คู่มือนี้มีไว้สำหรับการแฮ็กประเภทที่สร้างข้อความภาษาญี่ปุ่นที่สร้างขึ้นโดยอัตโนมัติในเว็บไซต์ของคุณ ซึ่งเราเรียกว่าการแฮ็กด้วยคีย์เวิร์ดภาษาญี่ปุ่น คู่มือนี้ออกแบบมาสำหรับผู้ใช้ระบบจัดการเนื้อหา (CMS) ยอดนิยม แต่คุณจะยังคงพบว่าคู่มือนี้มีประโยชน์แม้ว่าเว็บไซต์ของคุณจะไม่ได้ใช้ CMS ก็ตาม
ระบุการแฮ็กประเภทนี้
การแฮ็กด้วยคีย์เวิร์ดภาษาญี่ปุ่นมักสร้างหน้าเว็บใหม่ที่มีข้อความภาษาญี่ปุ่นที่สร้างขึ้นโดยอัตโนมัติในเว็บไซต์ของคุณเป็นชื่อไดเรกทอรีที่สร้างขึ้นมาแบบสุ่ม (เช่น http://example.com/ltjmnjp/341.html) หน้าเหล่านี้จะสร้างรายได้ด้วยการใช้ลิงก์แอฟฟิลิเอตไปยังร้านค้าที่จำหน่ายสินค้าแบรนด์เนมปลอม ซึ่งจะปรากฏใน Google Search ตัวอย่างหน้าเว็บดังกล่าวมีลักษณะดังนี้
ในการแฮ็กประเภทนี้ โดยทั่วไปแฮ็กเกอร์จะเพิ่มตนเองเป็นเจ้าของพร็อพเพอร์ตี้ใน Search Console เพื่อเพิ่มผลกำไรโดยการปรับแต่งการตั้งค่าของเว็บไซต์ เช่น การกำหนดเป้าหมายตามภูมิศาสตร์หรือ Sitemap หากคุณได้รับการแจ้งเตือนว่ามีบุคคลที่คุณไม่รู้จักได้ยืนยันเว็บไซต์ของคุณใน Google Search Console มีความเป็นไปได้อย่างมากว่าเว็บไซต์ของคุณถูกแฮ็ก
เริ่มด้วยการตรวจสอบเครื่องมือปัญหาด้านความปลอดภัยใน Search Console เพื่อดูว่า Google พบหน้าเว็บที่ถูกแฮ็กเหล่านี้ในเว็บไซต์ของคุณหรือไม่ บางครั้งคุณยังสามารถค้นพบหน้าเว็บลักษณะนี้ได้โดยเปิดหน้าต่าง Google Search แล้วพิมพ์ site:_your site url_ พร้อมกับ URL ระดับรูทของเว็บไซต์ ซึ่งจะแสดงหน้าเว็บที่ Google จัดทำดัชนีไว้สำหรับเว็บไซต์ของคุณ รวมถึงหน้าที่ถูกแฮ็ก พลิกดูผลการค้นหา 2-3 หน้าเพื่อดูว่าคุณพบ URL ที่ผิดปกติหรือไม่ หากไม่เห็นเนื้อหาที่ถูกแฮ็กใน Google Search ให้ใช้ข้อความค้นหาเดียวกันกับเครื่องมือค้นหาอื่น ตัวอย่างของลักษณะการทำงานมีดังนี้
โดยปกติแล้ว เมื่อคุณคลิกลิงก์ไปยังหน้าที่ถูกแฮ็ก ระบบจะเปลี่ยนเส้นทางคุณไปยังเว็บไซต์อื่น หรือคุณจะเห็นหน้าเว็บที่เต็มไปด้วยเนื้อหาที่อ่านไม่รู้เรื่อง อย่างไรก็ตาม คุณอาจเห็นข้อความที่ระบุว่าไม่มีหน้าเว็บดังกล่าว (เช่น ข้อผิดพลาด 404) อย่าหลงกล แฮ็กเกอร์จะพยายามหลอกให้คุณคิดว่าหน้าเว็บหายไปหรือได้รับการแก้ไขแล้ว ทั้งที่หน้าเว็บยังคงถูกแฮ็กอยู่ โดยใช้วิธีการปิดบังหน้าเว็บจริง ตรวจสอบการปิดบังหน้าเว็บจริงโดยป้อน URL ของเว็บไซต์ในเครื่องมือตรวจสอบ URL เครื่องมือนี้ช่วยให้คุณเห็นเนื้อหาที่ซ่อนอยู่เบื้องหลัง
