เว็บเด้งไปเว็บพนัน WordPress: วิธีตรวจและล้าง Redirect Malware ให้หายขาด

เว็บเด้งไปเว็บพนัน WordPress เกิดจากเว็บถูกแฮกแล้วถูกฝังโค้ด Redirect (โค้ดที่สั่งให้เบราว์เซอร์ย้ายไปหน้าอื่น) ไว้ในไฟล์หรือฐานข้อมูล Google จัดสิ่งนี้เป็น “hacked content” ประเภท Redirects คือแฮกเกอร์ฝังโค้ดที่พาผู้ใช้บางกลุ่มไปหน้าอันตรายหรือหน้าสแปม (Google Search Central) วิธีแก้ให้หายขาดไม่ใช่แค่ลบบรรทัดที่สั่งเด้ง แต่ต้องหาให้ครบทั้งโค้ด Redirect ประตูหลัง (Backdoor) และช่องโหว่ที่แฮกเกอร์ใช้เข้ามา

บทความนี้เป็นฉบับปรับปรุงใหม่ ณ วันที่ 3 พฤศจิกายน 2026 อธิบายว่าทำไมเว็บเด้งเฉพาะบางคน แฮกเกอร์ซ่อนโค้ดไว้ตรงไหน ขั้นตอนตรวจและล้างทีละขั้น และทำไมล้างแล้วมักกลับมาเด้งอีก ข้อมูลทางเทคนิคมีลิงก์ไปยังเอกสารต้นทาง ถ้าเว็บของคุณเด้งไปเว็บอื่นที่ไม่ใช่เว็บพนัน อ่านภาพรวมได้ที่ เว็บเด้งไปเว็บอื่น เกิดจากอะไร และวิธีแก้เว็บเด้ง

อาการของเว็บที่ถูกฝัง Redirect

• พิมพ์ชื่อเว็บแล้วเด้งไปเว็บพนัน เว็บปลอม หรือเว็บภาษาต่างประเทศ
• เด้งเฉพาะเมื่อเข้าจากมือถือ หรือเฉพาะเมื่อคลิกจาก Google แต่เข้าตรงจากคอมไม่เด้ง แฮกเกอร์ตั้งใจให้เจ้าของเว็บไม่ทันสังเกต
• เด้งเฉพาะตอนเปิดแบบไม่ระบุตัวตน (Incognito) หรือเด้งแค่ครั้งแรกแล้วครั้งต่อไปไม่เด้ง
• Google ขึ้นเตือนว่าเว็บอาจเป็นอันตราย หรือ Search Console แจ้ง Security issues

อาการ “เด้งบางคน ไม่เด้งบางคน” นี้มีชื่อเรียกว่า Conditional Redirect คู่มือของ Google สำหรับเว็บที่ติดมัลแวร์ระบุว่าแฮกเกอร์มักสร้างการเด้งแบบมีเงื่อนไขตาม user-agent (ชนิดเบราว์เซอร์และอุปกรณ์) ช่วงเวลา หรือ referrer (หน้าที่ผู้ใช้กดลิงก์มา) และมัลแวร์บางตัวจะทำงานเฉพาะเมื่อผู้ใช้มาจากผลค้นหา Google (web.dev: Hacked with malware) นโยบายสแปมของ Google ยังยกตัวอย่าง sneaky redirect ที่ตรงกับเคสไทยมาก คือ “แสดงหน้าปกติให้ผู้ใช้คอมพิวเตอร์ แต่พาผู้ใช้มือถือไปโดเมนสแปมอื่น” (Google Search Central)

ความเสียหายที่ตามมา: แบรนด์ Google และยอดขาย

• ลูกค้าเสียความเชื่อมั่นทันที คนที่ค้นชื่อร้านแล้วถูกพาไปเว็บสล็อตจะไม่กลับมาซื้อ และอาจคิดว่าร้านเกี่ยวข้องกับการพนัน
• คำเตือนใน Google และเบราว์เซอร์ รายงาน Security issues ใน Search Console มีประเภท Hacked: Malware, Code injection, Content injection และ URL injection และหน้าที่ได้รับผลกระทบอาจแสดงพร้อมคำเตือน (Search Console Help)
• อันดับลดหรือหายจากผลค้นหา Google ระบุว่าเว็บที่ละเมิดนโยบายอาจอยู่อันดับต่ำลงหรือไม่ปรากฏในผลค้นหาเลย (Google Search Central)

