Security

WordPress Security รวมเทคนิคเสริมความปลอดภัยให้ WordPress ที่คนใช้งานเวิร์ดเพรสต้องรู้ถ้าไม่อยากให้เว็บเราโดนแฮค แนะนำให้ศึกษาไว้ครับ

wpscan
WPScan เครื่องมือที่ชาวเวิร์ดเพรสจำเป็นต้องรู้ ผมใช้เวลาไตร่ตรองอยู่นานพอสมควรว่าจะเขียนบทความนี้ดีไหม เพราะมันเปรียบเสมือนดาบสองคม ถ้านำไปใช้ในทางที่ดีก็ดีไป แต่ถ้านำไปใช้ในทางที่ผิดก็อาจจะทำให้ตัวเองและคนอื่นเดือนร้อนได้เหมือนกัน WPScan เครื่องมือที่คนใช้เวิร์ดเพรสต้องรู้ wpscan คือเครื่องมือที่ใช้ในการตรวจสอบช่องโหว่เว็บที่ทำด้วยเวิร์ดเพรส เช่น หาช่องโหว่ของปลั๊กอิน หาช่องโหว่ของธีม หาช่องโหว่ของตัวเวิร์ดเพรสเอง Brute force บทความนี้ผมจะมาแนะนำทั้งวิธีใช้งานและวิธีป้องกันเลยนะครับ ถ้าพร้อมแล้วเรามาเริ่มกันเลย ติดตั้ง WPScan อันดับแรกเราก็ต้องติดตั้งเครื่องมือที่เราจะใช้กันซะก่อน ดาวน์โหลดและติดตั้งตามคู่มือจากเว็บหลักของเค้าได้ที่นี่เลย  wpscan.org Environment ที่ผมใช้ในการทดสอบครั้งนี้ WordPress 4.8.1 เวอร์ชั่นล่าสุด Theme Storefront 2.2.5 เวอร์ชั่นล่าสุด Plugins WooCommerce 3.1.2 เวอร์ชั่นล่าสุด ตัวอย่างวิธีใช้งาน Scan Username ก่อนจะ Brute force ได้เราต้องรู้ username ก่อนว่าเว็บนี้ใช้ username อะไร มี 2 วิธีที่เราจะได้มา หาในหน้าบทความส่วนท้ายของบทความมักจะมีรายละเอียด ชื่อผู้เขียนอยู่ อลงดูภาพข้างล่างนี้ครับ โดยค่าเริ่มต้นที่ wordpress ให้มามันใช้ชื่อเล่นและ username เป็นชื่อเดียวกันถ้าเราไม่ได้ไปเปลี่ยนมัน มันก็จะใช้ค่าเริ่มต้นที่ระบบกำหนดมา จากรูปผมตั้ง username ชื่อ admin และไม่ได้ไปเปลี่ยนชื่อเล่น ระบบมันก็จะใช้ชื่อ username เป็นชื่อเล่นและนำมาแสดงในรูปที่ผมให้ดู วิธีที่ 2 ใช้เครื่องมือสแกนดังนี้ ใช้เวลาแค่ 39 วินาทีเราก็จะได้ชื่อ username มาตามภาพ ตัวอย่างวิธีใช้งาน Brute...
iThemes
มาตามสัญญาครับ สำหรับเสริมเกราะให้เวิร์ดเพรสด้วย iThemes Security ตอนที่ 2 คราวนี้เราจะมาทำความเข้าใจว่าแต่ละฟีเจอร์ของ iThemes มีอะไรบ้าง เพื่อจะได้เข้าใจและนำไปปรับใช้ให้เหมาะสมกับเว็บของเรากัน หลังอ่านบทความนี้จบคุณจะได้เว็บที่มีความปลอดภัยแน่นปึ๊ก ไม่โดนแฮคง่าย ๆ อีกต่อไป. ก่อนจะเริ่มกันใครยังไม่อ่าน ตอนที่ 1 ผมเอามาแปะไว้ให้แล้ว สำหรับใครที่พร้อมแล้วก็มาเริ่มกันเลย เข้าไปที่ Menu Security > Settings