คุณกังวลหรือไม่ว่าแฮกเกอร์กำลังพยายามค้นหาชื่อผู้ใช้บนเว็บไซต์ WordPress ของคุณเพื่อแฮกเข้าไป? น่าจะไม่ใช่เรื่องแรกที่คุณนึกถึง แต่ความจริงคือ การสำรวจเว็บไซต์เพื่อหาชื่อผู้ใช้เป็นกลยุทธ์ทั่วไปของแฮกเกอร์
เมื่อแฮกเกอร์พบชื่อผู้ใช้ที่ถูกต้อง พวกเขาต้องเดารหัสผ่านเท่านั้นจึงจะเข้าเว็บไซต์ได้ แฮกเกอร์จะใช้ "การโจมตีแบบ Brute Force" เพื่อเดารหัสผ่านที่ถูกต้องของแดชบอร์ด WordPress จากนั้นจึงควบคุมเว็บไซต์เต็มที่ ขโมยข้อมูล เปลี่ยนเส้นทางผู้เยี่ยมชม สแปมลูกค้า และกิจกรรมอันตรายอื่นๆ อีกมากมาย
แต่ไม่ต้องกังวล คุณสามารถป้องกันแฮกเกอร์ไม่ให้ค้นพบชื่อผู้ใช้ได้โดยการดำเนินการ נגדช่องโหว่การแจกแจงผู้ใช้ (User Enumeration)
ในคู่มือนี้ คุณจะได้เรียนรู้ว่าการแจกแจงผู้ใช้คืออะไร และวิธีป้องกันไม่ให้แฮกเกอร์ใช้ประโยชน์จากช่องโหว่นี้
TL;DR: การแจกแจงผู้ใช้เพิ่มโอกาสการโจมตี Brute Force บน WordPress ในการป้องกัน ให้ติดตั้งปลั๊กอิน MalCare Security จะตรวจจับและบล็อกการโจมตี Brute Force อัตโนมัติ
การแจกแจงผู้ใช้ (User Enumeration) คืออะไร?
การแจกแจงชื่อผู้ใช้ (Username enumeration) คือกระบวนการที่แฮกเกอร์ค้นหาผู้ใช้ของเว็บไซต์ WordPress พวกเขาสแกนเว็บไซต์และรวบรวมข้อมูลผู้ใช้ (ชื่อ, อีเมล) เพื่อพยายามล็อกอินเข้าสู่ระบบ
หมายเหตุ: "ผู้ใช้" ที่กล่าวถึง ไม่ได้หมายถึงผู้เยี่ยมชม或ลูกค้า แต่หมายถึงผู้ที่มีสิทธิ์เข้าถึงแผงควบคุม WordPress admin
ทำไมจึงเป็นปัญหา? แฮกเกอร์ใช้เทคนิค Brute Force พยายามเดาชื่อผู้ใช้และรหัสผ่าน โดยเขียนบอทเพื่อป้อนชุดชื่อผู้ใช้/รหัสผ่านหลายพันชุดในไม่กี่วินาที แต่ถ้าพวกเขารู้ชื่อผู้ใช้แล้ว หมายความว่าพวกเขาอยู่ห่างจากการเข้าถึงเว็บไซต์เพียงขั้นตอนเดียว
ที่นี่คือที่มาของการแจกแจงผู้ใช้ แฮกเกอร์พยายามหาชื่อผู้ใช้จากชื่อผู้เขียนและที่อยู่อีเมลบนเว็บไซต์ของคุณ มีหลายวิธีที่แฮกเกอร์ใช้ในการหาชื่อผู้ใช้ การเข้าใจวิธีเหล่านี้สำคัญต่อการดำเนินมาตรการป้องกัน
ประเภทของการแจกแจงผู้ใช้
ชื่อผู้ใช้จัดเก็บอยู่ในฐานข้อมูล WordPress แต่แฮกเกอร์ไม่จำเป็นต้องเข้าถึงฐานข้อมูลเพื่อหาข้อมูลนี้ นี่คือ 2 เทคนิคหลักที่แฮกเกอร์ใช้:
1. ใช้คลังข้อมูลผู้เขียน (Author Archives)
ทุกผู้ใช้บน WordPress มี ID เฉพาะตัว ใช้สำหรับอ้างอิงบัญชีในฐานข้อมูล เมื่อผู้ใช้สร้างหน้าและโพสต์ WordPress จัดเก็บข้อมูลในคลังผู้เขียน ซึ่งจัดหมวดหมู่หน้า/โพสต์ตามผู้สร้าง แฮกเกอร์รันสคริปต์โหลดคลังผู้เขียนซึ่งอาจเปิดเผย User ID จากนั้นรันสคริปต์เพิ่มเพื่อหาชื่อผู้ใช้ที่เชื่อมโยงกับ User ID นั้น
2. ใช้แบบฟอร์มล็อกอิน (Login Form)
เมื่อป้อน ชื่อผู้ใช้ที่ไม่ถูกต้อง บนหน้าล็อกอิน WordPress จะแสดงข้อความแจ้งเตือนหนึ่ง ขณะที่ป้อน ชื่อผู้ใช้ที่ถูกต้องแต่รหัสผ่านผิด WordPress จะแสดงข้อความต่างออกไป บ่งบอกว่าชื่อผู้ใช้ถูกต้อง เพียงรหัสผ่านผิด แฮกเกอร์ใช้เครื่องมืออย่าง Burp Intruder โหลดรายชื่อผู้ใช้ที่เป็นไปได้ เพื่อหาชื่อที่ถูกต้องจากการตอบสนองของ WordPress
