WPScan เครื่องมือที่ชาวเวิร์ดเพรสจำเป็นต้องรู้ ผมใช้เวลาไตร่ตรองอยู่นานพอสมควรว่าจะเขียนบทความนี้ดีไหม เพราะมันเปรียบเสมือนดาบสองคม ถ้านำไปใช้ในทางที่ดีก็ดีไป แต่ถ้านำไปใช้ในทางที่ผิดก็อาจจะทำให้ตัวเองและคนอื่นเดือนร้อนได้เหมือนกัน
WPScan เครื่องมือที่คนใช้เวิร์ดเพรสต้องรู้
wpscan คือเครื่องมือที่ใช้ในการตรวจสอบช่องโหว่เว็บที่ทำด้วยเวิร์ดเพรส เช่น
หาช่องโหว่ของปลั๊กอิน
หาช่องโหว่ของธีม
หาช่องโหว่ของตัวเวิร์ดเพรสเอง
Brute force
บทความนี้ผมจะมาแนะนำทั้งวิธีใช้งานและวิธีป้องกันเลยนะครับ ถ้าพร้อมแล้วเรามาเริ่มกันเลย
ติดตั้ง WPScan
อันดับแรกเราก็ต้องติดตั้งเครื่องมือที่เราจะใช้กันซะก่อน ดาวน์โหลดและติดตั้งตามคู่มือจากเว็บหลักของเค้าได้ที่นี่เลย wpscan.org
Environment ที่ผมใช้ในการทดสอบครั้งนี้
WordPress 4.8.1 เวอร์ชั่นล่าสุด
Theme Storefront 2.2.5 เวอร์ชั่นล่าสุด
Plugins WooCommerce 3.1.2 เวอร์ชั่นล่าสุด
ตัวอย่างวิธีใช้งาน Scan Username
ก่อนจะ Brute force ได้เราต้องรู้ username ก่อนว่าเว็บนี้ใช้ username อะไร มี 2 วิธีที่เราจะได้มา
หาในหน้าบทความส่วนท้ายของบทความมักจะมีรายละเอียด ชื่อผู้เขียนอยู่ อลงดูภาพข้างล่างนี้ครับ
โดยค่าเริ่มต้นที่ wordpress ให้มามันใช้ชื่อเล่นและ username เป็นชื่อเดียวกันถ้าเราไม่ได้ไปเปลี่ยนมัน มันก็จะใช้ค่าเริ่มต้นที่ระบบกำหนดมา
จากรูปผมตั้ง username ชื่อ admin และไม่ได้ไปเปลี่ยนชื่อเล่น ระบบมันก็จะใช้ชื่อ username เป็นชื่อเล่นและนำมาแสดงในรูปที่ผมให้ดู
วิธีที่ 2 ใช้เครื่องมือสแกนดังนี้
ใช้เวลาแค่ 39 วินาทีเราก็จะได้ชื่อ username มาตามภาพ
ตัวอย่างวิธีใช้งาน Brute...
มาตามสัญญาครับ สำหรับเสริมเกราะให้เวิร์ดเพรสด้วย iThemes Security ตอนที่ 2 คราวนี้เราจะมาทำความเข้าใจว่าแต่ละฟีเจอร์ของ iThemes มีอะไรบ้าง เพื่อจะได้เข้าใจและนำไปปรับใช้ให้เหมาะสมกับเว็บของเรากัน หลังอ่านบทความนี้จบคุณจะได้เว็บที่มีความปลอดภัยแน่นปึ๊ก ไม่โดนแฮคง่าย ๆ อีกต่อไป.
