Backdoor ใน WordPress คืออะไร ทำไมล้างไวรัสแล้วกลับมาติดซ้ำ

หนึ่งในปัญหาที่น่าหงุดหงิดที่สุดสำหรับเจ้าของเว็บ WordPress คือการล้างไวรัสแล้วเว็บกลับมาติดซ้ำภายในไม่กี่วัน หรือบางรายภายในชั่วโมงเดียว ปัญหานี้มักเกิดจากสิ่งที่เรียกว่า Backdoor ซึ่งเป็นช่องทางลับที่แฮกเกอร์ฝังไว้ในเว็บไซต์เพื่อให้กลับเข้ามาได้ตลอดเวลา โดยที่เจ้าของเว็บไม่รู้ตัว การเข้าใจว่า Backdoor คืออะไร อยู่ที่ไหน และต้องกำจัดอย่างไร คือกุญแจสำคัญที่จะหยุดวงจรการติดมัลแวร์ซ้ำได้อย่างถาวร

nn

Backdoor คืออะไร และต่างจากมัลแวร์ทั่วไปอย่างไร

n

Backdoor คือโค้ดที่แฮกเกอร์ฝังไว้ในระบบ เพื่อเปิดช่องทางเข้าถึงเว็บไซต์ได้โดยไม่ต้องผ่านการล็อกอินปกติ ต่างจากมัลแวร์ทั่วไปตรงที่ Backdoor ไม่ได้ทำความเสียหายเองโดยตรง แต่ทำหน้าที่เป็น “ประตูลับ” ที่คอยรอให้แฮกเกอร์กลับมาปล่อยมัลแวร์รอบใหม่ได้เสมอ ลักษณะของ Backdoor มีหลายรูปแบบ ได้แก่:

n

n
• PHP shell script — ไฟล์ .php ที่ดูเหมือนไฟล์ระบบปกติ แต่รันคำสั่งจากภายนอกได้

n

• โค้ดแฝงในธีมหรือปลั๊กอิน — บรรทัดโค้ดที่ถูกเพิ่มเข้าไปในไฟล์ที่มีอยู่แล้ว เช่น functions.php

n

• ไฟล์อัปโหลดปลอม — ไฟล์ที่ถูกอัปโหลดเข้าโฟลเดอร์ /wp-content/uploads/ แล้วปลอมตัวเป็นรูปภาพหรือ PDF

n

• Admin account ลับ — บัญชีผู้ดูแลระบบที่ถูกสร้างขึ้นและซ่อนจากหน้า Users ปกติ

n

• Cron job ที่ถูกแก้ไข — งานอัตโนมัติที่ถูกตั้งให้ดาวน์โหลดและติดตั้งมัลแวร์ใหม่ทุก ๆ ช่วงเวลา

n

n

ดูข้อมูลเพิ่มเติมเกี่ยวกับ Web Shell คืออะไร และอันตรายกับ WordPress อย่างไร ซึ่งเป็น Backdoor ประเภทหนึ่งที่พบบ่อยมากในไทย

nn

nn

ทำไมล้างไวรัสแล้วยังกลับมาติดซ้ำ

n

การที่เว็บกลับมาติดซ้ำบ่อย ๆ มักเกิดจากสาเหตุใดสาเหตุหนึ่งเหล่านี้ หรืออาจเกิดจากหลายสาเหตุพร้อมกัน:

n

n
• ล้างมัลแวร์ไม่หมด — ลบเฉพาะไฟล์ที่ตรวจพบ แต่ยังมี Backdoor ที่ซ่อนอยู่ในโฟลเดอร์อื่นที่ไม่ได้ตรวจ

n

• ไม่ได้เปลี่ยนรหัสผ่านทั้งหมด — แฮกเกอร์อาจเก็บรหัสผ่าน FTP, cPanel, WordPress admin หรือ database ไว้แล้ว

n

• ธีมหรือปลั๊กอิน Nulled — ซอฟต์แวร์เถื่อนที่มี Backdoor ฝังมาตั้งแต่แรก แม้ลบมัลแวร์ทิ้งก็ถูกติดตั้งใหม่ทุกครั้งที่อัปเดต