วิธีเช็กว่าเว็บเด้งจริงไหม

เพราะโค้ดเด้งเลือกเหยื่อ การเปิดเว็บจากคอมที่ล็อกอินแอดมินอยู่จึงมักไม่เห็นอะไร ให้ลองตามนี้

1. เปิดจากมือถือด้วยเน็ตมือถือ ไม่ใช่ Wi-Fi บริษัท และไม่ได้ล็อกอิน WordPress
2. ค้นชื่อเว็บใน Google แล้วกดจากผลค้นหา เทียบกับการพิมพ์ URL ตรง ๆ
3. ใช้คำสั่ง curl จำลองผู้ใช้ที่มาจาก Google คู่มือของ Google แนะนำให้ใช้ cURL หรือ Wget แทนเบราว์เซอร์ เพราะเบราว์เซอร์อาจถูกโจมตีได้ และให้ดึงหน้าทั้งแบบมีและไม่มี referrer ของ Google (web.dev) ตัวอย่างอยู่ในกล่องคำสั่งตรวจสอบด้านล่าง
4. ใช้ URL Inspection ใน Search Console แล้วกด Test live URL เพื่อดูว่า Googlebot ได้หน้าอะไร (Search Console Help)

แฮกเกอร์ฝังโค้ด Redirect ไว้ที่ไหนบ้าง

มัลแวร์ประเภทนี้มักซ่อนหลายจุดพร้อมกัน ซึ่งเป็นเหตุผลที่ลบยากและกลับมาเป็นซ้ำ เอกสาร “FAQ My site was hacked” ของ WordPress.org ระบุว่า .htaccess เป็นไฟล์ที่ถูกแก้บ่อยที่สุดไม่ว่าการติดเชื้อจะเป็นแบบไหน และไฟล์ index.php, header.php, footer.php และ functions.php เป็นเป้าหมายสำคัญ เพราะถ้าถูกแก้จะกระทบทุกหน้า (WordPress.org)

1. ไฟล์ .htaccess และ index.php ในโฟลเดอร์ราก

บนเซิร์ฟเวอร์ Apache ไฟล์ .htaccess สั่งเปลี่ยนเส้นทางได้ด้วย RewriteCond ซึ่งตรวจตัวแปรอย่าง HTTP_USER_AGENT และ HTTP_REFERER ได้ และ RewriteRule ที่มี flag [R] จะบังคับเด้งไปที่อื่น (Apache HTTP Server Documentation) แฮกเกอร์จึงเขียนกฎว่า “ถ้ามาจาก Google หรือใช้มือถือ ให้เด้ง” ได้ในไม่กี่บรรทัด และไฟล์นี้อาจมีมากกว่าหนึ่งไฟล์ในโฟลเดอร์ย่อย (WordPress.org) ส่วน index.php ในโฟลเดอร์รากของ WordPress ปกติมีโค้ดไม่กี่บรรทัด ถ้าเปิดแล้วเจอโค้ดยาวหรืออ่านไม่ออกให้สงสัยไว้ก่อน

2. ไฟล์ของ Theme: header.php, footer.php, functions.php

โค้ดเด้งที่ฝังในไฟล์ Theme จะทำงานทุกหน้าที่ใช้ Theme นั้น บางครั้งเป็นสคริปต์ JavaScript ที่เข้ารหัสไว้ใน header.php บางครั้งเป็นโค้ด PHP ใน functions.php ที่ตรวจว่าผู้ใช้ไม่ได้ล็อกอินแล้วค่อยเด้ง

