มีเว็บไซต์ WordPress ใหม่ประมาณ 500+ ไซต์ถูกสร้างขึ้นทุกวัน น่าประทับใจใช่ไหม? แต่ข่าวร้ายคือ ความนิยมทั้งหมดนี้มีราคาที่ต้องจ่าย! ในบทความนี้ เราจะแสดงเทคนิคการแฮ็กเว็บไซต์ WordPress ที่พบบ่อยที่สุด และวิธีปกป้องเว็บไซต์จากช่องโหว่
สถิติบอกเราว่า WordPress ยังเป็นระบบจัดการเนื้อหา (CMS) ที่ถูกแฮ็กมากที่สุดด้วย จากเว็บไซต์ที่ติดเชื้อ 8,000 ไซต์ที่วิเคราะห์ในงานศึกษาหนึ่ง 74% สร้างบน WordPress ทฤษฎีว่ามันไม่ได้เกี่ยวกับ WordPress ที่มีแกนกลางอ่อนแอ... แค่แฮกเกอร์กำลังกลายเป็นอัจฉริยะขึ้น!
จากเว็บไซต์ที่ติดเชื้อ 8,000 ไซต์ที่วิเคราะห์ในงานศึกษาหนึ่ง 74% สร้างบน WordPress Click To Tweet
สิ่งนี้หมายถึงอะไรต่อเว็บไซต์ WordPress ของคุณเอง และคุณควรจะกังวลเกี่ยวกับมันจริงไหม?
เว็บไซต์ของคุณอยู่ในความเสี่ยง!
นี่คือการตรวจสอบความเป็นจริงจากคนที่ทำการแฮ็กเชิงจริยธรรม (ethical hacking) เพื่อการดำรงชีวิต — ไม่ว่าขอบเขต ขนาด หรืออายุของเว็บไซต์ WordPress ของคุณ เว็บไซต์ของคุณอยู่ในความเสี่ยง! แฮกเกอร์ไม่ได้มุ่งเป้าเฉพาะเว็บไซต์หลักๆ เท่านั้น พวกเขายังมุ่งเป้าเว็บไซต์ขนาดเล็กและที่ไม่ได้รับการปกป้องมากนักซึ่งมีช่องโหว่ทั่วไปที่สามารถใช้ประโยชน์ได้ง่าย ในความเป็นจริง โจมตีทางไซเบอร์หลายอย่างเป็นบอทที่เขียนโปรแกรมมาเพื่อค้นหาช่องโหว่บางอย่างในเว็บไซต์โดยอัตโนมัติ บางครั้งพวกเขาไม่แยกแยะระหว่างเว็บของคุณหรือเว็บยอดนิยม เว็บไซต์ขนาดเล็กมีแนวโน้มถูกแฮ็กมากกว่า เนื่องจากโดยทั่วไปมีมาตรการความปลอดภัยเว็บไซต์ต่ำกว่า
ดังนั้น ครั้งหน้าที่คุณคิดว่าเว็บของคุณเล็กเกินไปสำหรับแฮกเกอร์ ให้คิดใหม่ โอกาสสูงที่เว็บไซต์ของคุณจะถูกแฮกเกอร์ใช้เพื่อส่งสแปม ทำ SEO สแปม หรือทำการ redirect อันตราย หนึ่งครั้งที่แฮกเกอร์หาช่องโหว่ในเว็บของคุณ พวกเขาสามารถเข้าถึงโอกาสมหาศาลเพื่อให้ "เจตนาสแปม" ของพวกเขาทำงาน
6 เทคนิคการแฮ็กเว็บไซต์ที่พบบ่อยที่สุด
แฮกเกอร์สามารถโจมตีได้หลายประเภท เช่น:
1. การโจมตี DDoS
2. การโจมตี Cross Site Scripting (XSS)
3. การโจมตี Link Injection
4. การโจมตี SQL Injection
5. การขโมยเซสชัน (Session Hijacking)
6. การโจมตี Clickjacking
7. WordPress Japanese Hack ฯลฯ
โชคดีที่ภัยคุกคามทั่วไปที่สามารถส่งผลต่อเว็บไซต์ WordPress ของคุณ สามารถป้องกันได้อย่างมีประสิทธิภาพ แต่ก่อนอื่น เราต้อง武装คุณด้วยความรู้ที่ถูกต้องเกี่ยวกับประเภทการแฮ็กทั่วไปเหล่านี้ เพื่อให้คุณสามารถดำเนินการป้องกันที่เหมาะสมได้
นี่คือเทคนิคการแฮ็กเว็บไซต์ที่พบบ่อยที่สุดที่คุณควรทราบ และวิธีป้องกัน:
1. ช่องโหว่ของปลั๊กอิน (Plugin Vulnerabilities)
หากคุณใช้ WordPress อย่างกว้างขวาง ปลั๊กอินคงเล่นบทบาทสำคัญในกระบวนการพัฒนาเว็บไซต์ของคุณ ด้วย WordPress ออกแบบมาเพื่อนักพัฒนาและผู้ไม่ใช่นักพัฒนาเช่นกัน สำหรับผู้ที่ต้องการความมีออนไลน์อย่างรวดเร็ว ปลั๊กอินเป็นโซลูชันที่น่าเชื่อถือในการเติมช่องว่างและรวมฟังก์ชันต่างๆ เข้ากับเว็บไซต์
น่าเสียดายว่า ปลั๊กอินถูกพิจารณาว่ามีช่องโหว่ต่อการโจมตีแฮ็กมากที่สุดในระบบนิเวศ WordPress นักพัฒนาปลั๊กอินเหล่านี้ไม่ควรถูก责备 แฮกเกอร์สามารถหาช่องโหว่ภายในโค้ดของปลั๊กอินและใช้มันเข้าถึงข้อมูลที่ละเอียดอ่อน
คุณสามารถทำอะไรได้?