n

• ช่องโหว่ยังไม่ได้แพตช์ — หากธีม ปลั๊กอิน หรือ WordPress core ยังเก่า แฮกเกอร์สามารถเจาะเข้ามาทางช่องโหว่เดิมได้อีก

n

• บัญชีผู้ดูแลระบบที่ยังคงอยู่ — Admin account ที่แฮกเกอร์สร้างไว้ถูกมองข้ามระหว่างการล้าง

n

n

หากคุณกำลังเผชิญกับสถานการณ์นี้ ขอแนะนำให้อ่าน วิธีตรวจสอบอาการ WordPress ติดมัลแวร์ เพื่อประเมินขอบเขตของปัญหาก่อน

nn

วิธีค้นหาและกำจัด Backdoor อย่างละเอียด

n

การล้าง Backdoor ให้หมดต้องทำอย่างเป็นระบบ ไม่ใช่แค่ลบไฟล์ที่ตัวสแกนชี้ให้ เพราะ Backdoor มักถูกซ่อนในหลายจุดพร้อมกัน ขั้นตอนที่แนะนำมีดังนี้:

n

n
• ขั้นตอนที่ 1 — สำรองข้อมูลก่อน: ถ่ายสำเนาไฟล์และฐานข้อมูลทั้งหมดไว้ก่อน แม้จะติดไวรัสอยู่ก็ตาม เพื่อเป็นหลักฐานและป้องกันการสูญหาย

n

• ขั้นตอนที่ 2 — สแกนด้วย Wordfence หรือ MalCare: ใช้ปลั๊กอินสแกนที่เชื่อถือได้เพื่อค้นหาไฟล์ที่มีพฤติกรรมผิดปกติ โดยเฉพาะฟังก์ชัน eval(), base64_decode(), gzinflate() ที่ถูกใช้ซ้อนกัน

n

• ขั้นตอนที่ 3 — ตรวจโฟลเดอร์ uploads: ค้นหาไฟล์ .php ในโฟลเดอร์ wp-content/uploads/ ซึ่งไม่ควรมีอยู่เลย ด้วยคำสั่ง find wp-content/uploads -name "*.php"

n

• ขั้นตอนที่ 4 — ตรวจ WordPress core files: เปรียบเทียบไฟล์หลักของ WordPress กับไฟล์ต้นฉบับจาก wordpress.org ไฟล์ที่ถูกแก้ไข เช่น wp-includes/ หรือ wp-admin/ อาจมี Backdoor ซ่อนอยู่

n

• ขั้นตอนที่ 5 — ตรวจ database: ค้นหาค่า eval, base64, <script ในตาราง wp_options และ wp_posts รวมถึงตรวจ Admin account ที่ไม่รู้จัก

n

• ขั้นตอนที่ 6 — เปลี่ยนรหัสผ่านทั้งหมด: WordPress admin ทุกบัญชี, FTP, cPanel, database และ secret keys ใน wp-config.php

n

n

ดูวิธีเช็กไฟล์เบื้องต้นได้ที่ วิธีเช็กไฟล์แปลกปลอมใน WordPress เบื้องต้น

nn

nn

nn

วิธีป้องกันไม่ให้ Backdoor กลับมาอีก

n

หลังจากล้าง Backdoor ออกหมดแล้ว การป้องกันระยะยาวคือสิ่งที่ขาดไม่ได้ ควรทำตามขั้นตอนเหล่านี้:

n

n
• อัปเดต WordPress core, ธีม และปลั๊กอินทุกตัวให้เป็นเวอร์ชันล่าสุดเสมอ

n

• ลบธีมและปลั๊กอิน Nulled (เถื่อน) ออกให้หมด แล้วเปลี่ยนเป็นเวอร์ชัน original

n

• ติดตั้ง Web Application Firewall (WAF) เช่น Cloudflare หรือ Wordfence เพื่อบล็อกการโจมตีก่อนเข้าถึงเว็บ

