เข้าใจ Website Backdoors และวิธาลบพวกเขาอย่างปลอดภัย

ลองจินตนาการปีหน้า คิดถึงความสำเร็จที่อาจจะมาถึง กำไรเพิ่มสองเท่า ใช้เวลากับคนที่รักมากขึ้น

แต่มีปัญหา: เว็บของคุณโดนแฮกซ้ำๆ ต้องใช้เวลาหลายชั่วโมงทำความสะอาด และค่าใช้จ่ายสูง

ไม่มีใครอยากอยู่ในความกลัวการโดนแฮก ไม่มีใครชอบจ่ายหลายร้อยดอลลาร์ต่อเดือน เพื่อแก้ปัญหาเดิมซ้ำๆ

นี่คือเหตุผลที่เราทำสิ่งนี้

เรามีลูกค้าหลายร้อยคน ที่เว็บโดนแฮกซ้ำ แม้ทำความสะอาดหลายครั้ง

เรามี วิธีแก้ไขถาวรสำหรับ Website Backdoors

บทความนี้จะทำให้คุณรู้:

• ทำไม Backdoor ถูกฝังในเว็บไซต์
• แฮกเกอร์ติดตั้ง Backdoor ยังไง
• วิธีลบ Backdoor
• วิธีป้องกันการติด Backdoor

เริ่มกันเลย

Website Backdoors คืออะไร?

Backdoors = จุดเข้าแบบซ่อนเร้น ให้เข้าถึงเว็บไซต์ได้แบบไม่จำกัด สำหรับใครที่รู้จักมัน

จะรู้ยังไงว่าเว็บมี Backdoor?

ง่ายมาก: เว็บโดนแฮกซ้ำ แม้ทำความสะอาดหลายครั้ง

ทำไม Backdoor ยากที่จะตรวจจับ? มันเป็นโค้ดอันตรายเหมือนกันแหละ (เช่นไวรัส favicon.ico)

Backdoor แตกต่าง พวกมันซ่อนตัวเก่งมากบนเว็บ ค้นหา = หาขในกองฟาง

ออกแบบมาให้สับสนกับโค้ดที่ไม่อันตรายง่ายๆ และซ่อนอยู่ได้ทุกที่บนเว็บ

ปลั๊กอินความปลอดภัยส่วนใหญ่ ไม่สามารถตรวจจับ Backdoor ได้ เพราะใช้เทคนิคเก่า ผลคือ สแกนและทำความสะอาดแล้ว Backdoor ยังคงหลบหลีก

คิดว่า Backdoor ที่ไม่ถูกตรวจจับ = โรค מסתורי (Mysterious disease) แพทย์ตรวจไม่เจอ = คุณทุกข์ทรมาน อ่อนเพลย ตายได้ คล้ายกัน Backdoor ที่ไม่ถูกตรวจจับ = ทำลายเว็บไซต์

ผลกระทบของการติด Backdoor ต่อเว็บไซต์

การติด Backdoor ทำลายเว็บไซต์ได้รุนแรง คุณอาจเผชิญ:

• สูญเสียトラฟฟิก เพราะผู้เยี่ยมชมถูก Redirect ไปเว็บอันตราย
• Popup ลึกลับบนหลายหน้า ขอให้ผู้เยี่ยมชมดาวน์โหลดซอฟต์แวร์ ลงคอมพิวเตอร์
• ส่งอีเมลสแปม ให้ผู้ใช้เว็บ

• แฮกเกอร์เก็บไฟล์: หนังลิขสิทธิ์, ซอฟต์แวร์แตก บนเซิร์ฟเวอร์ = เว็บช้า
• แฮกเกอร์ ขโมย ข้อมูลบัตรเครดิต หรือประวัติการแพทย์ ขายออนไลน์
• ขโมยพื้นที่โฆษณา แสดงโฆษณาตัวเอง กำไรจากคลิกของผู้เยี่ยมชมคุณ

