การมีเว็บไซต์ WordPress เป็นสิ่งดี แตในโลกดิจิทัล ยังมีการต่อสู้ที่ไม่มีวันสิ้นสุดระหว่างคนดีและคนร้าย... 聽起來像โครงเรื่องหนังใช่ไหม? แต่นี่คือความเป็นจริง! คนดี – นักวิจัยความปลอดภัยและนักพัฒนา ต้องการให้เว็บไซต์ของคุณปลอดภัย และคนร้าย – แฮกเกอร์และสแปมเมอร์ ต้องการใช้มันโดยผิดกฎหมายเพื่อจุดประสงค์อันตราย
มาขุดลึกขึ้นไปกัน...
“มีการโจมตีเว็บไซต์ทุก 39 วินาที และ 98% ของช่องโหว่ WordPress เกี่ยวข้องกับปลั๊กอิน”
ในขณะที่คุณกำลังอ่านนี้ โจมตีคนหนึ่งอยู่ที่ไหน đó กำลังพยายามเข้าถึงเว็บไซต์ WordPress อย่างผิดกฎหมายโดยใช้ช่องโหว่ของปลั๊กอินบางตัว
ในเมษายน 2019 คนดี aka นักวิจัยความปลอดภัย ค้นพบช่องโหว่ Cross-Site Scripting (XSS) แบบ Persistent ใน ปลั๊กอิน WP Live Chat Support นี่เป็นข่าวให้คนร้าย aka แฮกเกอร์ ใช้ช่องโหว่นี้และฉีดสคริปต์อันตรายลงเว็บไซต์ จึงสามารถควบคุมเว็บไซต์ได้ ปลั๊กอิน WP Live Chat Support เป็นปลั๊กอิน WordPress ที่เป็นทางเลือกฟรีสำหรับปลั๊กอินแชทสนับสนุนที่ทำงานเต็มรูปแบบ เพื่อการมีส่วนร่วมและการแปลงการขาย ปลั๊กอินนี้มีการติดตั้งใช้งานอยู่มากกว่า 60,000+ ซึ่งทำให้ผู้ใช้หลายพันรายอยู่ในความเสี่ยง
ช่องโหว่นี้คืออะไร และส่งผลต่อคุณอย่างไร?
ช่องโหว่ในปลั๊กอิน WP Live Chat Support อนุญาตให้โจมตีทำการโจมตี Cross-Site Scripting (XSS) บนเว็บไซต์เป้าหมายได้
ในการโจมตี XSS แฮกเกอร์จะฉีดสคริปต์หรือโค้ดอันตรายลงในเว็บไซต์ของคุณโดยคุณไม่รู้ตัว โค้ดนี้จะเก็บข้อมูลผู้ใช้ (อุ๊ย!), แก้ไขเนื้อหาเว็บไซต์ หรือส่งพวกเขาไปยังเว็บไซต์ที่ถูกเจาะอีกแห่ง หากแฮกเกอร์ฉีดโค้ดของเขาเข้าส่วนของเว็บไซต์ที่จัดเก็บบนเซิร์ฟเวอร์ (เช่น ความคิดเห็นของผู้ใช้) จะกลายเป็น Persistent XSS
‘Persistent,’ เพราะทุกครั้งที่ผู้ใช้โหลดหน้าเว็บที่ติดเชื้อ บราวเซอร์จะรันโค้ดอันตรายนั้นเสร็จสิ้นการโจมตี’
เราทุกคนรู้ว่าเครื่องมือค้นหา โดยเฉพาะ Google ให้ความสำคัญกับความปลอดภัยเว็บไซต์มาก และช่องโหว่แบบนี้จะส่งผลกระทบต่อ SEO อย่างรุนแรง ไม่ chỉนั้น ยังสร้างปัญหาความไว้วางใจในผู้ใช้ ในกรณีรุนแรง คุณอาจสูญเสียการเข้าถึงเว็บไซต์ หรือถูกระงับโดยโฮสต์เว็บ เพราะมีลิงก์สแปมและมัลแวร์บนเว็บไซต์
เหตุผลที่ช่องโหว่นี้เป็นเรื่องใหญ่ คือ มันไม่ต้องการการยืนยันตัวตน (authentication) และสามารถใช้ประโยชน์ได้โดยผู้ใช้ที่ไม่มีบัญชีบนเว็บไซต์ที่ติดเชื้อ ด้วยข้อกำหนดไม่ต้องการการยืนยันตัวตน ทำให้การทำอัตโนมัติการโจมตีเพื่อส่งผลต่อจำนวนไซต์มากง่ายขึ้น มากกว่า 60,000 ในกรณีนี้!
