCare บนไซต์ มันจะตั้งไฟร์วอลล์ที่แข็งแกร่งป้องกันแฮกเกอร์โดยอัตโนมัติ

4. การหลอกลวงและขโมยข้อมูล (Phishing and Data Theft)

ผู้เข้าชมโต้ตอบกับเว็บไซต์ของคุณหลายวิธี บางคนอ่านบล็อก บางคนติดต่อผ่านฟอร์ม ถ้าคุณดูแลเว็บอีคอมเมิร์ซ หลายคนซื้อสินค้าจากเว็บ หมายถึงพวกเขาต้องล็อกอินและใส่ข้อมูลบัตรเครดิต

เมื่อใครสักคนใส่ข้อมูลบัตรเครดิตบนไซต์ มันจะถูกส่งและเก็บบนเซิร์ฟเวอร์ไซต์ ข้อมูลนี้อาจถูกรับระหว่างการถ่ายโอน นอกจากนี้ ข้อมูลบัตรเครดิตอาจถูกขโมย

พวกเขาอาจแฮกเข้าเว็บไซต์ของคุณและปลอมตัวเป็นคุณ ส่งอีเมลหรือเปลี่ยนทางผู้เข้าชมไปเว็บอื่น และหลอกให้เปิดเผยข้อมูลส่วนตัวและข้อมูลการชำระเงิน

วิธีป้องกันไซต์จาก Phishing และ Data Theft

1. ใช้ SSL Certificate จะเข้ารหัสข้อมูลที่ถ่ายโอนไปและมาจากไซต์ แม้แฮกเกอร์รับได้ ก็ไม่สามารถใช้ได้ เพราะถอดรหัสไม่ได้ อ่านคู่มือการใช้ SSL และ HTTPS จะช่วยลบคำเตือน "WordPress site not secure" บนไซต์ของคุณด้วย
2. ใช้ปลั๊กอินรักษาความปลอดภัย WordPress เพื่อรับการแจ้งเตือนหากมีกิจกรรมน่าสงสัยบนเว็บไซต์ ปลั๊กอินยังบล็อกการพยายามแฮก

5. การขโมยคุกกี้ (Cookie Stealing)

คุณเคยสังเกตไหมว่าตอนล็อกอินเว็บ บราวเซอร์จะถาม 'จดจำฉัน' หรือ 'บันทึกรหัสผ่าน'? ทำเพื่อให้คุณไม่ต้องใส่ข้อมูลล็อกอินทุกครั้งที่เข้าถึงเว็บ คุณสามารถอนุญาตให้บราวเซอร์บันทึกรายละเอียดล็อกอินได้

บราวเซอร์บันทึกข้อมูลได้เพราะ Cookies คุกกี้คือข้อมูลเล็กๆ ที่บันทึกการโต้ตอบของผู้เข้าชมกับเว็บไซต์ ตัวอย่าง: ถ้าคุณดูแลร้านออนไลน์ ไซต์อาจติดตามเส้นทางลูกค้า เช่น ค้นหาสินค้าอะไร ซื้ออะไร ข้อมูลนี้ใช้ในการวิเคราะห์ และโฆษณาก็ปรับตามความชอบของผู้เข้าชม ตอนนี้ คุกกี้ยังเก็บรายละเอียดธนาคารและข้อมูลส่วนตัวได้

ถ้าแฮกเกอร์ขโมยคุกกี้ของเว็บไซต์คุณ พวกเขาสามารถเข้าถึงข้อมูลละเอียดอ่อนของธุรกิจและผู้เข้าชม พวกเขาสามารถใช้ประโยชน์จากข้อมูลนี้เพื่อดำเนินการร้าย เช่น ลักลวงลูกค้าด้วยข้อมูลบัตรเครดิต

อ่านเพิ่มเติมในคู่มือง่ายๆ เกี่ยวกับ Cookie Stealing และ Session Hijacking

วิธีป้องกันไซต์จาก Cookie Stealing และ Session Hijacking

• เปลี่ยน WordPress Keys และ Salts เป็นประจำ Keys และ Salts เข้ารหัสข้อมูลที่เก็บในคุกกี้ของบราวเซอร์อย่างปลอดภัย มาตรการนี้เป็นเทคนิค เราแนะนำใช้ฟีเจอร์ WordPress Hardening ของ MalCare เพื่อเปลี่ยน Keys และ Salts จากแดชบอร์ด MalCare เข้า Security > WordPress hardening > Change WordPress Security Keys and Salts

• ที่นี่เรายังแนะนำติดตั้ง SSL Certificate เพื่อปกป้องข้อมูลของเว็บไซต์

นี่คือจบของการโจมตี WordPress ที่พบบ่อยที่สุด ก่อนปิด เรอยังอยากแสดงมาตรการ WordPress Hardening เพิ่มเติมที่จะทำให้ไซต์ของคุณแข็งแกร่งขึ้นต่อการโจมตีเหล่านี้

วิธี Hardening เว็บไซต์ WordPress ให้แข็งแกร่งต่อการโจมตี?

