วิธีป้องกันการอัปโหลดไฟล์อันตรายในเว็บไซต์ Joomla

ป้องกันไฟล์อันตรายใน Joomla โดยจำกัดผู้ที่อัปโหลดได้ อนุญาตเฉพาะชนิดไฟล์ที่จำเป็น และตรวจชนิดไฟล์จากข้อมูลของไฟล์ ไม่ใช่ดูแค่นามสกุล การตั้งค่านี้สำคัญเป็นพิเศษกับเว็บไซต์ที่เปิดให้สมาชิกหรือผู้เข้าชมส่งไฟล์

❶ จำกัดผู้ที่มีสิทธิ์อัปโหลด

① ตรวจสิทธิ์ของกลุ่มผู้ใช้

ตรวจกลุ่มและสิทธิ์ของผู้ใช้ใน Joomla ให้เฉพาะผู้ที่จำเป็นต่อการทำงานอัปโหลดไฟล์ได้ หากเว็บไซต์ไม่จำเป็นต้องรับไฟล์จากผู้เข้าชม ไม่ควรเปิดฟังก์ชันอัปโหลดให้ผู้ใช้ทั่วไป

② ตรวจแบบฟอร์มและส่วนเสริมที่รับไฟล์

ไล่ตรวจแบบฟอร์ม ส่วนเสริมแกลเลอรี และระบบส่งเอกสารที่ติดตั้งไว้ ตรวจว่าแต่ละส่วนกำหนดสิทธิ์ผู้ใช้และชนิดไฟล์ที่รับไว้อย่างเหมาะสม

③ อัปเดตส่วนเสริมที่เกี่ยวข้อง

อัปเดตส่วนเสริมรับไฟล์จากแหล่งที่เชื่อถือได้ และถอดส่วนเสริมที่ไม่ได้ใช้หรือไม่มีการดูแล เพราะช่องโหว่ในส่วนเสริมอาจทำให้การตรวจไฟล์ไม่เพียงพอ

❷ จำกัดชนิดไฟล์ใน Media Manager

① เปิดตัวเลือกของ Media Manager

เข้าสู่หลังบ้านและเปิด Media จากนั้นไปที่ Options หรือหน้าตัวเลือกที่เกี่ยวข้อง ชื่อเมนูอาจต่างกันตามเวอร์ชัน Joomla

② อนุญาตเฉพาะนามสกุลที่จำเป็น

ตรวจรายการ Legal Extensions หรือรายการนามสกุลไฟล์ที่อนุญาต ลบชนิดไฟล์ที่เว็บไซต์ไม่จำเป็นต้องรับ และเพิ่มชนิดใหม่เฉพาะเมื่อทราบว่าต้องใช้กับงานใด

③ ตรวจ MIME Type

เปิดการตรวจ MIME Type หากตัวเลือกนี้มีให้ใช้ และกำหนดชนิด MIME ที่สอดคล้องกับไฟล์ที่อนุญาต การตรวจ MIME ช่วยเพิ่มการตรวจสอบ แต่ไม่ควรใช้แทนการจำกัดสิทธิ์และชนิดไฟล์

❸ ลดความเสี่ยงจากไฟล์ที่รับเข้ามา

① กำหนดขนาดไฟล์และตำแหน่งจัดเก็บ

ตั้งขนาดไฟล์สูงสุดให้เหมาะกับการใช้งาน และจัดเก็บไฟล์ในโฟลเดอร์ที่กำหนด ไม่ควรให้ผู้ใช้เลือกเส้นทางจัดเก็บไฟล์ได้เอง

② ตรวจไฟล์ที่อัปโหลดจากแบบฟอร์ม

หากเว็บไซต์รับไฟล์ผ่านส่วนเสริมหรือแบบฟอร์ม ตรวจว่ามีการตรวจสอบไฟล์ฝั่งเซิร์ฟเวอร์ก่อนบันทึก ไม่ควรพึ่งการจำกัดชนิดไฟล์ที่ทำงานเฉพาะในเบราว์เซอร์

③ ป้องกันการเรียกใช้สคริปต์ในโฟลเดอร์อัปโหลด

สอบถามผู้ให้บริการโฮสติ้งว่าป้องกันการเรียกใช้สคริปต์ในโฟลเดอร์อัปโหลดได้อย่างไร การตั้งค่าต้องตรงกับระบบเซิร์ฟเวอร์และรูปแบบการใช้งานของเว็บไซต์

❹ ตรวจสอบไฟล์และการตั้งค่าเป็นประจำ

① ทดลองอัปโหลดเฉพาะไฟล์ที่อนุญาต

ทดสอบด้วยไฟล์ตัวอย่างที่จำเป็นต่อเว็บไซต์ แล้วตรวจว่าไฟล์ชนิดที่ไม่อนุญาตถูกปฏิเสธ อย่าทดลองด้วยไฟล์อันตรายจริงบนเว็บไซต์ที่เปิดใช้งาน

② ตรวจไฟล์ที่ไม่คุ้นเคย

ตรวจโฟลเดอร์อัปโหลดเป็นระยะ หากพบไฟล์ที่ไม่รู้จักหรือไม่ได้รับอนุญาต ให้จำกัดการเข้าถึงและตรวจสอบกับผู้ดูแลหรือโฮสติ้งก่อนเปิดไฟล์

③ ทบทวนหลังติดตั้งหรืออัปเดตส่วนเสริม

หลังเพิ่มหรืออัปเดตส่วนเสริมที่รับไฟล์ ให้ตรวจสิทธิ์และค่าการอัปโหลดอีกครั้ง รวมถึงทดสอบว่าเว็บไซต์ยังรับเฉพาะไฟล์ตามที่กำหนด

ComSiam แนะนำให้เริ่มจากปิดการอัปโหลดที่ไม่จำเป็น จำกัดนามสกุลและ MIME Type แล้วตรวจสิทธิ์ของผู้ใช้ที่ส่งไฟล์ได้

หากเว็บไซต์ต้องรับไฟล์จากสมาชิกหรือผู้เข้าชม ควรตรวจการทำงานของส่วนเสริมและการตั้งค่าโฮสติ้งร่วมด้วย ComSiam แนะนำให้ทบทวนรายการไฟล์ที่อนุญาตเมื่อเปลี่ยนรูปแบบการใช้งานเว็บไซต์