การโจมตี
การโจมตีเป็นไปได้เนื่องจาก 'admin_init hook' ที่ไม่ได้รับการปกป้อง นี่คือจุดที่แฮกเกอร์ส่วนใหญ่เริ่มโจมตี และพบได้บ่อยในการโจมตีปลั๊กอิน WordPress
มาเข้าใจก่อนว่า hook หมายถึงอะไร Hook เป็นวิธีที่ชิ้นโค้ดหนึ่งโต้ตอบและเปลี่ยนแปลงอีกชิ้นหนึ่ง WordPress มักเรียก hook นี้เมื่อมีผู้เข้าชมหน้าแอดมินของเว็บไซต์ Hook นี้สามารถใช้โดยนักพัฒนาเพื่อเรียกฟังก์ชันต่างๆ ณ จุดนั้น ปัญหาคือ hook ไม่ต้องการการยืนยันตัวตน และทุกคนที่เข้าถึง URL แอดมินสามารถใช้มันรันโค้ดได้ WP Live Chat's admin hook เรียก action ที่ชื่อ wplc_head_basic ซึ่งไม่ตรวจสอบสิทธิ์ผู้ใช้ และแค่อัปเดตการตั้งค่าปลั๊กอิน
แฮกเกอร์สามารถใช้ข้อบกพร่องนี้อัปเดตตัวเลือก JavaScript ที่ชื่อ wplc_custom_js ซึ่งควบคุมเนื้อหาที่ปลั๊กอินแสดงเมื่อหน้าต่างแชทสดปรากฏ ตอนนี้ลองคิดดู – วิดเจ็ตแชทสดติดตามผู้ใช้เกือบทุกหน้าที่เขาเยี่ยมชมบนเว็บไซต์ของคุณ และดังนั้น แฮกเกอร์จึงมุ่งเป้าหน้าหลายหน้าได้ง่ายมากด้วยวิธีนี้!
אז איך תשמור על האתר שלך בטוח מזה?
นักพัฒนาที่อยู่เบื้องหลังปลั๊กอิน WP Live Chat Support ได้ปล่อยแพทช์ที่แก้ไขช่องโหว่นี้แล้ว ดังนั้น วิธีแก้ไขที่ดีที่สุดเพื่อไม่ให้เว็บไซต์ถูกแฮ็กคืออัปเดตเป็นเวอร์ชันล่าสุด
The best solution to avoid getting your website hacked is updating the WP Live Chat Support plugin to its latest version. Click To Tweet
เวอร์ชันใดก็ตามหลัง 8.0.27 ปลอดภัยแล้ว แต่มาแนะนำให้คุณอัปเดตบ่อยๆ ไปยังเวอร์ชันล่าสุด เวอร์ชันใหม่คือ 8.0.33 และพร้อมใช้งาน ที่นี่
如何在未来保持您的网站安全?
ขั้นตอนที่ 1: รับปลั๊กอินและธีมเฉพาะจากแหล่งที่เชื่อถือได้!
มันน่าสนใจมากที่จะได้ปลั๊กอินพรีเมียมฟรีจากเว็บไซต์หรือไฟล์ torrent ไหม? คุณอาจคิดถึงฟีเจอร์พรีเมียมและเงินที่คุณอาจประหยัดได้... เอ่อ... หรือจะประหยัดจริง?
ทุกครั้งที่คุณดาวน์โหลดปลั๊กอินจากแหล่งที่ไม่น่าเชื่อถือ คุณก็ยอมรับความเสี่ยงที่พวกมันอาจติดมัลแวร์หรือไวรัส แม้คุณจะประหยัดได้ไม่กี่บาทจากปลั๊กอินพรีเมียม คุณอาจต้องใช้เงินหลายพันเพื่อกู้คืนเว็บไซต์ หากเป็นไปได้เลย ดังนั้น ติดตั้งปลั๊กอินจากแหล่งที่เชื่อถือได้เสมอ โดยเฉพาะบริษัทที่ได้รับการรับรอง และตรวจสอบว่าถูกตรวจสอบโดยผู้เชี่ยวชาญและสมาชิกชุมชนแล้วว่ามีโค้ดอันตรายหรือไม่
ตลาดปลั๊กอิน WordPress ที่น่าเชื่อถือ:
- WordPress.org
- CodeCanyon
- PickPlug-ins
- Mojo Marketplace
- MyThemeshop
- Themeisle
- ThemeForest
ขั้นตอนที่ 2: รับปลั๊กอินความปลอดภัยที่น่าเชื่อถือ
WordPress มีระบบความปลอดภัยที่ค่อนข้างมีประสิทธิภาพสำหรับเว็บไซต์ทั้งหมด อย่างไรก็ตาม ช่องโหว่แบบที่กล่าวมาข้างต้นสามารถข้ามการตรวจสอบความปลอดภัยทั้งหมดและเป็นภัยคุกคามต่อเว็บไซต์ ดังนั้น ปลั๊กอินความปลอดภัยจึงสำคัญ
เมื่อพูดถึงปลั๊กอินความปลอดภัย แนะนำให้ใช้ปลั๊กอินที่ไม่ได้แค่สแกนเว็บไซต์หาช่องโหว่หลังโจมตีที่สงสัย แต่เป็นปลั๊กอินที่ปกป้องให้เว็บไซต์ปลอดภัยตลอดเวลา คุณต้องการปลั๊กอินที่ให้การป้องกัน 24/7 พร้อมการสแกนมัลแวร์ การกำจัดมัลแวร์ ไฟร์วอลล์ WordPress และการจัดการเว็บไซต์... ทั้งหมดในหนึ่ง ที่ราคาถูก!