3. ฐานข้อมูล: wp_options, Widget และ wp_posts

ค่า siteurl และ home ในตาราง wp_options คือที่อยู่ของเว็บที่ตรงกับช่อง “WordPress Address (URL)” และ “Site Address (URL)” ใน Settings → General (WordPress Developer Resources) ถ้าค่านี้ถูกเปลี่ยนเป็นโดเมนอื่น ทุกคนจะถูกพาออกจากเว็บ นอกจากนี้ JavaScript อาจถูกฝังใน Widget แบบ HTML, ช่องใส่โค้ดของ Theme หรือในเนื้อหาบทความ (wp_posts) ผ่าน Plugin ที่มีช่องโหว่

4. Backdoor ในโฟลเดอร์ wp-content/uploads

โฟลเดอร์ uploads มีไว้เก็บรูปและไฟล์สื่อ ไฟล์ PHP ในโฟลเดอร์นี้จึงผิดปกติแทบทุกกรณี แฮกเกอร์มักตั้งชื่อให้ดูเหมือนรูป เช่น photo.jpg.php หรือซ่อนในโฟลเดอร์ปี/เดือน ไฟล์เหล่านี้ไม่ได้สั่งเด้งเอง แต่เป็นประตูที่ใช้กลับเข้ามาฝังโค้ดเด้งใหม่

ตัวอย่างโค้ดเด้งเว็บพนันที่เจอจริง

เคสเว็บเด้งไปเว็บพนันในไทยส่วนใหญ่มาพร้อมกันสองอย่าง คือสคริปต์เด้งที่เข้ารหัสไว้ และลิงก์เว็บพนันที่ซ่อนไว้ให้ Google เห็น ตัวอย่างในหัวข้อนี้ตัดส่วนที่ทำงานได้ออกแล้ว และเปลี่ยนโดเมนเป็นโดเมนสมมติ .example ใช้เพื่อให้จำหน้าตาได้เวลาเจอในเว็บของคุณเท่านั้น

RewriteEngine On
RewriteCond %{HTTP_REFERER} (google|bing) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} (android|iphone) [NC]
RewriteRule ^(.*)$ https://bad-site.example/ /* … ตัดออก … */

<script>var _0x3fa1=['\x68\x74\x74\x70\x73\x3a\x2f\x2f…'],_0x52c0=function(i){return _0x3fa1[i]};
eval(atob('dmFyIF8weDE9ZG9jdW1lbnQ…ตัดออก…'));</script>

<div style="position:absolute;left:-9999px;top:-9999px;">
  <a href="https://bad-site.example/">สล็อตเว็บตรง</a>
  <a href="https://bad-site.example/">บาคาร่าออนไลน์</a>
  <a href="https://bad-site.example/">เว็บพนันอันดับ 1</a> …
</div>

ขั้นตอนตรวจและล้างโค้ดเด้งทีละขั้น

ทำตามลำดับ อย่าข้ามขั้น โดยเฉพาะขั้นแรกและขั้นหา Backdoor ถ้ายังไม่แน่ใจว่าเว็บโดนแฮกจริง เริ่มจาก เว็บ WordPress โดนแฮก ต้องทำอะไรก่อน