หากพบปัญหาเหล่านี้ แสดงว่าเว็บไซต์ของคุณน่าจะได้รับผลกระทบจากการแฮ็กประเภทนี้
แก้ไขการแฮ็ก
ก่อนเริ่มต้น ให้ทำสำเนาไฟล์แบบออฟไลน์ก่อนที่จะนำออก เผื่อในกรณีที่คุณต้องการกู้คืนในภายหลัง หรือจะให้ดีกว่านั้น ให้สำรองข้อมูลทั้งเว็บไซต์ก่อนเริ่มกระบวนการล้างข้อมูล คุณทำได้โดยบันทึกไฟล์ทั้งหมดที่อยู่ในเซิร์ฟเวอร์ไปยังตำแหน่งนอกเซิร์ฟเวอร์ หรือค้นหาตัวเลือกการสำรองข้อมูลที่ดีที่สุดสำหรับระบบจัดการเนื้อหา (CMS) ที่คุณใช้ หากคุณใช้ CMS ให้สำรองข้อมูลฐานข้อมูลด้วย
นำบัญชีที่สร้างใหม่ออกจาก Search Console
หากมีการเพิ่มเจ้าของรายใหม่ที่คุณไม่รู้จักลงในบัญชี Search Console ให้เพิกถอนสิทธิ์เข้าถึงของเจ้าของรายนั้นโดยเร็วที่สุด คุณตรวจสอบได้ว่าผู้ใช้รายใดได้รับการยืนยันสำหรับเว็บไซต์ของคุณในหน้าการยืนยันของ Search Console คลิก "รายละเอียดการยืนยัน" ของเว็บไซต์เพื่อดูผู้ใช้ที่ได้รับการยืนยันทั้งหมด
หากต้องการนำเจ้าของออกจาก Search Console โปรดดูส่วน "นำเจ้าของออก" ในศูนย์ช่วยเหลือเกี่ยวกับการจัดการผู้ใช้ เจ้าของ และสิทธิ์
คุณจะต้องนำโทเค็นการยืนยันที่เชื่อมโยงออก ซึ่งโดยปกติจะเป็นไฟล์ HTML ในรูทของเว็บไซต์หรือไฟล์ .htaccess ที่สร้างขึ้นแบบไดนามิกซึ่งเลียนแบบไฟล์ HTML
หากไม่พบโทเค็นการยืนยัน HTML ในเว็บไซต์ ให้ตรวจสอบกฎการเขียนใหม่ในไฟล์ .htaccess กฎการเขียนใหม่จะมีลักษณะคล้ายกับตัวอย่างต่อไปนี้
RewriteEngine On
RewriteRule ^google(.*)\.html$ dir/file.php?google=$1 [L]
หากต้องการนำโทเค็นการยืนยันที่สร้างขึ้นแบบไดนามิกออกจากไฟล์ .htaccess ให้ทำตามขั้นตอนต่อไปนี้
ตรวจสอบไฟล์ .htaccess (2 ขั้นตอน)
นอกจากการใช้ไฟล์ .htaccess เพื่อสร้างโทเค็นการยืนยันที่สร้างขึ้นแบบไดนามิกแล้ว แฮ็กเกอร์มักใช้กฎ .htaccess เพื่อเปลี่ยนเส้นทางผู้ใช้หรือสร้างหน้าสแปมที่อ่านไม่รู้เรื่อง หากคุณไม่มีกฎ .htaccess ที่กำหนดเอง ให้พิจารณาแทนที่ .htaccess ด้วยสำเนาใหม่ทั้งหมด
ขั้นตอนที่ 1
ค้นหาไฟล์ .htaccess ในเว็บไซต์ หากไม่แน่ใจว่าจะหาไฟล์นี้ได้จากที่ใดและคุณใช้ CMS เช่น WordPress, Joomla หรือ Drupal ให้ค้นหา "ตำแหน่งไฟล์ .htaccess" ในเครื่องมือค้นหาพร้อมกับชื่อ CMS ของคุณ