เราจะเจอหน้าสำหรับตั้งค่าปลั๊กอินโดยแบ่งเป็นแต่ละฟีเจอร์ มีอยู่ทั้งหมด 29 ฟีเจอร์ด้วยกัน ( เยอะมากกก ) ฟีเจอร์แรก Security Check ฟีเจอร์นี้ปลั๊กอินจะตั้งค่าต่างๆให้เราอัตโนมัติเพียงแค่คลิก Secure Site สำหรับใครที่ขี้เกียจอ่านผมทำเป็นคลิปไว้ให้แล้ว https://www.youtube.com/watch?v=cUfe6_3-iGs WordPress Tweaks ส่วนนี้จะคล้าย ๆ กับส่วนของ System Tweaks แตกต่างกันตรงที่ส่วนนี้จะตั้งค่าในส่วนของ WordPress ตั้งตามภาพได้เลย System Tweaks สำหรับส่วนนี้จะเป็นการตั้งค่าเกี่ยวกับสิทธ์ในการเข้าถึงไฟล์ ตรงนี้เป็นอีกจุดหนึ่งที่เว็บส่วนมากโดนแฮคเนื่องจากไม่มีการกำหนดสิทธ์ในการเข้าถึง File หรือ Directory ต่าง ๆ ที่ดีพอ ส่วนนี้ตั้งตามภาพได้เลยครับ Database Backups ฟีเจอร์นี้คือสำรองฐานข้อมูลเว็บเรานั่นเอง ตั้งค่าตามภาพได้เลยครับ อธิบายเพิ่มเติม จากรูปผมตั้งให้ปลั๊กอินทำการสำรองข้อมูล Database เป็นไฟล์ zip และส่งเข้าเมลผมทุกวันนั่นเอง Away Mode ฟีเจอร์นี้ผมชอบมากเปรียบเสมือนตั้งเวลาการเข้าใช้งานหลังบ้านเว็บเรานั้นเอง โดยสามารถตั้งได้ว่าเราจะไม่อนุญาติให้สามารถเข้าหลังบ้านได้ตั้งแต่กี่โมงถึงกี่โมง สำหรับผมผมตั้งไว้ที่ เที่ยงคืนถึงแปดโมงเช้า จะไม่สามารถเข้าใช้งานหลังบ้านได้  ตามภาพ ลองนึกภาพว่า wp-admin เป็นประตูบ้านเรานะครับ...
ป้องกัน wp-login.php
บทความนี้ผมจะมาแบ่งปันวิธีการทำ http authentication ให้กับ wp-login โดยไม่ต้องใช้ plugin กันครับ มีอยู่ไม่กี่ขั้นตอน ง่าย ๆ เลย.... บอกก่อนว่าผมเป็นคนประเภทที่พยายามใช้ plugin ให้น้อยที่สุดเท่าที่จะเป็นไปได้ อะไรไม่จำเป็นจริง ๆ จะไม่ใช้เลย เพราะ plugin ยิ่งเยอะเท่าไหร่ก็ส่งผลต่อ performance เว็บเรามากเท่านั้น วิธีที่จะป้องกัน wp-login เนี่ยถ้าใช้ plugin มันก็มีให้เลือกหลายวิธีไม่ว่าจะเป็น captcha เพื่อป้องกัน Bruteforce หรือ hide wp-login ซ่อนไฟล์ login เป็นชื่ออื่น หรือเปลี่ยน url เข้าหลังบ้าน หรือ ..... วิธีอื่น ๆ อีกเยอะแยะไปหมดสุดท้ายผมก็ไปเจอวิธี ป้องกัน wp-login ด้วย http authentication มา หลังจากลองใช้ดูแล้วก็รู้สึกว่า เออมันก็เจ๋งดีแฮะ ไม่ต้องใช้ plugin มาให้หน่วงเว็บเราเลยแถมขั้นตอนการทำก็ไม่ยุ่งยากมีอยู่ไม่กี่ขั้นตอนเองเลยอยากเอามาแบ่งปันให้คนอื่นหรือใครที่ไม่อยากใช้ plugin เยอะ ๆ เหมือนผมได้ลองเอาไปใช้กันดูครับ มาดูขั้นตอนการทำ http authentication ว่ามีอะไรบ้าง 1.สร้างไฟล์ชื่อว่า .htpasswd โดยไฟล์นี้เราจะเอาไว้เก็บ...