• อันดับ SEO ตก เว็บช้า, ทราฟฟิกถูก Redirect, ผลลัพธ์ค้นหาถูกมанипуเลทด้วยคีย์เวิร์ดสแปม
• เครื่องมือค้นหาและโฮสติ้งพบว่าเว็บโดนแฮก = Blacklist, ระงับเว็บ, ระงับ AdWords

เพื่อป้องกันสิ่งเหล่านี้ ต้องลบ Backdoor ออกจากเว็บ

วิธีลบ Backdoor ทั้งหมดและถาวร

1. ติดตั้ง MalCare Security Scanner บนเว็บไซต์
2. จากแดชบอร์ด WordPress เลือกเมนู MalCare
3. ใส่อีเมล กด Secure Site Now

4. MalCare จะขอตั้งรหัสผ่านและเพิ่มเว็บ แล้วเริ่มสแกนอัตโนมัติ ใช้ไม่กี่นาทีตรวจพบ Backdoor

สแกนเสร็จ MalCare จะแจ้งว่าพบไฟล์อันตราย

5. ทำความสะอาดทันที: ที่แดชบอร์ด MalCare ส่วน Security มีปุ่ม Auto-Clean กดแล้ว MalCare จะทำความสะอาด

(Auto-Clean เป็นฟีเจอร์พรีเมียม $99 สำหรับ 1 เว็บต่อปี สามารถต่ออายุได้)

MalCare ควรใช้เวลา น้อยกว่า 1 นาที ลบ Backdoor ทุกเครื่องหมาย

นอกจาก MalCare ยังมีปลั๊กอินความปลอดภัยอื่นๆ ตรวจจับและลบ Backdoor ได้ รายการ: Best WordPress security plugins

วิธีป้องกันเว็บไซต์จาก Backdoor

Backdoor ถูกฝังได้ก็ต่อเมื่อแฮกเกอร์มีสิทธิ์เข้าถึงเว็บ

เพื่อป้องกัน Backdoor ต้อง:

• ก่อนอื่น: รักษาความปลอดภัย WordPress จากแฮกเกอร์และบอท
• แต่ถ้าพวกเขาเข้าเว็บได้: ป้องกันไม่ให้ฝัง Backdoor

ทำตามขั้นตอนด้านล่าง:

ป้องกันเว็บจากแฮกเกอร์และบอท

เพื่อป้องกันการโจมตีแฮก ต้อง:

1. ใช้ไฟร์วอลล์ (Firewall)

ไฟร์วอลล์ = กีดกั้นระหว่างเว็บและトラฟฟิกเข้าจากประเทศ/อุปกรณ์

ใครพยายามเข้าถึงเว็บ จะถูกไฟร์วอลล์สอบสวนก่อน พยายามระบุว่า IP ของผู้เยี่ยมชมเคยถูกแจ้งเตือนว่าเป็นมัลแวร์ไหม หากใช่ = บล็อกไม่ให้เข้าถึง

เช่นนี้ ไฟร์วอลล์บล็อกการโจมตีแฮก ก่อนที่แฮกเกอร์จะเข้าถึงเว็บ

2. อัปเดตเว็บไซต์ให้ทันสมัย

เหมือนซอฟต์แวร์อื่นๆ ปลั๊กอิน, ธีม, Core ของ WordPress พัฒนาช่องโหว่ได้ เมื่อนักพัฒนารู้ พวกเขาปล่อยแพทช์ผ่านอัปเดต

หากไม่อัปเดตหรือเลื่อนอัปเดต = เว็บอ่อนไหว แฮกเกอร์ใช้ช่องโหว่เข้าเว็บ

อัปเดตเว็บ = รับประกันความปลอดภัย

การอัปเดตมีความท้าทาย อ่าน How to Update WordPress? ช่วยแก้ปัญหา

3. ไม่ใช้ปลั๊กอินและธีมพีรียัด (Pirated/Nulled)

ปลั๊กอิน/ธีมพีรียัด = ซอฟต์แวร์พรีเมียมใช้ฟรี แต่มีราคาที่ต้องจ่าย

ซอฟต์แวร์พีรียัดติด Backdoor อยู่แล้ว ติดตั้ง = เปิดให้แฮกเกอร์เข้าถึงเว็บโดยไม่รู้ตัว

คิดดู: ทำไมใครแจกซอฟต์แวร์พรีเมียมฟรี ถ้าไม่มีจุดประสงค์แอบแฝง?