คุณอาจเห็นไฟล์ .htaccess หลายไฟล์ ทั้งนี้ขึ้นอยู่กับเว็บไซต์ของคุณ
สร้างรายการตำแหน่งไฟล์ทั้งหมดของ .htaccess
ขั้นตอนที่ 2
แทนที่ไฟล์ .htaccess ทั้งหมดด้วยไฟล์ .htaccess เวอร์ชันที่ไม่มีมัลแวร์หรือเวอร์ชันเริ่มต้น โดยปกติแล้ว คุณจะค้นหาไฟล์ .htaccess เวอร์ชันเริ่มต้นได้โดยค้นหา "ไฟล์ .htaccess เริ่มต้น" และชื่อ CMS ของคุณ สำหรับเว็บไซต์ที่มีไฟล์ .htaccess หลายไฟล์ ให้ค้นหาเวอร์ชันที่ปลอดภัยของแต่ละไฟล์และแทนที่ไฟล์เหล่านั้น
หากไม่มี .htaccess เริ่มต้นและคุณไม่เคยกำหนดค่าไฟล์ .htaccess ในเว็บไซต์ ไฟล์ .htaccess ที่พบในเว็บไซต์อาจเป็นอันตราย บันทึกสำเนาของไฟล์ .htaccess แบบออฟไลน์เพื่อสำรองข้อมูลไว้ และลบไฟล์ .htaccess ออกจากเว็บไซต์
นำไฟล์และสคริปต์ที่เป็นอันตรายทั้งหมดออก (4 ขั้นตอน)
การระบุไฟล์ที่เป็นอันตรายอาจเป็นเรื่องยากและใช้เวลานาน โปรดใช้เวลาตรวจสอบไฟล์อย่างละเอียด หากยังไม่ได้สำรองข้อมูลไฟล์ในเว็บไซต์ ตอนนี้เป็นเวลาที่เหมาะสมที่จะทำ ค้นหาใน Google Search ด้วยคำว่า "สำรองข้อมูลเว็บไซต์" และชื่อ CMS เพื่อดูวิธีการสำรองข้อมูลเว็บไซต์
ขั้นตอนที่ 1
หากคุณใช้ CMS ให้ติดตั้งไฟล์หลัก (ค่าเริ่มต้น) ทั้งหมดที่มาพร้อมกับการแจกจ่ายเริ่มต้นของ CMS อีกครั้ง รวมถึงสิ่งที่คุณเพิ่มเข้าไป (เช่น ธีม โมดูล หรือปลั๊กอิน) ซึ่งจะช่วยให้มั่นใจได้ว่าไฟล์เหล่านี้ไม่มีเนื้อหาที่ถูกแฮ็ก คุณสามารถค้นหาใน Google Search ด้วยคำว่า "ติดตั้งอีกครั้ง" และชื่อ CMS เพื่อดูวิธีการติดตั้งอีกครั้ง หากคุณมีปลั๊กอิน โมดูล ส่วนขยาย หรือธีม โปรดติดตั้งสิ่งเหล่านั้นอีกครั้งด้วย
ขั้นตอนที่ 2
แฮ็กเกอร์มักจะแก้ไข Sitemap หรือเพิ่ม Sitemap ใหม่เพื่อให้ URL ของตนได้รับการจัดทำดัชนีเร็วขึ้น หากก่อนหน้านี้คุณมีไฟล์ Sitemap ให้ตรวจสอบไฟล์เพื่อหาลิงก์ที่น่าสงสัยและนำออก หากมีไฟล์ Sitemap ที่คุณจำไม่ได้ว่าเพิ่มลงในเว็บไซต์ ให้ตรวจสอบไฟล์นั้น นำไฟล์ออกหากมีเฉพาะ URL ที่เป็นสแปม
ขั้นตอนที่ 3
มองหาไฟล์ที่เป็นอันตรายหรือถูกบุกรุกอื่นๆ คุณอาจนำไฟล์ที่เป็นอันตรายทั้งหมดออกไปแล้วใน 2 ขั้นตอนก่อนหน้านี้ แต่ก็ควรทำตามขั้นตอนถัดไปเหล่านี้ด้วยในกรณีที่มีไฟล์อื่นๆ ในเว็บไซต์ที่ถูกบุกรุก