วิธีซ่อนเวอร์ชั่น WordPress
วิธีซ่อนเวอร์ชั่น WordPress ไม่ให้ใครรู้ เป็นอีกวิธีที่ช่วยเพิ่มความปลอดภัยให้กับเว็บเรา ลองอ่านและนำไปปรับใช้กันดูครับ วิธีซ่อนเวอร์ชั่น WordPress บทความนี้ทีมงาน CodingDee จะมาแนะนำวิธีซ่อนเวอร์ชั่น WordPress ไม่ให้ใครรู้กันครับ ผลกระทบที่อาจจะเกิดขึ้น ถ้าเราไม่ซ่อนเวอร์ชั่น WordPress จะส่งผลกระทบอะไรบ้างมาดูเหตุการณ์จำลองกัน สมมุติว่าผมเป็นผู้ไม่หวังดีอยากจะโจมตีเว็บ ๆ นึง สิ่งแรกที่ผมจะทำคือหาข้อมูลของเป้าหมายก่อนว่าเค้าใช้ Server อะไร  เวอร์ชั่นอะไร ใช้ CMS ค่ายไหน เวอร์ชั่นอะไร ฯลฯ ยิ่งเราได้ข้อมูลพวกนี้มากเท่าไหร่ เราก็สามารถนำมาวิเคราะห์หาช่องโหว่และวิธีการโจมตีได้มากขึ้นเท่านั้น ถ้าไปเจอ WordPress Version ตำ่ กว่า 4.7.0 เสร็จเลยครับ ช่องโหว่เพียบเลย ผมเคยเจอบางเว็บยังใช้ WordPress เวอร์ชั่น 3.8.x อยู่ก็มี ถ้าใครเคยดู The Fast and the Furious ภาคที่ลากตู้เซฟอ่ะ ผมจำภาคไม่ได้ว่าภาคไหน จะมีอยู่ช่วงหนึ่งที่ฝ่ายของตัวเอกแบ่งทีมกันออกไปเก็บข้อมูลของเป้าหมาย ว่าใช้ตู้เซฟยี่ห้ออะไร รุ่นอะไร เก็บไว้ที่ไหน แล้วนำข้อมูลที่ได้มาวิเคราะห์ หาวิธีการโจมตีต่อไป เห็นไหมครับว่าข้อมูลพวกนี้ถ้าเราไม่ปิดไว้ มันไม่เป็นผลดีกับเราเลย วิธีซ่อนก็ไม่ยากอะไรมากมาย มาดูวิธีทำกันเลยครับ อัพเดทเวอร์ชั่นใหม่เสมอ วิธีนี้เป็นวิธีที่ดีครับ คือ Update WordPress ให้เป็นเวอร์ชั่นล่าสุดอยู่เสมอ แต่ก็อาจจะมีบางสาเหตุที่เรายังไม่สามารถ Update...
วิธีทำให้เวิร์ดเพรสโดนแฮค
หลังจากหยุดยาวสงกรานต์กันมา เรามาดู วิธีทำให้เวิร์ดเพรสโดนแฮค กันครับ ผมรับรองได้เลยว่าทำตามนี้แล้วโดน Hack แน่นอน วิธีทำให้เวิร์ดเพรสโดนแฮค 1.โหลดธีมหรือปลั๊กอินเถื่อนหรือโหลดจากแหล่งที่ไม่น่าเชื่อถือ โหลดปลั๊กอินเถื่อนเพราะฟรี ที่ไหนแจกของฟรีเราโหลดหมด เราเป็นคนประหยัด (งก) 2.ตั้งค่า Permission Folder & File เป็น 777 Permission 777 คือสิทธ์ิในการยินยอมให้ใครก็ได้สามารถสร้างหรือแก้ไขไม่ว่าจะเป็น File หรือ Folder สามารถทำได้หมด เราเป็นคนใจกว้าง ใจดี ใครอยาก สร้างหรือแก้ไขไฟล์อะไรบนเว็บเรา เรายินดี มาจัดการได้เลย 3.