วิธีป้องกันการอัปโหลดไฟล์อันตรายผ่าน WordPress

การอัปโหลดไฟล์ช่วยให้เพิ่มรูปภาพ เอกสาร และสื่ออื่นลงเว็บไซต์ได้สะดวก แต่หากเปิดให้ผู้ใช้ทั่วไปส่งไฟล์ หรือใช้ปลั๊กอินอัปโหลดที่ตั้งค่าไม่รัดกุม อาจมีการส่งไฟล์ที่มีโค้ดอันตรายเข้ามาได้ การป้องกันจึงควรเริ่มจากจำกัดผู้ที่อัปโหลดได้ ควบคุมชนิดไฟล์ และตรวจสอบการตั้งค่าของเว็บไซต์กับโฮสติ้ง

❶ จำกัดสิทธิ์ผู้ที่อัปโหลดไฟล์ได้

ให้สิทธิ์อัปโหลดเฉพาะบัญชีที่จำเป็น และกำหนดบทบาทผู้ใช้ให้เหมาะกับงาน อย่าให้สิทธิ์ผู้ดูแลระบบแก่ผู้ที่ต้องการเพียงส่งรูปหรือเอกสาร เพราะสิทธิ์สูงเกินความจำเป็นอาจเพิ่มความเสียหายหากบัญชีถูกยึด

① ตรวจบทบาทผู้ใช้เป็นระยะ

เข้าเมนู ผู้ใช้ > ผู้ใช้ทั้งหมด เพื่อตรวจว่าบัญชีที่เข้าถึงเว็บไซต์เป็นคนที่ได้รับอนุญาต และมีบทบาทเหมาะสม หากพนักงานหรือผู้รับจ้างหยุดดูแลเว็บไซต์แล้ว ให้ยกเลิกสิทธิ์ที่ไม่จำเป็น

② ควบคุมแบบฟอร์มอัปโหลดจากหน้าเว็บไซต์

หากมีแบบฟอร์มให้ผู้เข้าชมส่งไฟล์ ควรเปิดใช้เฉพาะเมื่อจำเป็น และจำกัดให้ผู้ใช้ที่ผ่านการยืนยันตัวตนส่งไฟล์ได้ตามความเหมาะสม ตรวจการตั้งค่าของปลั๊กอินว่ารองรับการจำกัดชนิดไฟล์ ขนาดไฟล์ และจำนวนการส่งหรือไม่

❷ อนุญาตเฉพาะชนิดไฟล์ที่จำเป็น

กำหนดรายการชนิดไฟล์ที่เว็บไซต์ต้องใช้จริง เช่น รูปภาพหรือเอกสารบางประเภท แล้วปิดชนิดไฟล์ที่ไม่จำเป็น การตรวจเฉพาะนามสกุลไฟล์อาจไม่เพียงพอ เพราะชื่อไฟล์หรือข้อมูลประเภทไฟล์อาจถูกปลอมแปลงได้

① ตรวจการตั้งค่าปลั๊กอินอัปโหลด

อ่านตัวเลือกการอนุญาตชนิดไฟล์ของปลั๊กอิน และตั้งให้รับเฉพาะรายการที่ต้องใช้ ปิดการอัปโหลดไฟล์ที่สามารถทำงานเป็นโปรแกรมหรือสคริปต์ หากไม่แน่ใจว่าชนิดไฟล์ใดปลอดภัย ให้สอบถามผู้พัฒนาปลั๊กอินหรือโฮสติ้งก่อนเปิดใช้

② ระมัดระวังไฟล์บีบอัดและไฟล์ที่เปิดใช้งานได้

ไฟล์บีบอัดอาจบรรจุไฟล์หลายชนิดไว้ภายใน ส่วนไฟล์ที่เปิดหรือทำงานได้อาจเป็นอันตรายหากนำไปใช้บนเซิร์ฟเวอร์ อย่าเปิดรับไฟล์เหล่านี้จากผู้ใช้ทั่วไปโดยไม่มีเหตุจำเป็นและกระบวนการตรวจสอบ