อย่าเพิ่งตกใจว่าคุณต้องเปิดและดูไฟล์ PHP ทุกไฟล์ เริ่มต้นด้วยการสร้างรายการไฟล์ PHP ที่น่าสงสัยซึ่งคุณต้องการตรวจสอบ วิธีต่างๆ ในการระบุว่าไฟล์ PHP ใดน่าสงสัยมีดังนี้
- หากคุณโหลดไฟล์ CMS ซ้ำแล้ว ให้ดูเฉพาะไฟล์ที่ไม่ได้เป็นส่วนหนึ่งของไฟล์หรือโฟลเดอร์ CMS เริ่มต้น วิธีนี้จะช่วยคัดไฟล์ PHP ออกไปได้จำนวนมาก และเหลือไฟล์เพียงไม่กี่ไฟล์ให้คุณตรวจสอบ
- จัดเรียงไฟล์ในไซต์ตามวันที่แก้ไขครั้งล่าสุด มองหาไฟล์ที่มีการแก้ไขภายใน 2-3 เดือนนับจากเวลาที่คุณพบว่าเว็บไซต์ถูกแฮ็กเป็นครั้งแรก
- จัดเรียงไฟล์ในไซต์ตามขนาด มองหาไฟล์ที่มีขนาดใหญ่ผิดปกติ
ขั้นตอนที่ 4
เมื่อคุณมีรายการไฟล์ PHP ที่น่าสงสัยแล้ว ให้ตรวจสอบว่ามีเนื้อหาที่เป็นอันตรายหรือไม่ หากคุณไม่คุ้นเคยกับ PHP กระบวนการนี้อาจใช้เวลานานกว่าปกติ ดังนั้นโปรดพิจารณาศึกษาเอกสารประกอบ PHP เพิ่มเติม หากคุณไม่เคยเขียนโค้ดมาก่อนเลย เราขอแนะนำให้พูดคุยกับนักพัฒนาซอฟต์แวร์ที่มีประสบการณ์ ในระหว่างนี้ คุณสามารถมองหารูปแบบพื้นฐานบางอย่างเพื่อระบุไฟล์ที่เป็นอันตรายได้
หากคุณใช้ CMS และไม่คุ้นเคยกับการแก้ไขไฟล์ PHP โดยตรง ให้เปรียบเทียบไฟล์ในเซิร์ฟเวอร์กับรายการไฟล์เริ่มต้นที่มาพร้อมกับ CMS รวมถึงปลั๊กอินและธีมต่างๆ มองหาไฟล์ที่ไม่เกี่ยวข้อง รวมถึงไฟล์ที่มีขนาดใหญ่กว่าเวอร์ชันเริ่มต้น
สแกนไฟล์ที่น่าสงสัยที่คุณระบุไว้แล้วเพื่อค้นหาบล็อกของโค้ดที่สร้างความสับสน ซึ่งอาจดูเหมือนเป็นการผสมผสานตัวอักษรและตัวเลขที่ดูเหมือนจะสับสน โดยปกติแล้วจะนำหน้าด้วยฟังก์ชัน PHP เช่น base64_decode, rot13, eval, strrev หรือ gzinflate ต่อไปนี้เป็นตัวอย่างลักษณะของบล็อกโค้ด บางครั้งโค้ดทั้งหมดนี้จะถูกรวมไว้ในข้อความบรรทัดเดียวที่ยาวมาก ทำให้ดูเหมือนว่ามีขนาดเล็กกว่าที่เป็นจริง
$O_O0O_O0_0=urldecode("%6E1%7A%62%2F%6D%615%5C%76%740%6928%2D%70
%78%75%71%79%2A6%6C%72%6B%64%679%5F%65%68%63%73%77%6F4%2B%6637%6A");
$OO0_0OO0__=$O_O0O_O0_0{26}.$O_O0O_O0_0{6}.$O_O0O_O0_0{10}.$O_O0O_O0_0{30}
ตรวจสอบว่าเว็บไซต์ปลอดภัยหรือไม่
เมื่อกำจัดไฟล์ที่ถูกแฮ็กเสร็จแล้ว ให้ตรวจสอบว่าความพยายามของคุณได้ผลหรือไม่ จำหน้าเว็บที่อ่านไม่รู้เรื่องที่คุณระบุไว้ก่อนหน้านี้ได้ไหม ใช้เครื่องมือโปรแกรม Googlebot จำลองกับ URL เหล่านั้นอีกครั้งเพื่อดูว่ายังคงมีอยู่หรือไม่
