สรุปคำตอบ
การเช็คเว็บติดไวรัสคือการตรวจหาโค้ดอันตราย หน้าแปลกปลอม หรือสถานะบัญชีดำของเว็บ เครื่องมือฟรีแบ่งเป็นแบบตรวจจากภายนอก เช่น Google Safe Browsing, VirusTotal และ Sucuri SiteCheck ซึ่งเห็นเฉพาะสิ่งที่แสดงบนหน้าเว็บ กับแบบตรวจจากภายใน เช่น Wordfence และ WP-CLI verify-checksums ซึ่งเห็นไฟล์บนเซิร์ฟเวอร์ ควรใช้ทั้งสองแบบร่วมกัน เพราะผลสะอาดจากเครื่องมือเดียวไม่ได้ยืนยันว่าเว็บปลอดภัย
การเช็คเว็บติดไวรัส คือการตรวจหาหลักฐานว่าเว็บไซต์ถูกฝังโค้ดอันตราย ถูกสร้างหน้าแปลกปลอม หรือถูกบัญชีดำ (blocklist) โดยบริการด้านความปลอดภัย เครื่องมือฟรีที่ใช้ตรวจแบ่งได้เป็น 2 กลุ่ม กลุ่มแรกตรวจจากภายนอก คือมองเว็บแบบเดียวกับผู้เข้าชมหรือเครื่องมือค้นหา กลุ่มที่สองตรวจจากภายใน คือเปิดดูไฟล์และฐานข้อมูลบนเซิร์ฟเวอร์โดยตรง แต่ละกลุ่มเห็นสิ่งที่อีกกลุ่มมองไม่เห็น การใช้ร่วมกันจึงให้ภาพที่ครบกว่า
คำว่า “ไวรัสเว็บไซต์” ที่คนไทยใช้กันโดยทั่วไปหมายถึงมัลแวร์ทุกประเภทที่อยู่บนเว็บ ตั้งแต่ลิงก์สแปมจนถึง Backdoor อ่านภาพรวมทุกประเภทได้ที่ มัลแวร์เว็บไซต์คืออะไร มีกี่แบบ บทความนี้เน้นที่เครื่องมือ ว่าแต่ละตัวตรวจอะไรได้และมีข้อจำกัดอย่างไร ตามที่ผู้พัฒนาเครื่องมือระบุไว้ในเอกสารของตนเอง ณ ตุลาคม 2026
สัญญาณเตือนเบื้องต้น
เอกสาร FAQ My site was hacked ของ WordPress.org เรียกอาการที่บ่งชี้ว่าเว็บถูกเจาะว่า Indicators of Compromise (IoC) และยกตัวอย่างไว้ เช่น เว็บถูกบัญชีดำโดย Google หรือ Bing, โฮสติ้งระงับเว็บ, เว็บถูกระบุว่าแจกจ่ายมัลแวร์, ผู้อ่านแจ้งว่าโปรแกรมแอนติไวรัสเตือนเมื่อเข้าเว็บ และพบการกระทำที่ไม่ได้รับอนุญาต เช่น มีผู้ใช้ใหม่เกิดขึ้นเอง
รายละเอียดของอาการแต่ละแบบ เช่น เว็บเด้ง เว็บช้า หรือมีหน้าภาษาแปลกใน Google อธิบายไว้แล้วในบทความ WordPress ติดไวรัส อาการและวิธีตรวจสอบเบื้องต้น หากเว็บเด้งไปเว็บอื่นเป็นอาการหลัก อ่านต่อที่ เว็บเด้งไปเว็บอื่น เกิดจากอะไร ส่วนบทความนี้จะตอบคำถามถัดมาว่า เมื่อสงสัยแล้วจะใช้เครื่องมืออะไรยืนยัน
เครื่องมือภายนอกกับเครื่องมือภายใน ต่างกันอย่างไร
WordPress.org แบ่งเครื่องมือสแกนออกเป็น Remote Based Scanners (ตัวรวบรวมข้อมูลจากภายนอก เช่น VirusTotal และ Sitecheck) กับ Application Based Scanners (ปลั๊กอินที่ทำงานในเว็บ เช่น Wordfence และ Sucuri) และระบุว่าแต่ละแบบออกแบบมาให้ตรวจและรายงานคนละเรื่อง ไม่มีแบบใดดีที่สุดเพียงแบบเดียว แต่การใช้ร่วมกันช่วยเพิ่มโอกาสตรวจพบอย่างมาก (WordPress.org)