อย่าอัพเดทเวอร์ชั่น WordPress ,Themes, Plugin ทุกครั้งที่มีเวอร์ชั่นใหม่ออกมา อย่าอัพเดทครับ ปล่อยไว้อย่างนั้น เพราะทุก ๆ อัพเดททางผู้พัฒนาเค้าก็จะปรับปรุงโค๊ด เพิ่มประสิทธิภาพให้มันเสถียรขึ้น อุดช่องโหว่ต่าง ๆ ที่มีในเวอร์ชั่นเก่า เราไม่ชอบของใหม่ เราจะใช้ของเก่า เราเป็นนักอนุรักษ์ของเก่า เพราะฉะนั้นเราจะไม่อัพเดทอะไรทั้งสิ้น 4.ตั้ง Username ให้ง่าย ๆ ผมแนะนำให้ตั้ง Username เป็นชื่อพวกนี้ admin ชื่อเว็บคุณเอง admin1234 5.ตั้ง Password ให้จำได้ง่าย ๆ ตั้งให้จำง่าย เข้าไว้อะไรจำยาก ๆ อย่าไปตั้งเช่น admin1234 ...
วิธีส่งเมลแจ้งเตือนแอดมินเมื่อ User Login เข้าสู่ระบบผิด
วิธีส่งเมลแจ้งเตือนแอดมินเมื่อ User Login เข้าสู่ระบบผิด บทความนี้ CodingDee จะมาแนะนำวิธีทำ มาดูกันเลยว่าทำยังไง เพิ่มโค๊ดชุดนี้เข้าไปที่ไฟล์ function.php function.php จะอยู่ใน /public_html/wp-content/themes/your-theme add_action( 'wp_login_failed', 'codingdee_notify_failed_login' ); function codingdee_notify_failed_login( $user_login ) { date_default_timezone_set("Asia/Bangkok"); $subject = 'Invalid Login Attempt'; $content = 'Description'. "<br>"; $content .= 'User: '.$user_login."<br>"; $content .= 'Date: '.date('d/m/Y H:i:s')."<br>"; if ( ! empty( $_SERVER ) ) { //check ip from...
ซ่อนเวอร์ชั่น Server
วิธี ซ่อนเวอร์ชั่น server ที่ช่วยให้เว็บเราปลอดภัยมากขึ้น วิธีนี้เป็นวิธีง่าย ๆ ที่ช่วยเพิ่มความปลอดภัยให้เว็บเรา คงไม่ดีแน่ถ้าใครมารู้ว่าเราใช้ server อะไรอยู่ เพราะการรู้ข้อมูลพวกนี้ สามารถส่งผลให้ผู้ไม่หวังดีนำไปค้นหาช่องโจมตีได้ง่ายขึ้น เพราะเค้ารู้แล้วว่าเราใช้ server อะไร เวอร์ชั่นอะไร มาดูวิธีกันป้องกัน ง่าย ๆ ตรวจสอบก่อนว่า server เราแสดงข้อมูลเหล่านี้ไหม เปิดเว็บของเราขึ้นมาโดยใส่ url ตามนี้ เปลี่ยนเป็นชื่อเว็บเราเองนะครับ yourdomain.com/.htaccess ภาพด้านล่างนี้คือก่อนที่เราจะซ่อนเวอร์ชั่น webserver ครับ แสดงข้อมูลออกมาหมดเลย เราต้องรีบไปซ่อนกันแล้ว เพิ่มโค๊ดชุดนี้เข้าไปที่ไฟล์ .htaccess #Disable server signature ServerSignature Off เรียบร้อยครับไม่แสดงข้อมูลอะไรออกมาแล้ว แค่นี้ก็ช่วยให้เว็บเราปลอดภัยขึ้นแล้วครับ จบแล้ว หากอ่านแล้วชอบบทความจาก CodingDee ก็ฝาก กดไลค์เพจ ด้วยนะครับ จะได้ไม่พลาดข่าวสารเทคนิคดี ๆ จากเรา หรือติดปัญหาตรงไหนก็คอมเมนต์ไว้ด้านล่างนี้ได้ ไว้พบกันบทความต่อไปครับ