❸ ตั้งค่าปลั๊กอินและเว็บไซต์ให้ปลอดภัย

ใช้ปลั๊กอินอัปโหลดจากผู้พัฒนาที่น่าเชื่อถือ อัปเดตสม่ำเสมอ และลบปลั๊กอินที่ไม่ใช้งานออก ปลั๊กอินที่ล้าสมัยหรือมีช่องโหว่อาจเปิดทางให้ส่งไฟล์อันตรายหรือเข้าถึงเว็บไซต์โดยไม่ได้รับอนุญาต

① ตรวจการทำงานของแบบฟอร์ม

ทดสอบด้วยไฟล์ชนิดที่อนุญาตและชนิดที่ไม่อนุญาต ตรวจว่าระบบปฏิเสธไฟล์ที่ไม่ตรงเงื่อนไขจริง รวมถึงแจ้งข้อผิดพลาดให้ผู้ใช้เข้าใจ โดยไม่เปิดเผยข้อมูลภายในของเซิร์ฟเวอร์

② จำกัดขนาดและจำนวนไฟล์

ตั้งขนาดไฟล์สูงสุดให้สอดคล้องกับการใช้งาน และจำกัดจำนวนการส่งในช่วงเวลาที่เหมาะสม วิธีนี้ช่วยลดไฟล์ขนาดใหญ่ที่ไม่จำเป็นและลดภาระต่อพื้นที่จัดเก็บกับระบบเว็บไซต์ ComSiam แนะนำให้ทดสอบข้อจำกัดหลังเปลี่ยนการตั้งค่า เพื่อให้แน่ใจว่าผู้ใช้ยังส่งไฟล์ที่จำเป็นได้

❹ ป้องกันไฟล์อัปโหลดบนโฮสติ้ง

ขอให้ผู้ให้บริการโฮสติ้งตรวจว่าพื้นที่จัดเก็บไฟล์อัปโหลดถูกตั้งค่าไม่ให้ประมวลผลไฟล์ที่ไม่ควรทำงานเป็นโปรแกรมหรือสคริปต์ หากเว็บไซต์เปิดรับไฟล์จากบุคคลทั่วไป การแยกพื้นที่จัดเก็บหรือเพิ่มการตรวจสอบฝั่งเซิร์ฟเวอร์อาจช่วยลดความเสี่ยงได้

อย่าแก้ค่าระบบหรือไฟล์ตั้งค่าเซิร์ฟเวอร์เองหากไม่เข้าใจผลกระทบ เพราะอาจทำให้เว็บไซต์หรือการอัปโหลดที่ถูกต้องใช้งานไม่ได้ ให้ขอคำแนะนำจากโฮสติ้งหรือผู้ดูแลระบบ และตรวจทดสอบหลังปรับค่า

❺ ตรวจไฟล์ที่ถูกอัปโหลดและเตรียมรับมือ

ตรวจโฟลเดอร์สื่อหรือพื้นที่อัปโหลดเป็นระยะ โดยเฉพาะเว็บไซต์ที่เปิดให้สมาชิกส่งไฟล์ หากพบไฟล์ที่ไม่รู้จัก ชื่อผิดปกติ หรือไม่ได้มาจากกระบวนการทำงานที่อนุญาต อย่าเปิดไฟล์นั้น ให้เก็บข้อมูลที่จำเป็นและขอให้โฮสติ้งหรือผู้เชี่ยวชาญช่วยตรวจ

สำรองไฟล์เว็บไซต์และฐานข้อมูลอย่างสม่ำเสมอ พร้อมเก็บสำเนาแยกจากเว็บไซต์ หากสงสัยว่ามีไฟล์อันตราย อย่าลบจำนวนมากโดยไม่ตรวจสอบ เพราะอาจกระทบการทำงานของเว็บไซต์ เมื่อจัดการเหตุการณ์แล้ว ให้เปลี่ยนรหัสผ่านที่เกี่ยวข้อง อัปเดตส่วนประกอบ และตรวจรายการผู้ใช้กับบันทึกการใช้งานอีกครั้ง ComSiam แนะนำให้ทบทวนสิทธิ์และชนิดไฟล์ที่อนุญาตทุกครั้งที่เปลี่ยนแบบฟอร์มหรือปลั๊กอินอัปโหลด