ก่อนจะเริ่มกันใครยังไม่อ่าน ตอนที่ 1 ผมเอามาแปะไว้ให้แล้ว
สำหรับใครที่พร้อมแล้วก็มาเริ่มกันเลย
เข้าไปที่ Menu Security > Settings เราจะเจอหน้าสำหรับตั้งค่าปลั๊กอินโดยแบ่งเป็นแต่ละฟีเจอร์ มีอยู่ทั้งหมด 29 ฟีเจอร์ด้วยกัน ( เยอะมากกก )
ฟีเจอร์แรก Security Check
ฟีเจอร์นี้ปลั๊กอินจะตั้งค่าต่างๆให้เราอัตโนมัติเพียงแค่คลิก Secure Site
สำหรับใครที่ขี้เกียจอ่านผมทำเป็นคลิปไว้ให้แล้ว
https://www.youtube.com/watch?v=cUfe6_3-iGs
WordPress Tweaks
ส่วนนี้จะคล้าย ๆ กับส่วนของ System Tweaks แตกต่างกันตรงที่ส่วนนี้จะตั้งค่าในส่วนของ WordPress ตั้งตามภาพได้เลย
System Tweaks
สำหรับส่วนนี้จะเป็นการตั้งค่าเกี่ยวกับสิทธ์ในการเข้าถึงไฟล์ ตรงนี้เป็นอีกจุดหนึ่งที่เว็บส่วนมากโดนแฮคเนื่องจากไม่มีการกำหนดสิทธ์ในการเข้าถึง File หรือ Directory ต่าง ๆ ที่ดีพอ ส่วนนี้ตั้งตามภาพได้เลยครับ
Database Backups
ฟีเจอร์นี้คือสำรองฐานข้อมูลเว็บเรานั่นเอง ตั้งค่าตามภาพได้เลยครับ
อธิบายเพิ่มเติม จากรูปผมตั้งให้ปลั๊กอินทำการสำรองข้อมูล Database เป็นไฟล์ zip และส่งเข้าเมลผมทุกวันนั่นเอง
Away Mode
ฟีเจอร์นี้ผมชอบมากเปรียบเสมือนตั้งเวลาการเข้าใช้งานหลังบ้านเว็บเรานั้นเอง
โดยสามารถตั้งได้ว่าเราจะไม่อนุญาติให้สามารถเข้าหลังบ้านได้ตั้งแต่กี่โมงถึงกี่โมง
สำหรับผมผมตั้งไว้ที่ เที่ยงคืนถึงแปดโมงเช้า จะไม่สามารถเข้าใช้งานหลังบ้านได้ ตามภาพ
ลองนึกภาพว่า wp-admin เป็นประตูบ้านเรานะครับ...
บทความนี้ผมจะมาแบ่งปันวิธีการทำ http authentication ให้กับ wp-login โดยไม่ต้องใช้ plugin กันครับ มีอยู่ไม่กี่ขั้นตอน ง่าย ๆ เลย....
บอกก่อนว่าผมเป็นคนประเภทที่พยายามใช้ plugin ให้น้อยที่สุดเท่าที่จะเป็นไปได้ อะไรไม่จำเป็นจริง ๆ จะไม่ใช้เลย เพราะ plugin ยิ่งเยอะเท่าไหร่ก็ส่งผลต่อ performance เว็บเรามากเท่านั้น
วิธีที่จะป้องกัน wp-login เนี่ยถ้าใช้ plugin มันก็มีให้เลือกหลายวิธีไม่ว่าจะเป็น captcha เพื่อป้องกัน Bruteforce หรือ hide wp-login ซ่อนไฟล์ login เป็นชื่ออื่น หรือเปลี่ยน url เข้าหลังบ้าน หรือ ..... วิธีอื่น ๆ อีกเยอะแยะไปหมดสุดท้ายผมก็ไปเจอวิธี ป้องกัน wp-login ด้วย http authentication มา หลังจากลองใช้ดูแล้วก็รู้สึกว่า เออมันก็เจ๋งดีแฮะ ไม่ต้องใช้ plugin มาให้หน่วงเว็บเราเลยแถมขั้นตอนการทำก็ไม่ยุ่งยากมีอยู่ไม่กี่ขั้นตอนเองเลยอยากเอามาแบ่งปันให้คนอื่นหรือใครที่ไม่อยากใช้ plugin เยอะ ๆ เหมือนผมได้ลองเอาไปใช้กันดูครับ
มาดูขั้นตอนการทำ http authentication ว่ามีอะไรบ้าง
1.สร้างไฟล์ชื่อว่า .htpasswd
โดยไฟล์นี้เราจะเอาไว้เก็บ...