แม้คุณจะดำเนินมาตรการเฉพาะเพื่อป้องกันการโจมตีบางอย่าง มีมาตรการรักษาความปลอดภัยโดยรวมที่คุณสามารถนำไปใช้บนไซต์เพื่อการปกป้องที่ดีขึ้น เรียกว่า WordPress Hardening measures เราอธิบายสรุปที่นี่ แต่อ่านคู่มือลึกๆ ได้ที่บทความ WordPress Hardening

1. ปิดใช้งาน File Editor

WordPress มีฟีเจอร์ให้แก้ไขไฟล์ธีมและปลั๊กอินจากแดชบอร์ดโดยตรง เจ้าของเว็บหลายคนไม่ต้องการฟีเจอร์นี้ มักใช้โดยนักพัฒนา แต่ถ้าแฮกเกอร์แฮกเข้า wp-admin dashboard พวกเขาสามารถแทรกโค้ดอันตรายเข้าไฟล์ธีมและปลั๊กอินได้ ดังนั้น ถ้าคุณไม่ต้องการฟีเจอร์นี้ สามารถปิดใช้งานได้

2. ปิดใช้งานการติดตั้งปลั๊กอินหรือธีม

เมื่อแฮกเกอร์เข้าถึงไซต์ พวกเขาติดตั้งปลั๊กอินหรือธีมของตัวเอง ปลั๊กอินและธีมเหล่านี้มักเป็นมัลแวร์และมี backdoor ฝังอยู่ ให้แฮกเกอร์เข้าถึงไซต์ได้ลับๆ

นอกจากนี้ เรากล่าวแล้วว่าธีมและปลั๊กอินที่มีช่องโหว่เป็นสาเหตุหลักของการถูกแฮก หากคุณมีผู้ใช้หลายคนบนเว็บ พวกเขาอาจติดตั้งปลั๊กอิน/ธีมที่ไม่ปลอดภ เปิดโอกาสให้แฮกเกอร์ ถ้าคุณอยากหลีกเลี่ยง สามารถปิดใช้งานการติดตั้งปลั๊กอินและธีมบนไซต์ได้

ถ้าคุณไม่ได้ติดตั้งปลั๊กอินและธีมเป็นประจำ คุณสามารถปิดตัวเลือกการติดตั้งได้

3. จำกัดจำนวนครั้งที่พยายามล็อกอิน

เหมือนที่กล่าวไว้ คุณสามารถจำกัดโอกาสที่ผู้ใช้ WordPress มีในการใส่ข้อมูลประจำตัวที่ถูกต้องเพื่อเข้าสู่ไซต์ มันกำจัดความเสี่ยงของ brute force attacks

4. เปลี่ยน Security Keys และ Salts

Keys และ Salts เข้ารหัสข้อมูลที่เก็บในบราวเซอร์ ดังนั้นแม้แฮกเกอร์ขโมยคุกกี้ได้ ก็ถอดรหัสไม่ได้ อย่างไรก็ตาม หากแฮกเกอร์เข้าถึง Keys และ Salts พวกเขาสามารถถอดรหัสคุกกี้ได้ การเปลี่ยน Keys และ Salts เป็นประจำช่วยป้องกันการขโมยคุกกี้

5. บล็อกการรัน PHP ในโฟลเดอร์ที่ไม่รู้จัก

มีเพียงไฟล์และโฟลเดอร์บางส่วนบนเว็บไซต์ WordPress ที่รันโค้ด โฟลเดอร์อื่นๆ แค่เก็บข้อมูล เช่นโฟลเดอร์ Uploads ที่เก็บรูปภาพและวิดีโอ

อย่างไรก็ตาม เมื่อแฮกเกอร์เข้าถึงเว็บไซต์ พวกเขาแทรกโค้ด PHP เข้าโฟลเดอร์สุ่ม หรือสร้างโฟลเดอร์ของตัวเอง

คุณสามารถบล็อกกิจกรรมนี้โดยปิดใช้งานการรัน PHP ในโฟลเดอร์ที่ไม่รู้จัก

การนำมาตรการเหล่านี้ไปใช้ต้องการความเชี่ยวชาญทางเทคนิค เราไม่แนะนำทำด้วยตนเอง มากกว่านั้น ใช้ปลั๊กอินอย่าง MalCare ที่ให้คุณทำได้ในไม่กี่คลิกปลอดภัยและง่ายกว่า

ด้วยสิ่งนี้ เรามั่นใจว่าเว็บไซต์ WordPress ของคุณปลอดภัยและได้รับการปกป้องจากแฮกเกอร์

ข้อความปิดท้าย

แฮกเกอร์มีหลายวิธีแฮกเข้าเว็บไซต์ WordPress ของคุณ และพวกเขาคิดวิธีใหม่ๆ มาตลอด!

คุณต้องดำเนินมาตรการรักษาความปลอดภัยเพื่อปกป้องเว็บไซต์และให้แน่ใจว่าปลอดภัยจากการโจมตีแฮก

เราแนะนำใช้ปลั๊กอินรักษาความปลอดภัย MalCare ของเราเพื่อรักษาความปลอดภัยเว็บไซต์ WordPress มันจะบล็อกแฮกเกอร์และบอทอันตรายไม่ให้เข้าถึงไซต์ คุณสามารถเชื่อใจได้ว่าไซต์ของคุณถูกตรวจสอบและปกป้อง

ป้องกันการแฮกด้วย MalCare Security Plugin!