MalCare เป็นปลั๊กอินที่พัฒนาขึ้นด้วยความคิดเหล่านี้ และมั่นใจว่าการป้องกันของเว็บไซต์คุณพร้อมตลอดเวลา
นี่คือสิ่งที่ MalCare เสนอ...
การสแกนมัลแวร์:
MalCare สแกนเว็บไซต์ของคุณด้วย สัญญาณ 100+ และเกินกว่าการตรวจสอบลายเซ็น (signature verification) สิ่งนี้ทำให้มันระบุมัลแวร์ได้ดีกว่าปลั๊กอินอื่นในตลาด มันสามารถระบุแม้มัลแวร์ที่ไม่รู้จักซึ่งลายเซ็นไม่อยู่ในฐานข้อมูลใดๆ
MalCare ซิงค์กับเว็บไซต์ทั้งหมดของคุณ และ ติดตามการเปลี่ยนแปลงใดๆ 24/7 การเปลี่ยนแปลงที่ไม่ได้รับอนุญาตจะถูกติดตามไปยังตำแหน่งที่แม่นยำ และช่วยระบุแหล่งที่มาของมัลแวร์ แม้จะติดตามเว็บ 24/7 ก็ไม่มีโหลดบนเซิร์ฟเวอร์ของคุณเลย เนื่องจาก MalCare สแกนไฟล์ทั้งหมดบนเซิร์ฟเวอร์ของตัวเอง เว็บไซต์ของคุณจะไม่ช้าลงกับเรา!
คุณสามารถตั้งค่า MalCare ให้ทำการสแกนอัตโนมัติทุกวันเพียงแค่ระบุตารางเวลาในการตั้งค่า คุณยังมีตัวเลือกที่จะทำ การสแกนแบบออนดีมанд (on-demand) ไม่จำกัดจำนวนครั้ง เมื่อใดก็ตาม และได้รับการแจ้งเตือนทันทีหากพบมัลแวร์
เรายังเข้าใจว่ามันน่ากลัวและรำคาญที่จะได้รับการแจ้งเตือนว่เว็บไซต์ติดเชื้อ แต่พบว่าจริงๆ แล้วไม่ได้ติดเชื้อ MalCare ดูแลเรื่องนี้ด้วย มี False positives น้อยที่สุดในอุตสาหกรรม ... หมายความว่าเราแจ้งเตือนคุณหลังจากตรวจสอบอย่างละเอียดแล้วเท่านั้น
การกำจัดมัลแวร์:
ด้วย การกำจัดมัลแวร์คลิกเดียว ของ MalCare เว็บไซต์ของคุณจะปราศจากมัลแวร์ ในเวลาน้อยกว่า 60 วินาที!
MalCare ไม่ส่งผลต่อเว็บไซต์ เมื่อทำความสะอาดมัลแวร์ หากไฟล์ถูกติดเชื้อ MalCare จะ ลบเฉพาะส่วนที่ติดเชื้อและเก็บข้อมูลของคุณไว้สมบูรณ์ เว็บไซต์ของคุณจะไม่พังแม้ MalCare จะทำงานหนักในแบ็กเอนด์เพื่อกำจัดมัลแวร์
เมื่อ MalCare ระบุและกำจัดมัลแวร์ชนิดหนึ่ง มันจะไม่สามารถติดเชื้อเว็บของคุณได้อีกเลย 永远 เราขอรับประกัน คล้ายกับร่างกายคุณที่รู้วิธีหลีกเลี่ยงไข้สินหลังจากป่วยครั้งหนึ่ง MalCare รู้วิธีปกป้องเว็บไซต์จากโจมตีและมัลแวร์ลักษณะเดียวกัน หากมันพยายามกลับมา คุณมีภูมิคุ้มกันจากการโจมตีในอนาคต
ไฟร์วอลล์ WordPress:
ถ้าคุณสามารถเก็บคนร้ายไว้นอก และปล่อยให้เฉพาะトラฟฟิกอินเทอร์เน็ตที่ดีเข้าไป ได้ไหม? ไฟร์วอลล์ MalCare ทำได้ตรงนี้ และมากกว่านั้น!