1. สำรองสภาพปัจจุบันไว้เป็นหลักฐาน (Infected Backup) WordPress.org แนะนำให้ถ่าย snapshot ของเว็บอีกครั้งก่อนเริ่มล้าง แม้จะติดเชื้ออยู่ เพื่อมีสำเนาไว้อ้างอิงถ้าล้างแล้วเว็บพัง และให้จดบันทึกอาการ เวลาที่พบ และสิ่งที่เพิ่งเปลี่ยนก่อนเกิดเหตุ (WordPress.org) เก็บไฟล์สำรองนี้ไว้นอกโฮสต์และห้ามนำกลับมาใช้ตรง ๆ
2. คืน .htaccess เป็นค่ามาตรฐาน เปิดการแสดงไฟล์ซ่อนใน File Manager หรือ FTP ตรวจทุกไฟล์ .htaccess ลบ RewriteRule ที่คุณไม่ได้ใส่เอง แล้วใช้บล็อกมาตรฐานของ WordPress (ดูกล่องด้านล่าง) ถ้ามีกฎของ Plugin cache หรือ HTTPS ที่ตั้งไว้เอง ให้ใส่กลับเฉพาะส่วนที่รู้ที่มา
3. ตรวจไฟล์ Core เทียบ Checksum กับ WordPress.org คำสั่ง wp core verify-checksums ตรวจไฟล์ WordPress กับ checksum ของ WordPress.org และตัวเลือก --include-root จะเตือนเมื่อเจอไฟล์ที่ไม่ใช่ของ WordPress ในโฟลเดอร์ราก (WP-CLI) ส่วน Plugin จาก WordPress.org ตรวจได้ด้วย wp plugin verify-checksums --all (WP-CLI)
4. ติดตั้งไฟล์ Core ใหม่ด้วยมือ WordPress.org แนะนำให้อัปโหลดเวอร์ชันเดียวกับที่ใช้อยู่ผ่าน FTP/SFTP แทนปุ่มติดตั้งใหม่ในหลังบ้าน เพราะตัวติดตั้งมักเขียนทับเฉพาะไฟล์ที่มีอยู่ ขณะที่การแฮกมักเพิ่มไฟล์ใหม่ และระบุว่าแทนที่โฟลเดอร์ /wp-admin และ /wp-includes ได้อย่างปลอดภัย (WordPress.org) Theme และ Plugin ให้ลบแล้วติดตั้งใหม่จากแหล่งทางการ
5. สแกนด้วยปลั๊กอินความปลอดภัย เช่น Wordfence ซึ่งระบุว่าตัวสแกนตรวจไฟล์ Core, Theme และ Plugin หามัลแวร์ URL อันตราย Backdoor, SEO spam, malicious redirect และ code injection และเทียบไฟล์กับเวอร์ชันใน WordPress.org (WordPress.org Plugins) สแกนเนอร์ช่วยได้มากแต่ไม่ได้เจอทุกอย่าง
6. ค้นหา Backdoor ด้วยคำสั่ง คู่มือของ Google แนะนำให้ค้นไฟล์ที่ใช้ฟังก์ชันซ่อนโค้ดอย่าง base64_decode, rot13, eval, strrev และ gzinflate และดูไฟล์ PHP ที่เพิ่งถูกแก้หรือมีขนาดใหญ่ผิดปกติ (web.dev) Plugin ปกติบางตัวก็ใช้ฟังก์ชันเหล่านี้ ต้องอ่านบริบททีละไฟล์ อ่านวิธีแยกแยะที่ วิธีตรวจไฟล์ต้องสงสัย
7. ล้างฐานข้อมูล ตรวจค่า siteurl และ home ที่ Settings > General ว่าตรงกับโดเมนจริง ถ้าเข้าหลังบ้านไม่ได้ แก้ได้ใน phpMyAdmin หรือกำหนด WP_HOME และ WP_SITEURL ใน wp-config.php (WordPress Developer Resources) แล้วค้นสคริปต์ใน Widget บทความ และ option ด้วย wp db search ซึ่งตัวเลือก --all-tables ค้นทุกตารางแม้ตารางที่ไม่ได้ลงทะเบียนกับ WordPress (WP-CLI)
8. ลบผู้ใช้แปลกปลอมและตัดเซสชันทั้งหมด ตรวจรายชื่อผู้ใช้ระดับ Administrator บังคับรีเซ็ตรหัสผ่านทุกคน และเปลี่ยน Secret Keys ใน wp-config.php ด้วยชุดใหม่จากตัวสร้างคีย์ของ WordPress.org ซึ่งจะทำให้ทุกคนที่ล็อกอินค้างอยู่หลุดออก (WordPress.org)
9. เปลี่ยนรหัสผ่านทุกจุด แล้วเปลี่ยนอีกครั้งหลังเว็บสะอาด ทั้ง WordPress, Hosting/cPanel, FTP/SFTP และ Database WordPress.org ย้ำว่าต้องเปลี่ยนอีกรอบ หลัง ยืนยันว่าเว็บสะอาดแล้ว (WordPress.org)
10. อัปเดตทุกอย่างและขอ Review อัปเดต Core, Theme และ Plugin ลบตัวที่ไม่ได้ใช้ จากนั้นขอ Review ใน Security issues report ซึ่ง Google ระบุว่าใช้เวลาตั้งแต่ไม่กี่วันถึงไม่กี่สัปดาห์ (Search Console Help)

