วิธีตรวจสอบไฟล์ Joomla ที่ถูกแก้ไขหรือเพิ่มเข้ามาโดยไม่ได้รับอนุญาต

ตรวจไฟล์ Joomla ที่ถูกแก้ไขหรือเพิ่มเข้ามาโดยไม่ได้รับอนุญาต โดยทำรายการไฟล์ที่เปลี่ยนแปลง เปรียบเทียบกับไฟล์ต้นฉบับ และตรวจ Log ในช่วงเวลาเดียวกัน วันที่แก้ไขเป็นเพียงเบาะแส เพราะการอัปเดตเว็บไซต์ตามปกติก็ทำให้ไฟล์เปลี่ยนได้ และผู้โจมตีอาจแก้วันที่ไฟล์ได้

❶ เก็บข้อมูลก่อนตรวจหรือแก้ไฟล์

① บันทึกอาการและเวลาที่พบ

จดเวลา URL ที่มีปัญหา ข้อความแจ้งเตือน และการเปลี่ยนแปลงล่าสุด เช่น การอัปเดตหรือติดตั้งส่วนเสริม ข้อมูลนี้ช่วยจำกัดช่วงเวลาที่ต้องค้นหา

② เก็บสำเนาไฟล์และ Log

ก่อนลบหรือเขียนทับไฟล์ ให้ดาวน์โหลดสำเนาเว็บไซต์และ Log จากโฮสติ้งเก็บไว้ในพื้นที่ที่ไม่เปิดสาธารณะ สำเนานี้ใช้ตรวจสอบเหตุการณ์ ไม่ควรนำกลับไปใช้งานเป็นเว็บไซต์สะอาดโดยไม่ตรวจสอบ

③ ประสานโฮสติ้งเมื่อสงสัยว่าถูกเจาะ

ขอให้ผู้ให้บริการช่วยสร้างรายการไฟล์ที่เพิ่งเปลี่ยน และดึง Access Log กับ Error Log ที่เกี่ยวข้อง หากไม่มีสิทธิ์เข้าถึงเครื่องมือระดับเซิร์ฟเวอร์

❷ ทำรายการไฟล์ที่เปลี่ยนแปลง

① ตรวจวันที่และตำแหน่งไฟล์

ใช้ File Manager ของโฮสติ้งหรือเครื่องมือตรวจไฟล์เพื่อดูว่าไฟล์ใดถูกเพิ่มหรือแก้ไขในช่วงเวลาที่ผิดปกติ ให้ความสำคัญกับไฟล์ในโฟลเดอร์ Joomla เทมเพลต ส่วนเสริม และตำแหน่งที่เว็บไซต์รับไฟล์อัปโหลด

② ตรวจชื่อและตำแหน่งไฟล์ที่ไม่คุ้นเคย

มองหาไฟล์ที่ไม่มีผู้รับผิดชอบอธิบายได้ โดยเฉพาะไฟล์ใหม่ในตำแหน่งที่ปกติไม่มีไฟล์ลักษณะนั้น อย่าลบจากชื่อไฟล์อย่างเดียว ให้ตรวจเนื้อหาและหน้าที่ก่อน

③ เปรียบเทียบรายการกับ Log

เทียบวันเวลาที่ไฟล์เปลี่ยนกับคำขอใน Server Log หรือเหตุการณ์ใน Joomla Log หากพบการเรียกไฟล์ที่ไม่รู้จักในช่วงเวลาใกล้กัน ให้เก็บข้อมูลนั้นไว้ตรวจสอบเพิ่มเติม

❸ เปรียบเทียบไฟล์กับต้นฉบับที่เชื่อถือได้

① ตรวจไฟล์ Joomla Core

ดาวน์โหลดแพ็กเกจสะอาดของ Joomla รุ่นเดียวกับที่ติดตั้ง แล้วเปรียบเทียบไฟล์ระบบตามวิธีที่ผู้ดูแลหรือโฮสติ้งรองรับ หากพบความแตกต่าง ให้ตรวจว่าเกิดจากการอัปเดต การปรับแต่ง หรือไฟล์ที่ไม่ได้รับอนุญาต

② ตรวจส่วนเสริมและเทมเพลต

เปรียบเทียบไฟล์กับแพ็กเกจจากผู้พัฒนา ตรวจเวอร์ชันและประกาศช่องโหว่ หากไม่แน่ใจว่าไฟล์ถูกแก้เพื่อปรับแต่งหรือเป็นอันตราย ให้สอบถามผู้พัฒนาหรือผู้เชี่ยวชาญก่อนเขียนทับ

③ ตรวจฐานข้อมูลและบัญชีผู้ดูแลควบคู่กัน

โค้ดหรือโฆษณาอาจถูกแทรกในบทความ โมดูล หรือการตั้งค่าในฐานข้อมูล ไม่ได้อยู่ในไฟล์อย่างเดียว ตรวจเนื้อหาที่เปลี่ยนและบัญชีผู้ดูแลที่ไม่รู้จักร่วมด้วย

❹ จัดการไฟล์ที่ยืนยันว่าผิดปกติ

① อย่าลบไฟล์ก่อนเก็บหลักฐาน

หากยืนยันว่าไฟล์ไม่ควรอยู่ในเว็บไซต์ ให้เก็บสำเนาและบันทึกตำแหน่งไว้ก่อน จากนั้นให้โฮสติ้งหรือผู้เชี่ยวชาญช่วยลบหรือแทนด้วยไฟล์สะอาด

② ใช้ไฟล์ต้นฉบับแทนการแก้แบบคาดเดา

ไฟล์ Core ส่วนเสริม และเทมเพลตที่ถูกแก้ควรเปรียบเทียบกับแพ็กเกจสะอาดจากแหล่งที่เชื่อถือได้ อย่าลบโค้ดหรือไฟล์ที่ไม่เข้าใจ เพราะอาจทำให้ระบบเสียหายหรือเหลือช่องทางแอบแฝง

③ ตรวจซ้ำหลังทำความสะอาด

ตรวจ Log และไฟล์ที่เปลี่ยนแปลงซ้ำหลังแก้ไข หากไฟล์เดิมกลับมาอีก อาจยังมีบัญชี งานตามเวลา หรือช่องโหว่ที่ทำให้แทรกไฟล์ซ้ำ

ComSiam แนะนำให้ใช้วันที่แก้ไขร่วมกับ Log และการเปรียบเทียบไฟล์ ไม่ควรสรุปว่าไฟล์เป็นอันตรายจากเวลาแก้ไขหรือชื่อไฟล์เพียงอย่างเดียว

หากพบไฟล์ผิดปกติหลายจุด ให้โฮสติ้งหรือผู้เชี่ยวชาญตรวจทั้งไฟล์และฐานข้อมูล ComSiam แนะนำให้เก็บหลักฐานก่อนลบ เพื่อช่วยระบุช่องทางที่ใช้เข้าถึงเว็บไซต์