อย่าใช้ปลั๊กอิน/ธีมพีรียัดเลย หากติดตั้งอยู่ ลบทันที สแกนธีม/ปลั๊กอินปัจจุบันเป็นประจำหาโค้ดอันตราย

4. ป้องกันหน้าล็อกอิน (Login Page Protection)

นอกจากปลั๊กอิน/ธีม หน้าล็อกอิน = จุดอ่อนอีกจุด

หน้าล็อกอิน = หน้าที่อ่อนไหวที่สุด บนเว็บ แฮกเกอร์สร้างบอททาย Username/Password บอทลองได้หลายร้อยชุดใน 1 นาที ลองต่อจนถูก = Brute Force Attack

มีมาตรการป้องกันหน้าล็อกอินหลายอย่าง: ใช้ Username/Password ยากต่อการทาย, ใช้ CAPTCHA Protection

หากใช้ MalCare ลบ Backdoor แล้ว ไม่ต้องกังวล MalCare ป้องกันหน้าล็อกอินด้วย CAPTCHA อยู่แล้ว

มาตรการเพิ่มเติมป้องกันหน้าล็อกอิน: WordPress login security

ป้องกันการติด Backdoor

แม้ทำมาตรการป้องกันครบ พวกเขาอาจเข้าเว็บได้

จินตนาการ: ปลั๊กอินมีช่องโหว่ ใช้กี่วันนักพัฒนาปล่อยแพทช์ ในช่วงนั้น เว็บอาจโดนแฮกก่อนอัปเดต

ควรเตรียมพร้อม สถานการณ์แบบนี้ ป้องกันแฮกเกอร์ฝัง Backdoor โดย:

1. แข็งแกร่งเว็บไซต์ (Hardening)

ต้องทำ Site Hardening ดังนี้:

→ บล็อกการติดตั้งปลั๊กอินและธีม (Block Plugins & Themes Installations)

แฮกเกอร์แปรรูป Backdoor ให้ยากต่อการระบุ

พวกเขาสามารถฝังผ่านปลั๊กอิน/ธีมปลอม เว็บที่ใช้ปลั๊กอิน/ธีมเยอะ = ง่ายที่จะติดตั้งปลั๊กอินใหม่ที่มี Backdoor ไม่มีใครสังเกต

แต่คุณสามารถ ป้องกันการติดตั้งปลั๊กอิน/ธีมบนเว็บได้

สำคัญ: วิธีนี้ต้องแทรกโค้ดด้วยตนเอง เสี่ยงหากไม่คุ้นเคยกับโครงสร้าง WordPress ผิดเล็กน้อย = เว็บพัง

หากติดตั้ง MalCare อยู่แล้ว กดปุ่มเดียว บล็อกการติดตั้งปลั๊กอิน/ธีมได้

→ ปิด File Editor (Disable Files Editor)

นอกจากติดตั้งปลั๊กอินปลอม แฮกเกอร์ยังฝัง Backdoor ในปลั๊กอิน/ธีมที่มีอยู่ได้

ใครมีสิทธิ์แอดมิน ก็ทำได้ ไปที่ Appearance เปิด Theme Editor วางโค้ดอันตราย

อ่าน Disable Plugin and Theme Editors from WordPress Dashboard ด้วย MalCare กดปุ่มปิด File Editor ได้ ไม่กลัวเว็บพัง

มาตรการ Hardening เพิ่มเติม: WordPress Hardening Guide

2. ใช้หลักการสิทธิ์ขั้นต่ำ (Least Privileged User Access)