ด้วยวิธีเหล่านี้ แฮกเกอร์ค้นพบชื่อผู้ใช้ของคุณและใกล้เคียงกับการแฮกเว็บไซต์มากขึ้น คุณสามารถดำเนินมาตรการรักษาความปลอดภัยเพื่อป้องกันได้
การป้องกันการพยายามแจกแจงผู้ใช้
คุณสามารถหยุดการแจกแจงผู้ใช้ได้โดยใช้ปลั๊กอิน หรือแทรกโค้ดสั้นๆ ลงในไฟล์ WordPress เราไม่แนะนำวิธีแทรกโค้ดด้วยตนเอง เพราะมีความเสี่ยงสูงมาก ข้อผิดพลาดเล็กน้อยทำให้เว็บไซต์เสียหาย แต่เราจะอธิบายทั้งสองวิธี
1. ติดตั้งปลั๊กอิน Stop User Enumeration
นี่เป็นวิธีที่ง่ายและมีประสิทธิภาพที่สุด สามารถติดตั้งจากที่เก็บปลั๊กอิน WordPress ปลั๊กอินนี้ออกแบบมาเพื่อป้องกันแฮกเกอร์สแกนหาชื่อผู้ใช้ มีฟีเจอร์บันทึกที่อยู่ IP ที่พยายามแจกแจงผู้ใช้ ที่อยู่ IP คือรหัสเฉพาะของอุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ต ปลั๊กอินไฟร์วอลล์อย่าง MalCare ตรวจจับ IP ที่ทำกิจกรรมอันตรายและบล็อกการเข้าถึง หากคุณมีไฟร์วอลล์ ตรวจสอบล็อก IP จากปลั๊กอิน Stop User Enumeration เทียบกับที่ไฟร์วอลล์บล็อก หากยังไม่ได้บล็อก ส่วนใหญ่อนุญาตให้ป้อน IP ด้วยตนเองเพื่อบล็อก
2. แทรกโค้ดด้วยตนเองเพื่อหยุดการแจกแจงผู้ใช้
หมายเหตุ: เรา ไม่แนะนำ วิธีนี้ หากต้องการดำเนินการ ขอแนะนำสำรองข้อมูลเว็บไซต์ก่อน หากผิดพลาด สามารถกู้คืนได้
ขั้นตอน 1: ล็อกอินเข้าบัญชีโฮสติ้ง ไปที่ cPanel > File Manager (หรือใช้ FTP เช่น FileZilla)
ขั้นตอน 2: เปิดโฟลเดอร์ public_html ไปที่ wp-content และเข้าถึง โฟลเดอร์ธีมที่ใช้งานอยู่
ขั้นตอน 3: หาไฟล์ functions.php ของธีม คลิกขวาและแก้ไข
ขั้นตอน 4: แทรกโค้ดต่อไปนี้:
/** * Block User Enumeration */ function kl_block_user_enumeration_attempts() { if ( is_admin() ) return; $author_by_id = ( isset( $_REQUEST['author'] ) && is_numeric( $_REQUEST['author'] ) ); if ( $author_by_id ) wp_die( 'Author archives have been disabled.' ); } add_action( 'template_redirect', 'kl_block_user_enumeration_attempts' );บันทึก การเปลี่ยนแปลงและปิดไฟล์ การแจกแจงผู้ใช้ควรถูกบล็อกแล้ว
นอกจากนี้ เราแนะนำให้ใช้ชื่อผู้ใช้ที่ไม่แสดงบนเว็บไซต์ เช่น หากมีชื่อสมาชิกทีมและผู้เขียนบล็อกแสดงอยู่ ควรใช้ชื่อแอดมินที่ต่างออกไป
ข้อความสุดท้าย
การบล็อกการแจกแจงผู้ใช้ใน WordPress ลดโอกาสการโจมตี Brute Force แฮกเกอร์มักมุ่งเป้าเว็บไซต์ที่แฮกง่าย บอทจะลองไม่สำเร็จ几ครั้งแล้วจากไป
อย่างไรก็ตาม การโจมตี Brute Force เป็นเพียงหนึ่งในหลายภัยคุกคามความปลอดภัย เราแนะนำให้เปิดใช้งานปลั๊กอินรักษาความปลอดภัย ที่จะสแกนเว็บไซต์เป็นประจำ ตรวจสอบว่าสะอาดและปราศจากมัลแวร์ รวมถึงบล็อกแฮกเกอร์แบบโปรแอกทีฟ คุณสามารถดำเนินเว็บไซต์ได้ด้วยความกังวลน้อยลง
ปกป้องเว็บไซต์ WordPress ด้วย MalCare!