Google Tag Manager

ecommerce tracking

Ecommerce Tracking For Woocommerce

Ecommerce Tracking สร้างได้ใน 7 ขั้นตอน ช่วยให้เราวัดผล Conversion บนเว็บไซต์ได้ง่ายขึ้น เหมาะสำหรับทีม Marketing เพื่อวิเคราะห์ข้อมูลการสั่งซื้อสินค้า..  Ecommerce Tracking สำหรับใครที่ยังไม่รู้ว่า E-commerce Tracking คืออะไร แล้วทำไปทำไม ผมจะอธิบายให้เข้าใจในเบื้องต้นก่อนนะครับ E-commerce Tracking ก็คือการติดตามพฤติกรรมการซื้อของลูกค้าที่เข้ามาซื้อสินค้าภายในเว็บไซต์ของเรา ว่าเค้ามีพฤติกรรมการใช้งานอย่างไรบ้างเช่น ลูกค้าเข้าเว็บเรามาจากช่องทางไหน อาจจะมาจาก Facebook หรือมาจาก...

เราใช้คุกกี้เพื่อพัฒนาประสิทธิภาพ และประสบการณ์ที่ดีในการใช้เว็บไซต์ของคุณ คุณสามารถศึกษารายละเอียดได้ที่ นโยบายความเป็นส่วนตัว และสามารถจัดการความเป็นส่วนตัวเองได้ของคุณได้เองโดยคลิกที่ ตั้งค่า

ตั้งค่าความเป็นส่วนตัว

คุณสามารถเลือกการตั้งค่าคุกกี้โดยเปิด/ปิด คุกกี้ในแต่ละประเภทได้ตามความต้องการ ยกเว้น คุกกี้ที่จำเป็น

ยอมรับทั้งหมด
จัดการความเป็นส่วนตัว
  • คุกกี้ที่จำเป็น
    เปิดใช้งานตลอด

    ประเภทของคุกกี้มีความจำเป็นสำหรับการทำงานของเว็บไซต์ เพื่อให้คุณสามารถใช้ได้อย่างเป็นปกติ และเข้าชมเว็บไซต์ คุณไม่สามารถปิดการทำงานของคุกกี้นี้ในระบบเว็บไซต์ของเราได้

  • คุกกี้เพื่อการวิเคราะห์

    คุกกี้ประเภทนี้จะทำการเก็บข้อมูลการใช้งานเว็บไซต์ของคุณ เพื่อเป็นประโยชน์ในการวัดผล ปรับปรุง และพัฒนาประสบการณ์ที่ดีในการใช้งานเว็บไซต์ ถ้าหากท่านไม่ยินยอมให้เราใช้คุกกี้นี้ เราจะไม่สามารถวัดผล ปรังปรุงและพัฒนาเว็บไซต์ได้

บันทึกการตั้งค่า