เข้าแอดมิน Joomla ไม่ได้หลังถูกโจมตี? วิธีตรวจสอบและกู้การเข้าถึง

หากเข้าแอดมิน Joomla ไม่ได้หลังพบความผิดปกติ ให้จำกัดความเสียหายและติดต่อโฮสติ้งก่อนรีเซ็ตรหัสผ่าน จากนั้นกู้บัญชีด้วยวิธีที่ตรงกับเวอร์ชัน สำรองฐานข้อมูลก่อนแก้ไข และตรวจสอบเว็บไซต์หลังกลับเข้าได้ เพราะการกู้บัญชีไม่ได้ยืนยันว่าเว็บไซต์สะอาดแล้ว

❶ จำกัดความเสียหายและเก็บข้อมูลก่อน

① ติดต่อผู้ให้บริการโฮสติ้ง

แจ้งโฮสติ้งว่าเว็บไซต์อาจถูกโจมตี ขอให้ช่วยตรวจ Log การเข้าสู่ระบบ การเปลี่ยนไฟล์ และการทำงานผิดปกติ หากเว็บไซต์กำลังสร้างความเสียหายหรือแสดงเนื้อหาอันตราย ให้สอบถามวิธีจำกัดการเข้าถึงชั่วคราว

② เก็บสำเนาไฟล์และฐานข้อมูล

ก่อนลบไฟล์หรือแก้ฐานข้อมูล ให้สำรองไฟล์เว็บไซต์และฐานข้อมูลเพื่อเก็บหลักฐานและใช้กู้คืน หลีกเลี่ยงการคืนค่าจากแบ็กอัปทันทีโดยไม่ตรวจสอบ เพราะข้อมูลสำรองอาจมีไฟล์หรือบัญชีที่ถูกแทรกไว้แล้ว

③ ตรวจว่าเข้าไม่ได้เพราะสาเหตุใด

ตรวจว่าได้รับข้อความรหัสผ่านผิด บัญชีถูกปิด หน้าเข้าสู่ระบบมีปัญหา หรือเว็บไซต์เกิด Error หากยังเปิดหน้าเว็บได้ ให้ตรวจอีเมลแจ้งเตือนและรายการผู้ใช้ที่เปลี่ยนแปลงล่าสุด ComSiam แนะนำให้จดเวลาและข้อความผิดพลาดไว้ก่อนเริ่มแก้ไข

❷ กู้การเข้าถึงบัญชีผู้ดูแล

① ทดลองใช้ช่องทางรีเซ็ตรหัสผ่านตามปกติ

หากบัญชีและอีเมลยังอยู่ในการควบคุม ให้ใช้ขั้นตอนลืมรหัสผ่านของ Joomla แล้วตรวจกล่องจดหมายและโฟลเดอร์สแปม อย่ากดลิงก์รีเซ็ตที่ไม่แน่ใจว่าเป็นของเว็บไซต์

② ใช้ phpMyAdmin เมื่อเข้าแอดมินไม่ได้จริง

หากรีเซ็ตตามปกติไม่ได้และมีสิทธิ์เข้าถึงฐานข้อมูล ให้สำรองฐานข้อมูลก่อน แล้วทำตามขั้นตอนกู้รหัสผ่านจากเอกสารที่ตรงกับ Joomla เวอร์ชันและโครงสร้างฐานข้อมูลของเว็บไซต์ หากไม่คุ้นเคยกับ phpMyAdmin ให้ขอให้โฮสติ้งหรือผู้ดูแลระบบดำเนินการ

③ ระวังการสร้างบัญชีหรือแก้ฐานข้อมูลด้วยตนเอง

การแก้ตารางผู้ใช้และกลุ่มสิทธิ์ผิดอาจทำให้เข้าเว็บไซต์ไม่ได้หรือเพิ่มบัญชีที่มีสิทธิ์สูงโดยไม่ตั้งใจ ตรวจคำนำหน้าตารางและข้อมูลบัญชีก่อนทุกครั้ง และอย่าใช้รหัสผ่านตัวอย่างจากคู่มือค้างไว้หลังเข้าสู่ระบบได้

❸ หลังกลับเข้าได้ ให้ตรวจบัญชีและเปลี่ยนรหัสผ่าน

① ตรวจบัญชีผู้ดูแลทั้งหมด

ไปที่ Users → Manage แล้วตรวจชื่อ อีเมล สถานะ และกลุ่มสิทธิ์ของผู้ใช้ โดยเฉพาะบัญชี Super Users ที่ไม่รู้จัก ปิดบัญชีที่น่าสงสัยหลังเก็บข้อมูลและตรวจสอบหลักฐานแล้ว

② เปลี่ยนรหัสผ่านที่เกี่ยวข้อง

เปลี่ยนรหัสผ่าน Joomla, อีเมลผู้ดูแล, บัญชีโฮสติ้ง, FTP หรือ SFTP และฐานข้อมูล หากมีโอกาสที่ข้อมูลเหล่านี้รั่วไหล ใช้รหัสผ่านใหม่ที่ไม่ซ้ำกัน และเปิด Multi-factor Authentication ให้บัญชีสำคัญ

③ อัปเดตและตรวจไฟล์เว็บไซต์

ตรวจ Joomla และส่วนเสริมให้อยู่ในเวอร์ชันที่ได้รับการดูแล ตรวจไฟล์ที่ถูกแก้ไขหรือเพิ่มเข้ามา และสอบถามโฮสติ้งเกี่ยวกับการสแกนมัลแวร์ อย่าลบไฟล์ระบบเพียงเพราะไม่คุ้นชื่อ ให้เทียบกับสำเนาสะอาดหรือขอผู้เชี่ยวชาญช่วยตรวจ

❹ ยืนยันว่าเว็บไซต์กลับมาปลอดภัย

① ตรวจ Log และช่องทางที่ถูกใช้โจมตี

ตรวจ Access Log, Error Log และประวัติการเข้าสู่ระบบ เพื่อหาบัญชี ไฟล์ หรือส่วนเสริมที่เกี่ยวข้องกับเหตุการณ์ หากพบช่องโหว่ ให้แก้ต้นเหตุก่อนเปิดเว็บไซต์ให้ใช้งานเต็มรูปแบบ

② ทดสอบเว็บไซต์และระบบสำรอง

ตรวจหน้าเว็บ แบบฟอร์ม การเข้าสู่ระบบ และฟังก์ชันสำคัญ หลังทำความสะอาดแล้วสร้างแบ็กอัปใหม่ และตรวจว่าสามารถนำกลับมาใช้ได้

③ ขอความช่วยเหลือเมื่อยังพบอาการเดิม

หากบัญชีถูกยึดซ้ำ มีไฟล์แปลกปลอมกลับมา หรือไม่สามารถระบุสาเหตุได้ ให้จำกัดการเข้าถึงและขอความช่วยเหลือจากโฮสติ้งหรือผู้เชี่ยวชาญด้านความปลอดภัย ComSiam แนะนำให้เก็บบันทึกสิ่งที่แก้ไขและเวลาที่ดำเนินการ เพื่อช่วยติดตามและป้องกันการเกิดซ้ำ