วิธีซ่อนเวอร์ชั่น WordPress ไม่ให้ใครรู้ เป็นอีกวิธีที่ช่วยเพิ่มความปลอดภัยให้กับเว็บเรา ลองอ่านและนำไปปรับใช้กันดูครับ
วิธีซ่อนเวอร์ชั่น WordPress
บทความนี้ทีมงาน CodingDee จะมาแนะนำวิธีซ่อนเวอร์ชั่น WordPress ไม่ให้ใครรู้กันครับ
ผลกระทบที่อาจจะเกิดขึ้น
ถ้าเราไม่ซ่อนเวอร์ชั่น WordPress จะส่งผลกระทบอะไรบ้างมาดูเหตุการณ์จำลองกัน
สมมุติว่าผมเป็นผู้ไม่หวังดีอยากจะโจมตีเว็บ ๆ นึง สิ่งแรกที่ผมจะทำคือหาข้อมูลของเป้าหมายก่อนว่าเค้าใช้ Server อะไร เวอร์ชั่นอะไร
ใช้ CMS ค่ายไหน เวอร์ชั่นอะไร ฯลฯ ยิ่งเราได้ข้อมูลพวกนี้มากเท่าไหร่ เราก็สามารถนำมาวิเคราะห์หาช่องโหว่และวิธีการโจมตีได้มากขึ้นเท่านั้น ถ้าไปเจอ WordPress Version ตำ่ กว่า 4.7.0 เสร็จเลยครับ ช่องโหว่เพียบเลย ผมเคยเจอบางเว็บยังใช้ WordPress เวอร์ชั่น 3.8.x อยู่ก็มี
ถ้าใครเคยดู The Fast and the Furious ภาคที่ลากตู้เซฟอ่ะ ผมจำภาคไม่ได้ว่าภาคไหน จะมีอยู่ช่วงหนึ่งที่ฝ่ายของตัวเอกแบ่งทีมกันออกไปเก็บข้อมูลของเป้าหมาย ว่าใช้ตู้เซฟยี่ห้ออะไร รุ่นอะไร เก็บไว้ที่ไหน แล้วนำข้อมูลที่ได้มาวิเคราะห์ หาวิธีการโจมตีต่อไป เห็นไหมครับว่าข้อมูลพวกนี้ถ้าเราไม่ปิดไว้ มันไม่เป็นผลดีกับเราเลย วิธีซ่อนก็ไม่ยากอะไรมากมาย มาดูวิธีทำกันเลยครับ
อัพเดทเวอร์ชั่นใหม่เสมอ
วิธีนี้เป็นวิธีที่ดีครับ คือ Update WordPress ให้เป็นเวอร์ชั่นล่าสุดอยู่เสมอ แต่ก็อาจจะมีบางสาเหตุที่เรายังไม่สามารถ Update...
หลังจากหยุดยาวสงกรานต์กันมา เรามาดู วิธีทำให้เวิร์ดเพรสโดนแฮค กันครับ ผมรับรองได้เลยว่าทำตามนี้แล้วโดน Hack แน่นอน
วิธีทำให้เวิร์ดเพรสโดนแฮค
1.โหลดธีมหรือปลั๊กอินเถื่อนหรือโหลดจากแหล่งที่ไม่น่าเชื่อถือ
โหลดปลั๊กอินเถื่อนเพราะฟรี ที่ไหนแจกของฟรีเราโหลดหมด เราเป็นคนประหยัด (งก)
2.ตั้งค่า Permission Folder & File เป็น 777
Permission 777 คือสิทธ์ิในการยินยอมให้ใครก็ได้สามารถสร้างหรือแก้ไขไม่ว่าจะเป็น File หรือ Folder สามารถทำได้หมด เราเป็นคนใจกว้าง ใจดี ใครอยาก สร้างหรือแก้ไขไฟล์อะไรบนเว็บเรา เรายินดี มาจัดการได้เลย
3.อย่าอัพเดทเวอร์ชั่น WordPress ,Themes, Plugin
ทุกครั้งที่มีเวอร์ชั่นใหม่ออกมา อย่าอัพเดทครับ ปล่อยไว้อย่างนั้น เพราะทุก ๆ อัพเดททางผู้พัฒนาเค้าก็จะปรับปรุงโค๊ด เพิ่มประสิทธิภาพให้มันเสถียรขึ้น อุดช่องโหว่ต่าง ๆ ที่มีในเวอร์ชั่นเก่า เราไม่ชอบของใหม่ เราจะใช้ของเก่า เราเป็นนักอนุรักษ์ของเก่า เพราะฉะนั้นเราจะไม่อัพเดทอะไรทั้งสิ้น
4.ตั้ง Username ให้ง่าย ๆ
ผมแนะนำให้ตั้ง Username เป็นชื่อพวกนี้
admin
ชื่อเว็บคุณเอง
admin1234
5.ตั้ง Password ให้จำได้ง่าย ๆ
ตั้งให้จำง่าย เข้าไว้อะไรจำยาก ๆ อย่าไปตั้งเช่น
admin1234
...