- อัปเดตปลั๊กอินของคุณ: วิธีที่น่าเชื่อถือในการลดการเปิดโอกาสช่องโห้วนี้คือการให้แน่ใจว่าคุณอัปเดตปลั๊กอินอยู่เสมอ สิ่งนี้ช่วยซ่อมแซมช่องโหว่ที่รู้จักในเวอร์ชันก่อนหน้า
- ใช้ Plugin Security Scanner: คุณสามารถใช้สแกนเนอร์อัตโนมัติเพื่อตรวจจับปัญหาความปลอดภัยภายในปลั๊กอิน และกำหนดค่าการแจ้งเตือนแบบเรียลไทม์ให้ทำงานเมื่อตรวจพบปัญหาความปลอดภัย
- หลีกเลี่ยงปลั๊กอินที่ถูกทิ้งร้าง: ไดเรกทอรีปลั๊กอินทางการของ WordPress มีรายการปลั๊กอินที่น่าเชื่อถือ ตรวจสอบและหลีกเลี่ยงปลั๊กอินที่ไม่ได้รับอัปเดตมานานกว่า 12 เดือน
2. การโจมตี Brute Force & รหัสผ่านอ่อนแอ
การขาดความปลอดภัยในการล็อกอินเป็นจุดเข้าอื่นสำหรับแฮกเกอร์ที่มุ่งเป้าเว็บไซต์ WordPress แฮกเกอร์มักใช้เครื่องมือซอฟต์แวร์ที่หาได้ง่ายเพื่อสร้างรหัสผ่านและบังคับเข้าไปในระบบของคุณ
แฮกเกอร์อันตรายใช้เครื่องมือซอฟต์แวร์อย่าง Wireshark (sniffer) หรือ Fiddler (proxy) เพื่อจับรายละเอียดการล็อกอิน WordPress และขโมยข้อมูลส่วนตัวและข้อมูลละเอียดอ่อนอื่นๆ
นอกจากนี้ การโจมตี Brute Force ยังทำให้ผู้ใช้ที่มีระบบจัดการข้อมูลรับรองอ่อนแอเจอปัญหา ด้วยการโจมตีแบบนี้ แฮกเกอร์สามารถสร้างการเดารหัสผ่านได้หลายพันครั้งเพื่อเข้าถึง ดังนั้นคุณรู้แล้วว่าต้องทำไงถ้ารหัสผ่านของคุณคือ 12345678 หรือ admin123 ใช่ไหม?
คุณสามารถทำอะไรได้?
- ใช้ชื่อผู้ใช้และรหัสผ่านที่ปลอดภัยกว่า เปลี่ยนเป็นประจำ
- เลือกใช้การเชื่อมต่อ HTTPS เพื่อไม่ให้แฮกเกอร์รันเครื่องมือ proxy ผ่านรายละเอียดトラフィกเว็บ
- คุณยังสามารถใช้การยืนยันตัวตนสองปัจจัย (2FA) โดยส่งรหัสผ่านทางอีเมลหรือ SMS เป็นขั้นตอนยืนยันเพิ่มเติม
3. ช่องโหว่ของ WordPress Core
ไม่มีอะไรสมบูรณ์แบบในโลกนี้ ใช้เวลานานในการค้นพบช่องโหว่ภายในระบบนิเวศ WordPress และความล่าช้านี้อาจทำให้ผู้ใช้ WordPress หลายพันรายอยู่ในความเสี่ยงสูงของการรั่วไหลข้อมูล โชคดีที่ทีม WordPress ปล่อยแพทช์ความปลอดภัยและอัปเดตเป็นประจำ ณ ธันวาคม 2018 CMS ปล่อย WordPress 5.0 พร้อม ชุด อัปเดตความปลอดภัย และคุณสมบัติน่าสนใจ
คุณสามารถทำอะไรได้?