มีหลายวิธีฝัง Backdoor หนึ่งคือแก้ไข Plugin/Theme Editor ต้องมีสิทธิ์แอดมิน

แสดงให้เห็นว่า ต้องเลือกให้สิทธิ์แอดมินอย่างระมัดระวัง

WordPress มี 6 บทบาท:

• Super Admin (เฉพาะ Multisite)
• Admin
• Editor
• Contributor
• Author
• Subscriber

ก่อนให้ใครเข้าถึงเว็บ ควรพิจารณาบทบาทที่เหมาะสม:

• คนที่ไมไว้วางใจ = ให้บทบาทที่มีความสามารถต่ำ
• คนที่ต้องเผยแพร่โพสต์/ความคิดเห็น = ทำให้เป็น Editor
• Admin = จำกัด 2-3 คนเท่านั้น

อ่านเพิ่ม: WordPress User Roles and Capabilities

3. จ้างนักพัฒนาที่น่าเชื่อถือ (Trusted Developers)

หากต้องการให้นักพัฒนาทำงานบนเว็บ ต้องให้สิทธิ์เต็มๆ ต้องหาคนไว้วางใจได้ คนที่ไม่ฝัง Backdoor เพื่อเข้าถึงหลังเลิกงาน

หานักพัฒนาถนัดและเชื่อถือได้ = งานยากและนาน ดีกว่าไปเว็บไซต์ที่คัดกรองนักพัฒนาให้แล้ว แหล่งน่าเชื่อถือ:

• WordPress Jobs
• Smashing Jobs
• Codeable.io
• WPMU Dev Pros
• Stack Overflow Careers

มาตรการข้างต้นช่วยป้องกันแฮกเกอร์ฝัง Backdoor ลงในเว็บ

ประเภทของ Backdoors ต่างๆ

เราศึกษา Backdoor ใกล้ 10 ปี พบหลายประเภท ทุกประเภทยากต่อการตรวจจับ

Backdoor แบ่งได้ 3 ประเภท: Simple, Complex, และ CMS Specific Backdoors

Simple Backdoors: โค้ดสั้น 1 บรรทัด ดูโหยหรือง่าย ยากมากที่จะระบุ

Complex Backdoors: โค้ดหลายบรรทัด อาจง่ายต่อการสังเกตของตาที่ฝึกฝน แต่มันซับซ้อนและแยกแยะได้ง่ายกว่า แต่บางครั้งแฮกเกอร์ Obfuscate โค้ด (ทำให้อ่านยาก) เพื่อหลบสแกนเนอร์มัลแวร์

CMS Specific Backdoors: แฮกเกอร์เขียนโค้ดตาม CMS/ระบบจัดการเนื้อหา Backdoor แบบ Built-in ที่เฉพาะเจาะจง WordPress เท่านั้น ไม่พบใน Joomla หรือ Drupal

What Next (ต่อไปควรทำอะไร?)

โดนแฮก WordPress ครั้งเดียว แย่พอ แต่โดนซ้ำๆ = วิวาหภัย!

Backdoor ไม่ใช่แค่รำคาญ แต่งทำลายเว็บรุนแรง การลบ Backdoor ทำให้เว็บปลอดภัย แต่ ไม่มีประกันว่าจะปลอดภัยตลอดไป

ต้องทำมาตรการป้องกันเว็บจากแฮกเกอร์และบอท ปลั๊กอินความปลอดภัย = เครื่องมือที่สมบูรณ์แบบช่วยป้องกันการโจมตีและ Backdoor

MalCare Security Plugin เปิดใช้งาน Website Firewall กรองทราฟฟิกร้าย สแกน เว็บทุกวัน เปิดใช้งาน Site Hardening หากเว็บโดนแฮก MalCare ช่วย ทำความสะอาดเว็บในอาการ

ร่วมกับเจ้าของเว็บ 250,000+ คน ให้ MalCare โอกาส!