หากหน้าเว็บเหล่านั้นตอบกลับว่า "ไม่พบ" ในโปรแกรม Googlebot จำลอง แสดงว่าคุณอยู่ในสถานะที่ดีและสามารถดำเนินการแก้ไขช่องโหว่ในเว็บไซต์ได้
ฉันจะป้องกันการถูกแฮ็กอีกได้อย่างไร
การแก้ไขช่องโหว่ในเว็บไซต์เป็นขั้นตอนสุดท้ายที่สำคัญในการแก้ไขเว็บไซต์ การศึกษาล่าสุดพบว่า 20% ของเว็บไซต์ที่ถูกแฮ็กจะถูกแฮ็กอีกครั้งภายใน 1 วัน การรู้อย่างแน่ชัดว่าไซต์ถูกแฮ็กได้อย่างไรจึงมีประโยชน์อย่างยิ่ง อ่านคู่มือวิธีแฮ็กเว็บไซต์ที่นักส่งสแปมทำบ่อยที่สุดเพื่อเริ่มการตรวจสอบ หากไม่ทราบว่าเว็บไซต์ถูกแฮ็กได้อย่างไร ให้ทำตามรายการตรวจสอบนี้เพื่อลดช่องโหว่ในเว็บไซต์
- สแกนคอมพิวเตอร์เป็นประจำ: ใช้ซอฟต์แวร์ป้องกันไวรัสยอดนิยมเพื่อตรวจหาไวรัสหรือช่องโหว่
- เปลี่ยนรหัสผ่านเป็นประจำ: การเปลี่ยนรหัสผ่านสำหรับบัญชีเว็บไซต์ทั้งหมด เช่น ผู้ให้บริการโฮสติ้ง, FTP และ CMS เป็นประจำจะช่วยป้องกันการเข้าถึงเว็บไซต์โดยไม่ได้รับอนุญาตได้ คุณควรสร้างรหัสผ่านที่รัดกุมและไม่ซ้ำกันสำหรับแต่ละบัญชี
- ใช้การตรวจสอบสิทธิ์แบบ 2 ขั้นตอน (2FA): พิจารณาเปิดใช้ 2FA ในบริการที่กำหนดให้คุณต้องลงชื่อเข้าใช้ ซึ่งจะทำให้แฮ็กเกอร์ลงชื่อเข้าใช้ได้ยากขึ้น แม้ว่าจะขโมยรหัสผ่านของคุณได้สำเร็จก็ตาม
- อัปเดต CMS, ปลั๊กอิน, ส่วนขยาย และโมดูลเป็นประจำ: หวังว่าคุณจะทำขั้นตอนนี้แล้ว เว็บไซต์จำนวนมากถูกแฮ็กเนื่องจากใช้ซอฟต์แวร์ที่ล้าสมัย ทั้งนี้ CMS บางระบบรองรับการอัปเดตอัตโนมัติด้วย
- พิจารณาสมัครใช้บริการด้านความปลอดภัยเพื่อตรวจสอบเว็บไซต์: มีบริการมากมายที่ช่วยคุณตรวจสอบเว็บไซต์ได้โดยมีค่าธรรมเนียมเล็กน้อย ลองลงทะเบียนกับผู้ให้บริการดังกล่าวเพื่อให้ไซต์ปลอดภัย
แหล่งข้อมูลเพิ่มเติม
หากยังคงพบปัญหาในการแก้ไขเว็บไซต์ โปรดดูแหล่งข้อมูลอื่นๆ ที่อาจช่วยคุณได้
เครื่องมือเหล่านี้จะสแกนไซต์และอาจพบเนื้อหาที่มีปัญหา แต่นอกเหนือจาก VirusTotal แล้ว Google ไม่ใช้หรือรองรับเครื่องมืออื่นใดอีก
เครื่องมือเหล่านี้เป็นเพียงเครื่องมือบางส่วนที่อาจสแกนเว็บไซต์เพื่อหาเนื้อหาที่เป็นปัญหาได้ โปรดทราบว่าเครื่องมือสแกนเหล่านี้ไม่สามารถรับประกันได้ว่าจะระบุเนื้อหาที่มีปัญหาได้ทุกประเภท
ทรัพยากรเพิ่มเติมจาก Google ที่ช่วยคุณได้มีดังนี้