- ทำเป็นนิสัยให้อัปเดตเป็นเวอร์ชัน WordPress ล่าสุดทุกครั้งที่เป็นไปได้
- คุณสามารถนำอัปเดต WordPress ล่าสุดไปใช้ได้ง่ายจากหน้า "Updates" ภายใต้เมนู "Dashboard"
4. ธีมที่ไม่ปลอดภัย (Unsafe Themes)
บางครั้งคุณอาจยอมติดตั้งธีมฟรีจากเครื่องมือค้นหาที่ชอบ แต่จะมั่นใจได้ไงว่าธีมปลอดภัย โดยเฉพาะตอนฟรี? ธีมฟรีหลายตัวไม่ได้รับการสนับสนุนอย่างต่อเนื่อง หรือสร้างขึ้นไม่ได้มากนัก ทำให้ธีมฟรีแบบนี้มีช่องโหว่ต่อการแฮ็ก คล้ายกับปลั๊กอินที่ล้าสมัย อย่างไรก็ตาม ไม่ได้หมายความว่าธีมฟรีทั้งหมดห้ามใช้ จะมีธีมฟรีที่ดีและน่าเชื่อถือมากมายจากนักพัฒนาที่อัปเดตและสนับสนุนอย่างต่อเนื่อง
คุณสามารถทำอะไรได้?
- หลีกเลี่ยงการใช้ธีมฟรีโดยไม่ตรวจสอบแหล่งที่มาอย่างละเอียด
- ใช้ธีมคุณภาพสูงจากนักพัฒนาและร้านค้าธีมที่มีชื่อเสียง
- สแกนธีม WordPress เพื่อหาโค้ดอันตรายเป็นประจำ
5. ช่องโหว่ของโฮสติ้ง (Hosting Vulnerabilities)
จุดเข้าอื่นที่นิยมของแฮกเกอร์คือผ่านระบบโฮสติ้งของคุณเอง เซิร์ฟเวอร์ SQL ที่โฮสต์เว็บ WordPress ของคุณ เป็นเป้าหมายที่เป็นไปได้ และการใช้บริการโฮสติ้งคุณภาพต่ำหรือโฮสติ้งร่วม (shared hosting) อาจทำให้มันเปราะบาง โฮสติ้งร่วมอาจเป็นปัญหาเมื่อเว็บไซต์หนึ่งบนเว็บเซิร์ฟเวอร์ถูกแฮ็ก ในกรณีเช่นนั้น โจมตีสามารถเข้าถึงเว็บไซต์อื่นบนเซิร์ฟเวอร์เดียวกันโดยไม่ได้รับอนุญาต
คุณสามารถทำอะไรได้?
- เมื่อเลือกโฮสติ้งร่วม ให้เลือก ผู้ให้บริการโฮสติ้งคุณภาพที่ให้ความสำคัญกับฟีเจอร์ความปลอดภัย
- ตัวเลือกอื่นคือโฮสต์เว็บไซต์บนเซิร์ฟเวอร์ส่วนตัวด้วย VPS (Virtual Private Server)
- ข้อเสียเพียงอย่างเดียว - ราคาแพงกว่าโฮสติ้งร่วม
6. มัลแวร์ & การโจมตี DDoS
มัลแวร์เว็บไซต์อยู่ทุกที่ และเว็บ WordPress ไม่ใช่ข้อยกเว้น DDoS หรือการโจมตีปฏิเสธบริการแบบกระจาย และมัลแวร์เป็นภัยคุกคามที่พบบ่อยที่สุดต่อเว็บไซต์ของคุณ
ในขณะที่มัลแวร์สามารถเข้าผ่านบอร์ทดอร์หรือติดเชื้อไฟล์ด้วยไวรัส การโจมตี DDoS มุ่งเพิ่มทริกฟیک (fake traffic) ปริมาณมากเข้าเว็บไซต์โดยใช้บอท ในกรณีของแพลตฟอร์มโฮสติ้งร่วม เว็บไซต์จะเห็นการเพิ่มขึ้นของトラฟฟิกอย่างไม่มีที่สิ้นสุด และอาจล่มลง เพราะโฮสติ้งร่วมอนุญาตให้ใช้ทรัพยากรระบบจำกัดสำหรับแต่ละเว็บไซต์ ทั้งมัลแวร์และ DDoS เป็นเทคนิคการแฮ็กเว็บไซต์ที่อันตราย และแฮกเกอร์สามารถใช้ร่วมกันหรือแยกกันเพื่อทำลายเว็บไซต์และก่อให้เกิดปัญหา
คุณสามารถทำอะไรได้?
