วิธีป้องกัน Cross-Site Scripting ใน WordPress

Cross-Site Scripting (XSS) คือช่องโหว่ที่ทำให้ผู้โจมตีแทรกสคริปต์ลงในหน้าเว็บ เมื่อผู้เข้าชมเปิดหน้านั้น สคริปต์อาจทำงานในเบราว์เซอร์ของผู้ใช้และนำไปสู่การขโมยข้อมูลหรือการกระทำที่ไม่พึงประสงค์ได้

เจ้าของเว็บไซต์ป้องกันได้ด้วยการดูแล WordPress ธีม และปลั๊กอินให้ปลอดภัย ส่วนผู้พัฒนาต้องตรวจสอบข้อมูลที่รับเข้ามาและจัดการข้อมูลก่อนนำไปแสดงผลอย่างเหมาะสม

❶ อัปเดต WordPress ธีม และปลั๊กอิน

อัปเดต WordPress ธีม และปลั๊กอินให้เป็นรุ่นที่ได้รับการดูแลอยู่เสมอ เพราะช่องโหว่ที่พบในส่วนเสริมอาจถูกนำไปใช้โจมตีเว็บไซต์ได้

ก่อนติดตั้งปลั๊กอินหรือธีม ให้ตรวจชื่อผู้พัฒนา ประวัติการอัปเดต ความเข้ากันได้ และแหล่งที่มา หลีกเลี่ยงไฟล์ที่ถูกดัดแปลงหรือดาวน์โหลดจากเว็บไซต์ที่ไม่น่าเชื่อถือ และลบส่วนเสริมที่ไม่จำเป็นออก

❷ ตรวจแบบฟอร์มและเนื้อหาที่ผู้ใช้ส่งเข้ามา

ช่องแสดงความคิดเห็น แบบฟอร์มติดต่อ ระบบสมาชิก และพื้นที่ให้ผู้ใช้เพิ่มเนื้อหา เป็นจุดที่เว็บไซต์รับข้อมูลจากภายนอก ตรวจว่าปลั๊กอินที่ใช้อยู่ยังได้รับการอัปเดตและมีการจัดการข้อมูลที่ผู้ใช้ส่งมาอย่างปลอดภัย

หากเปิดให้สมาชิกโพสต์หรือใส่เนื้อหา HTML ควรกำหนดสิทธิ์ให้เหมาะสมและจำกัดชนิดเนื้อหาที่อนุญาต อย่าให้สิทธิ์ผู้ใช้ทั่วไปเพิ่มสคริปต์หรือโค้ดที่ทำงานบนหน้าเว็บได้

❸ แนวทางสำหรับผู้พัฒนาธีมหรือปลั๊กอิน

ผู้พัฒนาควรตรวจสอบและกำหนดรูปแบบข้อมูลตั้งแต่รับเข้าระบบ แล้วเข้ารหัสข้อมูลให้เหมาะกับตำแหน่งที่จะนำไปแสดง เช่น ข้อความใน HTML ที่อยู่ในแอตทริบิวต์ หรือ URL การแสดงผลแต่ละบริบทต้องใช้วิธีจัดการที่ตรงกัน

① ตรวจสอบและทำความสะอาดข้อมูลก่อนใช้

อย่าเชื่อถือข้อมูลจากแบบฟอร์ม URL คำขอจากผู้ใช้ หรือบริการภายนอก ควรตรวจว่าข้อมูลตรงตามรูปแบบที่ระบบต้องการ และใช้ฟังก์ชันของ WordPress เมื่อมีเครื่องมือที่เหมาะสม

② จัดการข้อมูลก่อนแสดงผลทุกครั้ง

ก่อนแสดงข้อมูลที่มาจากผู้ใช้หรือแหล่งที่ไม่น่าเชื่อถือ ให้เข้ารหัสข้อมูลตามบริบท ณ จุดที่นำไปแสดงผล การทำความสะอาดข้อมูลตอนบันทึกอย่างเดียวอาจไม่เพียงพอ เพราะข้อมูลสามารถเปลี่ยนแปลงหรือถูกนำไปแสดงในบริบทอื่นภายหลังได้

