วิธีคืนค่าเว็บไซต์ Joomla จากแบ็กอัปหลังถูกแฮ็ก

ก่อนคืนค่าเว็บไซต์ Joomla ให้หาแบ็กอัปที่คาดว่าสร้างก่อนเกิดการบุกรุกและตรวจสอบว่าไม่ติดไฟล์อันตราย เพราะการกู้คืนจากชุดสำรองที่ติดมัลแวร์อาจทำให้เว็บไซต์ถูกแฮ็กซ้ำได้ ควรเก็บสำเนาเว็บที่มีปัญหาและ Log ไว้ก่อนเริ่มกู้คืน

❶ เตรียมก่อนคืนค่าเว็บไซต์

① จำกัดการเข้าถึงและแจ้งโฮสติ้ง

แจ้งผู้ให้บริการโฮสติ้งว่าเว็บไซต์อาจถูกเจาะ ขอให้ช่วยจำกัดการเข้าถึงชั่วคราวและตรวจ Log หรือสำเนาสำรองที่มีอยู่ หากยังมีหน้าเว็บแสดงเนื้อหาอันตราย ให้ทำตามแนวทางปิดเว็บชั่วคราวของโฮสติ้ง

② เก็บสำเนาเว็บไซต์ปัจจุบันและ Log

ก่อนเขียนทับไฟล์ ให้สำรองไฟล์และฐานข้อมูลของเว็บไซต์ในสภาพที่พบปัญหา รวมถึงเก็บ Error Log และ Access Log ไว้ตรวจสอบ อย่าลบหลักฐานหรือแก้ไฟล์จำนวนมากก่อนบันทึกข้อมูล

③ เลือกแบ็กอัปที่น่าเชื่อถือ

เลือกชุดสำรองที่สร้างก่อนช่วงเวลาที่คาดว่าเว็บไซต์ถูกเจาะ ตรวจว่าสำรองทั้งไฟล์และฐานข้อมูล และพิจารณาว่ามีไฟล์หรือบัญชีแปลกปลอมอยู่ก่อนวันสำรองหรือไม่ ComSiam แนะนำให้ให้ผู้ดูแลหรือโฮสติ้งช่วยประเมิน หากไม่ทราบวันเริ่มต้นของการโจมตี

❷ คืนค่าไฟล์และฐานข้อมูลอย่างเป็นระบบ

① เตรียมพื้นที่สะอาดสำหรับกู้คืน

หากทำได้ ให้กู้คืนในพื้นที่ทดสอบหรือโฟลเดอร์ใหม่ก่อนตรวจ แล้วค่อยนำกลับไปใช้งานจริง หลีกเลี่ยงการแตกไฟล์ทับเว็บไซต์ที่อาจยังมี Backdoor หรือไฟล์อันตรายหลงเหลืออยู่

② กู้คืนไฟล์และฐานข้อมูลจากช่วงเวลาเดียวกัน

ใช้ไฟล์เว็บไซต์และฐานข้อมูลจากชุดสำรองเดียวกันหรือช่วงเวลาใกล้เคียง แล้วทำตามขั้นตอนของโฮสติ้งหรือเครื่องมือสำรองที่ใช้ หากเป็นการย้ายไปยังพื้นที่ใหม่ ให้ตรวจค่าเชื่อมต่อฐานข้อมูลและเส้นทางใน configuration.php ก่อนเปิดเว็บ

③ หากไม่มีแบ็กอัปที่มั่นใจว่าสะอาด

อย่าคืนค่าทั้งชุดโดยไม่ตรวจ ให้พิจารณาติดตั้ง Joomla และส่วนเสริมจากแพ็กเกจต้นฉบับที่สะอาด แล้วนำเนื้อหาและไฟล์ที่ตรวจสอบแล้วกลับมา หากไม่แน่ใจว่าไฟล์ใดปลอดภัย ให้ขอผู้เชี่ยวชาญตรวจสอบ

❸ ปิดช่องทางเดิมก่อนเปิดเว็บกลับ

① เปลี่ยนรหัสผ่านและตรวจบัญชีผู้ใช้

เปลี่ยนรหัสผ่านบัญชี Joomla, โฮสติ้ง, FTP หรือ SFTP, ฐานข้อมูล และอีเมลผู้ดูแล ตรวจบัญชีผู้ใช้และกลุ่ม Super Users ว่ามีรายการไม่รู้จักหรือไม่ เปิดการยืนยันตัวตนหลายขั้นตอนให้บัญชีสำคัญ

② อัปเดต Joomla และส่วนเสริม

ติดตั้งรุ่นที่ได้รับการดูแลและอัปเดตช่องโหว่ของ Joomla, PHP และส่วนเสริม ถอนส่วนเสริมที่ไม่ได้ใช้หรือไม่มีการสนับสนุน แล้วตรวจว่าช่องทางที่ถูกใช้โจมตีได้รับการแก้ไขแล้ว

③ ตรวจไฟล์และ Log หลังคืนค่า

สแกนไฟล์ ตรวจไฟล์ที่เพิ่งเพิ่มหรือเปลี่ยนแปลง และตรวจ Log หาสัญญาณการเข้าถึงผิดปกติ ตรวจตามกำหนดการสำรอง งาน Cron และไฟล์ในโฟลเดอร์อัปโหลด เพื่อหาสิ่งที่อาจทำให้เว็บติดเชื้อซ้ำ

❹ ทดสอบและเฝ้าระวังหลังนำเว็บกลับมา

① ทดสอบฟังก์ชันสำคัญ

ตรวจหน้าแรก บทความ แบบฟอร์ม การเข้าสู่ระบบ และหน้าผู้ดูแล ทดสอบทั้งบนคอมพิวเตอร์และมือถือ และดูว่าหน้าเว็บไม่มีโฆษณาหรือการเปลี่ยนเส้นทางแปลกปลอม

② สร้างแบ็กอัปชุดใหม่หลังยืนยันว่าปลอดภัย

เมื่อเว็บไซต์ทำงานปกติและผ่านการตรวจแล้ว ให้สร้างแบ็กอัปใหม่ เก็บไว้นอกเซิร์ฟเวอร์หรือในพื้นที่ที่จำกัดการเข้าถึง และทดสอบว่าสามารถกู้คืนได้จริง

③ เฝ้าดูการแจ้งเตือนต่อเนื่อง

ตรวจ Log การเข้าสู่ระบบ การเปลี่ยนแปลงไฟล์ และการแจ้งเตือนจากโฮสติ้งอย่างใกล้ชิดในช่วงหลังคืนค่า หากพบอาการเดิม ให้จำกัดการเข้าถึงและตรวจหาสาเหตุเพิ่มเติมก่อนกู้ซ้ำ ComSiam แนะนำให้บันทึกขั้นตอนและเวลาที่ดำเนินการไว้ เพื่อช่วยป้องกันเหตุการณ์ซ้ำ