- ระบบสแกนมัลแวร์: มีการติดเชื้อมัลแวร์บนเว็บมากมาย และเว็บ WordPress ของคุณอาจเปราะบางต่อทุกอย่าง คุณสามารถปกป้องเว็บไซต์จากเหล่านี้โดยเลือกใช้ระบบสแกนมัลแวร์อัตโนมัติที่สแกนไฟล์เว็บไซต์เพื่อหาปัญหา หากสแกนเนอร์พบว่าเว็บของคุณถูกแฮ็ก คุณสามารถดำเนินการแก้ไขเว็บ WordPress ที่ถูกแฮ็ก คุณสามารถใช้ปลั๊กอินทำความสะอาดเว็บ หรือติดต่อบริการกำจัดมัลแวร์เว็บไซต์ และให้ผู้เชี่ยวชาญจัดการแฮ็กให้
- การป้องกัน DDoS: รับไฟร์วอลล์อัจฉริยะและใช้ระบบอัจฉริยะเพื่อตรวจจับและบล็อกภัยคุกคามจากบอทในเวลาจริง คุณต้องติดตามคำขอトラฟฟิกเว็บในเวลาจริง และป้องกันระบบไม่ใช่แค่โค้ดอันตราย/มัลแวร์ แต่ยังรวมถึงトラฟฟิกด้วย
ปกป้องเว็บไซต์ WordPress จากช่องโหว่
การทราบว่าเว็บไซต์ WordPress ถูกแฮ็กเป็นเรื่องปวดหัว เมื่อเว็บไซต์ถูกเจาะ แฮกเกอร์ใช้มันสร้างมัลแวร์แบบ favicon.ico และดำเนินการกิจกรรมอันตราย เมื่อ Google พบว่าเว็บของคุณถูกแฮ็ก พวกเขาจะแบน (blacklist) เว็บ และผู้ให้บริการโฮสติ้งจะระงับเว็บของคุณ
แม้เว็บ WordPress ใดๆ ก็อาจถูกแฮ็กได้ เว็บของคุณสามารถป้องกันได้โดยการนำ WordPress security best practices มาใช้ และตระหนักถึงความเสี่ยงด้านความปลอดภัยที่เป็นไปได้ นอกจากนี้ คุณยังสามารถย้ายเว็บจาก HTTP ไป HTTPS และดำเนินการปกป้องหน้าล็อกอิน
นอกจากมาตรการความปลอดภัยที่ระบุแล้ว คุณควรมีแผนสำรองข้อมูล (backup) WordPress ที่น่าเชื่อถือ การตั้งค่าการสำรองข้อมูลตามกำหนดเวลาและบันทึกการเปลี่ยนแปลงทั้งหมดที่ทำต่อข้อมูลละเอียดอ่อนเป็นเรื่องสำคัญมาก ตรวจสอบให้แน่ใจว่าคุณมีตัวเลือกส่งสำรองข้อมูลไปยังสถานที่ปลอดภัยแบบระยะไกล (off-site) และให้แน่ใจว่ากลยุทธ์การสำรองข้อมูลมีคุณสมบัติการกู้คืน (restore) หากต้องการกู้คืน
武装ด้วยความรู้และกลยุทธ์ที่ถูกต้อง คุณสามารถปกป้องเว็บไซต์และรักษาความปลอดภัยจากโจมตีแฮ็ก
วิธีที่ดีในการปกป้องเว็บคือติดตั้งปลั๊กอินความปลอดภัย ปลั๊กอินความปลอดภัยช่วยนำมาตรการป้องกันเว็บไซต์ไปใช้ มันจะสแกนเว็บไซต์ทุกวัน หากตรวจพบกิจกรรมอันตราย ปลั๊กอินจะแจ้งเตือนทันที (อ่านเพิ่มเติม – Repair Hacked Website)
ไม่มีทางกันแฮกเกอร์ไม่ให้แฮก แต่การรักษาความปลอดภัยเว็บ WordPress อยู่ในมือคุณแน่นอน!
เว็บไซต์ของคุณอยู่ภายใต้การโจมตี?
สแกนเว็บด้วย MalCare ทันที!