- เครื่องมือภายนอก เห็นเฉพาะสิ่งที่เซิร์ฟเวอร์ส่งออกมาเป็นหน้าเว็บ จึงเหมาะกับการตรวจสคริปต์ในหน้า ลิงก์สแปม และสถานะบัญชีดำ แต่มองไม่เห็นไฟล์ PHP ที่ไม่ได้แสดงผล
- เครื่องมือภายใน เปิดดูไฟล์และฐานข้อมูลได้ จึงพบ Backdoor และไฟล์ที่ถูกแก้ไขได้ แต่ต้องมีสิทธิ์เข้าถึงเว็บหรือเซิร์ฟเวอร์ และถ้าเว็บถูกยึดสิทธิ์ผู้ดูแลไปแล้ว ผลของปลั๊กอินในเว็บนั้นก็ควรตรวจซ้ำด้วยวิธีอื่น
เช็คด้วย Google Search Console (Security Issues, URL Inspection)
Google Search Console เป็นเครื่องมือฟรีที่ใช้ได้เฉพาะเจ้าของเว็บที่ยืนยันสิทธิ์แล้ว และเป็นช่องทางที่ Google ใช้แจ้งปัญหาความปลอดภัยถึงเจ้าของเว็บโดยตรง
รายงาน Security Issues
ตามเอกสาร Security Issues report รายงานนี้ครอบคลุม 3 กลุ่ม คือ Hacked content (แยกย่อยเป็น code injection, content injection และ URL injection), Malware and unwanted software และ Social engineering หรือเนื้อหาหลอกให้ผู้เข้าชมทำสิ่งอันตราย เช่น เปิดเผยข้อมูลลับหรือดาวน์โหลดซอฟต์แวร์
ข้อจำกัดที่ Google ระบุเอง: รายการ URL ในรายงานเป็นเพียงตัวอย่าง ไม่จำเป็นต้องครบทุกหน้าที่ได้รับผลกระทบ และบางครั้งรายงานอาจไม่มี URL ตัวอย่างเลย ซึ่งไม่ได้แปลว่าไม่มีหน้าที่ได้รับผลกระทบ (Google Search Console Help) นอกจากนี้ รายงานว่างเปล่าก็หมายความเพียงว่า Google ยังไม่ได้ตรวจพบปัญหา ไม่ได้รับรองว่าเว็บสะอาด ความหมายของแต่ละประเภทและวิธีขอ Review อ่านต่อที่ Search Console แจ้ง Security Issues ต้องทำอย่างไร
URL Inspection
เครื่องมือ URL Inspection แสดงข้อมูลของหน้าเว็บได้ 2 แบบ คือเวอร์ชันที่ Google จัดทำดัชนีไว้ล่าสุด และการทดสอบ URL แบบสด (live test) เมื่อกด View crawled page หรือ View tested page จะเห็น HTML ดิบที่เซิร์ฟเวอร์ส่งกลับมา, HTTP headers, ผลลัพธ์จาก JavaScript console และทรัพยากรที่หน้านั้นโหลด
ประโยชน์สำหรับการเช็คมัลแวร์คือ เราได้เห็นหน้าเว็บในมุมของ Googlebot ซึ่งอาจต่างจากที่เจ้าของเว็บเห็นเมื่อเปิดเอง เทคนิคที่แสดงเนื้อหาต่างกันให้บอทกับคนเรียกว่า Cloaking (อ่านเพิ่ม: Cloaking คืออะไร) ถ้า HTML ที่ Googlebot ได้รับมีลิงก์พนันหรือสคริปต์ที่ไม่มีในหน้าที่คุณเห็น ถือเป็นหลักฐานสำคัญ
ข้อจำกัด: Google ระบุว่าการทดสอบแบบสดไม่ได้ตรวจว่าหน้าเป็นไปตามแนวทางด้านคุณภาพและความปลอดภัย ไม่ได้ตรวจ manual actions และใช้ได้เฉพาะ URL ใน property ที่คุณเป็นเจ้าของ (Google Search Console Help) จึงต้องอ่าน HTML ด้วยตัวเองว่ามีอะไรผิดปกติ