n

• จำกัดสิทธิ์ไฟล์ให้เหมาะสม เช่น wp-config.php ควรตั้งเป็น 440 หรือ 400

n

• ปิดการรัน PHP ในโฟลเดอร์ uploads ด้วยไฟล์ .htaccess เพื่อป้องกัน Web Shell

n

• เปิดใช้ Two-Factor Authentication (2FA) สำหรับ WordPress admin ทุกบัญชี

n

• ตรวจสอบ log การเข้าถึงเว็บสม่ำเสมอเพื่อจับพฤติกรรมผิดปกติได้เร็ว

n

n

อ่านเพิ่มเติมเรื่อง สิ่งที่ต้องทำหลังล้างไวรัส WordPress เพื่อให้การป้องกันครอบคลุมรอบด้าน

nn

เมื่อไหร่ควรให้ผู้เชี่ยวชาญช่วย

n

การล้าง Backdoor เองอาจพลาดได้หากไม่มีประสบการณ์ด้านเทคนิค โดยเฉพาะเมื่อแฮกเกอร์ใช้เทคนิคซ่อนโค้ดขั้นสูง เช่น การเข้ารหัสหลายชั้นหรือการแยก Backdoor ไว้ในหลายไฟล์พร้อมกัน ควรพิจารณาขอความช่วยเหลือจากผู้เชี่ยวชาญเมื่อ:

n

n
• ล้างไวรัสแล้วกลับมาติดซ้ำเกินกว่า 2 ครั้ง

n

• Hosting แจ้งระงับบัญชีเนื่องจากพบมัลแวร์ และต้องยืนยันก่อนเปิดเว็บได้อีกครั้ง

n

• เว็บมีข้อมูลลูกค้าหรือธุรกรรมการเงิน ซึ่งความเสียหายจากการถูกแฮกมีผลกระทบสูง

n

• ไม่มีเวลาหรือความถนัดด้านเทคนิคในการตรวจสอบโค้ด PHP และระบบ server

n

n

บริการ ล้างไวรัส WordPress ของเราตรวจหา Backdoor ทุกประเภท พร้อมแก้ไขช่องโหว่และรายงานผลให้เข้าใจง่าย ดูรายละเอียดค่าใช้จ่ายได้ที่ ค่าแก้เว็บ WordPress โดนแฮก ราคาเท่าไหร่

คำถามที่พบบ่อย

Backdoor ซ่อนอยู่ที่ไหนในเว็บ WordPress บ้าง

Backdoor มักซ่อนอยู่ในโฟลเดอร์ wp-content/uploads, ไฟล์ functions.php ของธีม, ไฟล์ใน wp-includes หรือ wp-admin ที่ถูกแทรกโค้ด รวมถึงในฐานข้อมูลส่วน wp_options บางครั้งยังถูกซ่อนเป็น Admin account ลับที่ไม่แสดงในหน้าจัดการผู้ใช้

ถ้าใช้ปลั๊กอินสแกนมัลแวร์แล้ว จะหา Backdoor เจอทั้งหมดไหม

ปลั๊กอินสแกนช่วยได้มากแต่ไม่ใช่ 100% เพราะ Backdoor บางตัวถูกเขียนให้หลีกเลี่ยงการตรวจจับโดยเฉพาะ การตรวจสอบด้วยมือโดยผู้เชี่ยวชาญจะให้ผลครอบคลุมกว่า

ถ้าล้างมัลแวร์เสร็จแล้ว ต้องเปลี่ยนรหัสผ่านทุกอย่างด้วยไหม

ใช่ ต้องเปลี่ยนรหัสผ่านของทุก account ที่เกี่ยวข้อง ทั้ง WordPress admin, FTP, cPanel, database และควร regenerate secret keys ใน wp-config.php ด้วย เพื่อตัดช่องทางที่แฮกเกอร์อาจยังเข้าถึงได้

ธีมหรือปลั๊กอิน Nulled ทำให้เว็บติด Backdoor ได้จริงไหม

จริงมาก ธีมและปลั๊กอิน Nulled (เวอร์ชันเถื่อน) มักมี Backdoor ฝังมาตั้งแต่ต้น ไม่ว่าจะล้างมัลแวร์กี่ครั้งก็ตาม ตราบใดที่ยังใช้ซอฟต์แวร์เถื่อนอยู่ ปัญหาจะวนซ้ำไม่สิ้นสุด