ไฟร์วอลล์นี้ติดตามトラฟฟิกเว็บเข้า 24/7 ตามรายการที่อยู่ IP อันตรายที่รู้จักในเครือข่าย และ บล็อก IP อันตรายไม่ให้เข้าถึงเว็บไซต์ หากโจมตีไม่สามารถเข้าถึงเว็บไซต์ได้ จะยากที่จะโจมตี มันยัง รองรับการบล็อกตามภูมิศาสตร์ (geo-blocking) สำหรับการป้องกันเพิ่มเติม ด้วย MalCare คุณยังได้ การป้องกันล็อกอินแบบ CAPTCHA ซึ่งปกป้องเว็บไซต์จากการโจมตี brute force หาก MalCare ตรวจพบการล็อกอินที่น่าสงสัย คุณจะได้รับการแจ้งเตือนทันทีเพื่อดำเนินการที่เหมาะสม
นอกจากนี้ เรายังมี การยืนยันตัวตนสองปัจจัย (2FA) ที่รับรองว่าไม่มีใครเข้าถึงเว็บไซต์ได้โดยไม่มีรหัสผ่านและโค้ดที่ถูกต้อง
การจัดการเว็บไซต์:
มันสำคัญที่จะต้องมีปลั๊กอินทั้งหมดเป็นเวอร์ชันล่าสุด ตามที่เราเห็น วิธีแก้ไขที่ง่ายที่สุดสำหรับการปลอดภัยจากช่องโหว่ปลั๊กอิน WP Live Chat Support คืออัปเดตทันทีที่นักพัฒนาปล่อยแพทช์ เครื่องมือจัดการของ MalCare จะ อัปเดตธีมและปลั๊กอินทั้งหมดทั่วเว็บไซต์ทั้งหมด โดยใช้ WordPress core manager คุณสามารถอัปเดตการแก้ไขแกนกลาง อัปเกรด WordPress และตรวจสอบเวอร์ชัน PHP บนเว็บไซต์ได้
นอกจากนี้ ในสถานการณ์ที่คุณต้องการให้สิทธิ์เข้าถึงลูกค้าแต่ไม่อยากให้พวกเขาแตะต้องกับฟังก์ชันของเว็บไซต์ เครื่องมือจัดการของ MalCare ให้คุณ กำหนดบทบาทผู้ใช้และสิทธิ์การเข้าถึงเฉพาะ เพื่อไม่ให้ใครทำการเปลี่ยนแปลงที่ไม่ได้ตั้งใจ คุณสามารถ เพิ่มสมาชิกทีมและลูกค้า ให้กับเว็บไซต์ทั้งหมดได้ง่าย
게다가, คุณสามารถจัดการเว็บไซต์ไม่จำกัดจำนวนด้วย MalCare
อีกอย่าง คุณสามารถติดตาม เวลาทำงานของเว็บไซต์ (uptime) รับ การแจ้งเตือน downtime บน Slack และทำ การตรวจสอบประสิทธิภาพ (performance check) สำหรับเว็บไซต์ ด้วย การรายงานลูกค้าที่ยอดเยี่ยม แบบออนดีมัณด์และตามกำหนดเวลา คุณสามารถประหยัดเวลา โดยรวบรวมข้อมูลทั้งหมดและได้ข้อมูลเชิงลึกแบบรวมศูนย์
และคุณสามารถควบคุมทั้งหมดจากแดชบอร์ดรวมศูนย์!
เมื่อพูดถึงความปลอดภัยเว็บ ไม่ควรมีการเสียสละ เพราะเว็บไซต์คือตัวตนของคุณในโลกดิจิทัล ควรดูแลให้ไม่ถูกทำลายโดยอะไรก็ตาม ไม่ว่าจะเป็นมัลแวร์ ไวรัส หรือแฮ็ก MalCare จะปกป้องเว็บไซต์จากภัยคุกคามปัจจุบันและอนาคต ได้ความปลอดภัยระดับโลก เพียง $8.25 ต่อเดือน! ฟีเจอร์ทั้งหมดที่กล่าวมา พร้อมใช้งานฟรีกับทุกแผนโดยไม่มีค่าใช้จ่ายเพิ่ม
MalCare ช่วยให้เว็บไซต์ของคุณปลอดภัยจากภัยคุกคามทุกประเภท 24/7