วิธีส่งเมลแจ้งเตือนแอดมินเมื่อ User Login เข้าสู่ระบบผิด บทความนี้ CodingDee จะมาแนะนำวิธีทำ มาดูกันเลยว่าทำยังไง
เพิ่มโค๊ดชุดนี้เข้าไปที่ไฟล์ function.php
function.php จะอยู่ใน /public_html/wp-content/themes/your-theme
add_action( 'wp_login_failed', 'codingdee_notify_failed_login' );
function codingdee_notify_failed_login( $user_login ) {
date_default_timezone_set("Asia/Bangkok");
$subject = 'Invalid Login Attempt';
$content = 'Description'. "<br>";
$content .= 'User: '.$user_login."<br>";
$content .= 'Date: '.date('d/m/Y H:i:s')."<br>";
if ( ! empty( $_SERVER ) ) {
//check ip from...
วิธี ซ่อนเวอร์ชั่น server ที่ช่วยให้เว็บเราปลอดภัยมากขึ้น วิธีนี้เป็นวิธีง่าย ๆ ที่ช่วยเพิ่มความปลอดภัยให้เว็บเรา คงไม่ดีแน่ถ้าใครมารู้ว่าเราใช้ server อะไรอยู่ เพราะการรู้ข้อมูลพวกนี้ สามารถส่งผลให้ผู้ไม่หวังดีนำไปค้นหาช่องโจมตีได้ง่ายขึ้น เพราะเค้ารู้แล้วว่าเราใช้ server อะไร เวอร์ชั่นอะไร มาดูวิธีกันป้องกัน ง่าย ๆ
ตรวจสอบก่อนว่า server เราแสดงข้อมูลเหล่านี้ไหม
เปิดเว็บของเราขึ้นมาโดยใส่ url ตามนี้ เปลี่ยนเป็นชื่อเว็บเราเองนะครับ
yourdomain.com/.htaccess
ภาพด้านล่างนี้คือก่อนที่เราจะซ่อนเวอร์ชั่น webserver ครับ แสดงข้อมูลออกมาหมดเลย เราต้องรีบไปซ่อนกันแล้ว
เพิ่มโค๊ดชุดนี้เข้าไปที่ไฟล์ .htaccess
#Disable server signature
ServerSignature Off
เรียบร้อยครับไม่แสดงข้อมูลอะไรออกมาแล้ว แค่นี้ก็ช่วยให้เว็บเราปลอดภัยขึ้นแล้วครับ
จบแล้ว
หากอ่านแล้วชอบบทความจาก CodingDee ก็ฝาก กดไลค์เพจ ด้วยนะครับ จะได้ไม่พลาดข่าวสารเทคนิคดี ๆ จากเรา หรือติดปัญหาตรงไหนก็คอมเมนต์ไว้ด้านล่างนี้ได้ ไว้พบกันบทความต่อไปครับ
Google Tag Manager
Ecommerce Tracking For Woocommerce
Ecommerce Tracking สร้างได้ใน 7 ขั้นตอน ช่วยให้เราวัดผล Conversion บนเว็บไซต์ได้ง่ายขึ้น เหมาะสำหรับทีม Marketing เพื่อวิเคราะห์ข้อมูลการสั่งซื้อสินค้า..
Ecommerce Tracking
สำหรับใครที่ยังไม่รู้ว่า E-commerce Tracking คืออะไร แล้วทำไปทำไม ผมจะอธิบายให้เข้าใจในเบื้องต้นก่อนนะครับ
E-commerce Tracking ก็คือการติดตามพฤติกรรมการซื้อของลูกค้าที่เข้ามาซื้อสินค้าภายในเว็บไซต์ของเรา ว่าเค้ามีพฤติกรรมการใช้งานอย่างไรบ้างเช่น
ลูกค้าเข้าเว็บเรามาจากช่องทางไหน อาจจะมาจาก Facebook หรือมาจาก...