# จำลองผู้ใช้ที่มาจาก Google ดูบรรทัด Location: ในผลลัพธ์
curl -sI --referer "https://www.google.com/" https://example.com/
# จำลองผู้ใช้มือถือ
curl -sI -A "Mozilla/5.0 (Linux; Android 14) Mobile" https://example.com/

# ตรวจไฟล์ Core และ Plugin กับ checksum ของ WordPress.org
wp core verify-checksums --include-root
wp plugin verify-checksums --all

# ค่าที่อยู่เว็บในฐานข้อมูล และสคริปต์ที่ฝังในทุกตาราง
wp option get siteurl
wp option get home
wp db search '<script' --all-tables

# ไฟล์ PHP ใน uploads และไฟล์ PHP ที่ถูกแก้ใน 14 วันล่าสุด
find wp-content/uploads -name '*.php' -print
find . -name '*.php' -mtime -14 -print

# ฟังก์ชันที่มักใช้ซ่อนโค้ด (ต้องอ่านบริบท Plugin ปกติบางตัวก็ใช้)
grep -rlE 'base64_decode|gzinflate|str_rot13|strrev|eval\(' --include='*.php' .

# BEGIN WordPress
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
# END WordPress

ทำไมล้างแล้วมักกลับมาเด้งซ้ำ

• ลบโค้ดเด้งแต่ไม่ได้ลบ Backdoor คู่มือของ Google ระบุว่าถ้ายังมีไฟล์ติดเชื้อเหลืออยู่บนเซิร์ฟเวอร์ เว็บมีโอกาสถูกแฮกซ้ำมากขึ้น และแนะนำให้ติดตั้งใหม่แบบสะอาด ไม่ใช่แค่อัปเกรดทับ (web.dev: Clean and maintain your site) กลไกของการติดซ้ำอธิบายไว้ใน ทำไมเว็บติดมัลแวร์ซ้ำ
• ยังไม่ได้ปิดช่องโหว่ Google ระบุว่า Theme และ Plugin ที่ล้าสมัยหรือไม่ได้แพตช์เป็นแหล่งช่องโหว่หลัก และซอฟต์แวร์เวอร์ชันเก่าอาจมีช่องโหว่ร้ายแรงที่ทำให้ยึดได้ทั้งเว็บ (web.dev: Top ways sites get hacked by spammers)
• ใช้ Theme หรือ Plugin เถื่อน (Nulled) เอกสารเดียวกันระบุว่าการฝังโค้ดอันตรายในเวอร์ชันฟรีของ Plugin หรือ Theme แบบเสียเงินเป็นกลยุทธ์ที่พบบ่อย และการลบ Plugin ต้องลบไฟล์ทั้งหมดออกจากเซิร์ฟเวอร์ ไม่ใช่แค่ปิดใช้งาน (web.dev) คู่มือ Hardening ของ WordPress ก็ระบุว่าไม่ควรเอา Plugin/Theme มาจากแหล่งที่ไม่น่าเชื่อถือ (WordPress Developer Resources)
• เครื่องคอมพิวเตอร์ของผู้ดูแลติดมัลแวร์ WordPress.org เตือนว่าหลายเคสต้นตอเริ่มจากเครื่องของเจ้าของเว็บเอง โดยโทรจันขโมยข้อมูลล็อกอิน FTP และ wp-admin จึงควรสแกนเครื่องด้วย (WordPress.org)

ตัวอย่างเคสจริงที่เว็บเด้งไปเว็บพนันและวิธีที่เราไล่หาต้นตอ อ่านได้ใน เคสศึกษา: เว็บเด้งไปเว็บพนัน