③ ตรวจสิทธิ์การทำรายการ

หากปลั๊กอินเปิดให้ผู้ใช้บันทึกหรือเปลี่ยนข้อมูล ควรตรวจสิทธิ์ของบัญชีก่อนทำรายการ และใช้กลไกป้องกันคำขอที่ไม่พึงประสงค์ตามแนวทาง WordPress การตรวจสิทธิ์และโทเคนความปลอดภัยช่วยป้องกันปัญหาคนละประเภทกับ XSS จึงควรใช้ควบคู่กัน

❹ ใช้ WAF และปลั๊กอินความปลอดภัยเป็นชั้นเสริม

WAF หรือปลั๊กอินความปลอดภัยอาจช่วยกรองคำขอที่น่าสงสัยและแจ้งเตือนพฤติกรรมผิดปกติ แต่ไม่สามารถแก้โค้ดที่มีช่องโหว่ได้โดยตรง จึงควรใช้ควบคู่กับการอัปเดตและการแก้ไขส่วนที่รับหรือแสดงข้อมูลไม่ปลอดภัย

ComSiam แนะนำให้ตรวจบันทึกการแจ้งเตือนหลังอัปเดตปลั๊กอินหรือเปลี่ยนแบบฟอร์ม และทดสอบหน้าเว็บที่รับข้อมูลจากผู้ใช้ว่าทำงานปกติ

❺ ตรวจเว็บไซต์เมื่อพบเนื้อหาหรือพฤติกรรมแปลก

หากพบข้อความหรือหน้าต่างแปลกบนเว็บไซต์ ผู้ใช้ถูกเปลี่ยนเส้นทาง หรือมีบัญชีและเนื้อหาที่ไม่ได้สร้างเอง ให้เก็บภาพหน้าจอและเวลาที่พบ ตรวจปลั๊กอิน ธีม และบัญชีผู้ใช้ แล้วติดต่อผู้ดูแลระบบหรือโฮสติ้งหากไม่แน่ใจ

ก่อนแก้ไขไฟล์หรือฐานข้อมูล ให้สำรองข้อมูลไว้ก่อน หากยืนยันว่ามีการแทรกสคริปต์ อย่าลบเพียงข้อความที่มองเห็นโดยไม่ตรวจหาสาเหตุ เพราะโค้ดอาจยังอยู่ในส่วนอื่นของเว็บไซต์

❻ เช็กลิสต์ป้องกัน XSS บน WordPress

• อัปเดต WordPress ธีม และปลั๊กอิน
• ใช้ส่วนเสริมจากแหล่งที่เชื่อถือได้
• ลบปลั๊กอินและธีมที่ไม่ได้ใช้งาน
• ตรวจแบบฟอร์มและเนื้อหาที่ผู้ใช้ส่งเข้ามา
• จำกัดสิทธิ์การเพิ่มโค้ดหรือ HTML ให้ผู้ใช้ทั่วไป
• ให้ผู้พัฒนาตรวจข้อมูลก่อนบันทึกและก่อนแสดงผล
• ใช้ WAF เป็นชั้นเสริม ไม่ใช่สิ่งทดแทนการแก้ช่องโหว่
• สำรองข้อมูลก่อนแก้ไขเว็บไซต์

การป้องกัน XSS ต้องดูทั้งส่วนเสริมที่ติดตั้งและวิธีจัดการข้อมูลบนเว็บไซต์ สำหรับเว็บไซต์ของ ComSiam ควรตรวจเป็นพิเศษในส่วนความคิดเห็น แบบฟอร์ม และพื้นที่สมาชิกที่รับข้อมูลจากผู้ใช้