เด้ง ฝังลิงก์ และ Cloaking ต่างกันอย่างไร

สามอาการนี้มักมาด้วยกันและถูกเรียกปนกัน แต่จุดที่ต้องแก้ต่างกัน

ถ้าอยากเข้าใจมัลแวร์เว็บไซต์ประเภทอื่นด้วย อ่าน Malware คืออะไร มัลแวร์และไวรัสเว็บไซต์ 12 ประเภท และเช็กอาการอื่นที่อาจมาพร้อมกันได้ที่ อาการ WordPress ติดมัลแวร์

เมื่อไหร่ควรเรียกผู้เชี่ยวชาญ

หากลบแล้วเว็บยังเด้งซ้ำ เด้งเฉพาะบางช่วงจนหาต้นตอไม่เจอ หรือคุณไม่มั่นใจในการแก้ไฟล์ระบบและฐานข้อมูล การลองผิดลองถูกบนเว็บที่มีลูกค้าเข้าอยู่มักเสียเวลาและเสี่ยงทำข้อมูลหาย บริการ ล้างไวรัส WordPress ของ WP Doctor Thailand ประเมินอาการให้ฟรีก่อน ผู้ก่อตั้งลงมือแก้เองทุกเคส กำจัดโค้ด Redirect ค้นหา Backdoor ปิดช่องโหว่ และช่วยขอ Review กับ Google มีการรับประกันงานสูงสุด 180 วันตามแพ็กเกจ และคืนเงินเต็มจำนวนถ้าแก้ไม่ได้

คำถามที่พบบ่อย

แหล่งอ้างอิง

1. Google Search Central. (ม.ป.ป.). Spam policies for Google web search. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://developers.google.com/search/docs/essentials/spam-policies
2. web.dev. (ม.ป.ป.). Hacked with malware. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://web.dev/articles/hacked-with-malware
3. Google Search Console Help. (ม.ป.ป.). Security issues report. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://support.google.com/webmasters/answer/9044101
4. Google Search Console Help. (ม.ป.ป.). URL Inspection tool. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://support.google.com/webmasters/answer/9012289
5. WordPress.org. (2026). FAQ My site was hacked. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://wordpress.org/documentation/article/faq-my-site-was-hacked/
6. The Apache Software Foundation. (ม.ป.ป.). Apache Module mod_rewrite. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://httpd.apache.org/docs/2.4/mod/mod_rewrite.html
7. WordPress Developer Resources. (ม.ป.ป.). Migrating WordPress (Changing The Site URL). สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://developer.wordpress.org/advanced-administration/upgrade/migrating/
8. WordPress Developer Resources. (ม.ป.ป.). Apache HTTPD / .htaccess. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://developer.wordpress.org/advanced-administration/server/web-server/httpd/
9. WP-CLI. (ม.ป.ป.). wp core verify-checksums. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://developer.wordpress.org/cli/commands/core/verify-checksums/
10. WP-CLI. (ม.ป.ป.). wp plugin verify-checksums. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://developer.wordpress.org/cli/commands/plugin/verify-checksums/
11. WP-CLI. (ม.ป.ป.). wp db search. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://developer.wordpress.org/cli/commands/db/search/
12. Wordfence. (ม.ป.ป.). Wordfence Security – Firewall, Malware Scan, and Login Security. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://wordpress.org/plugins/wordfence/
13. web.dev. (ม.ป.ป.). Fix the Japanese keyword hack. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://web.dev/articles/fix-the-japanese-keyword-hack
14. web.dev. (ม.ป.ป.). Clean and maintain your site. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://web.dev/articles/clean-and-maintain-your-site
15. web.dev. (ม.ป.ป.). Top ways sites get hacked by spammers. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://web.dev/articles/top-ways-sites-get-hacked-by-spammers
16. WordPress Developer Resources. (ม.ป.ป.). Hardening WordPress. สืบค้นเมื่อ 29 ตุลาคม 2026, จาก https://developer.wordpress.org/advanced-administration/security/hardening/