เช็คด้วย Google Safe Browsing และ VirusTotal
Google Transparency Report: Safe Browsing site status
Google Safe Browsing คือบริการที่ให้แอปพลิเคชันตรวจ URL กับรายการแหล่งข้อมูลเว็บที่ไม่ปลอดภัยของ Google ซึ่งปรับปรุงอยู่ตลอด ครอบคลุมเว็บ social engineering (phishing และเว็บหลอกลวง) และเว็บที่โฮสต์มัลแวร์หรือซอฟต์แวร์ไม่พึงประสงค์ ส่วนหน้า Safe Browsing site status ใน Google Transparency Report ให้ทุกคนตรวจสถานะความปลอดภัยปัจจุบันของหน้าเว็บได้โดยไม่ต้องเข้าเว็บนั้น (Google Online Security Blog, 2017)
เครื่องมือนี้ไม่ต้องยืนยันความเป็นเจ้าของ จึงเหมาะสำหรับตรวจเว็บของลูกค้าหรือคู่ค้าเบื้องต้น และเป็นตัวบอกว่าเบราว์เซอร์ที่ใช้ Safe Browsing มีแนวโน้มจะขึ้นหน้าเตือนหรือไม่ ถ้าเว็บของคุณขึ้นสถานะไม่ปลอดภัย อ่านต่อที่ Google เตือน เว็บไซต์นี้อาจเป็นอันตราย ทำอย่างไรดี
ข้อจำกัด: ผลที่ได้คือสถานะในรายการของ Google เท่านั้น ถ้าเว็บถูกเจาะแต่ Google ยังตรวจไม่พบ หรือมัลแวร์เป็นชนิดที่ไม่ได้อยู่ในขอบเขตของ Safe Browsing เช่น Backdoor ที่ไม่ได้แสดงผลในหน้าเว็บ สถานะก็จะยังปกติ
VirusTotal URL scan
VirusTotal ระบุว่าบริการของตนตรวจรายการที่ส่งเข้ามาด้วยโปรแกรมแอนติไวรัสและบริการ blocklist ของ URL และโดเมนมากกว่า 70 ราย ร่วมกับเครื่องมือดึงสัญญาณจากเนื้อหาอื่นๆ ผลลัพธ์จะแสดงชื่อที่แต่ละ engine ใช้เรียกสิ่งที่ตรวจพบ และ URL scanner ส่วนใหญ่จะแยกว่าเป็นเว็บมัลแวร์ เว็บ phishing หรือเว็บน่าสงสัย ส่ง URL ได้จากหน้าเว็บ virustotal.com
ข้อจำกัด: VirusTotal เป็นบริการรวมผลจากหลายผู้ให้บริการ ไม่ใช่ผู้ตัดสินเอง เอกสารของ VirusTotal อธิบายเรื่อง false positive คือไฟล์หรือเว็บปกติที่ถูก engine บางรายระบุว่าอันตราย และอธิบายว่า URL scanner กับ antivirus engine ของบริษัทเดียวกันเป็นระบบที่แยกจากกัน URL ที่ถูกระบุว่าอันตรายจึงไม่ได้แปลว่าไฟล์ที่ URL นั้นจะถูกตรวจพบด้วย และกลับกัน ในทางปฏิบัติ ผลที่มี 1–2 engine แจ้งเตือนควรตรวจต่อว่าเป็นของจริงหรือไม่ และผลที่ไม่มี engine ใดแจ้งเตือนก็ไม่ได้ยืนยันว่าเว็บสะอาด
เช็คด้วย Sucuri SiteCheck
Sucuri SiteCheck เป็นเครื่องมือสแกนจากภายนอกที่ใช้ฟรี หน้าเครื่องมือระบุว่าตรวจหามัลแวร์และไวรัส สถานะบัญชีดำ ข้อผิดพลาดของเว็บ ซอฟต์แวร์ที่ล้าสมัย และโค้ดอันตราย โดยวิเคราะห์ซอร์สโค้ดจากภายนอกด้วยการเข้าเว็บแบบเดียวกับผู้ใช้ทั่วไป
ข้อจำกัดที่ Sucuri ระบุเอง: remote scanner เข้าถึงได้จำกัดและไม่รับประกันผล เพราะเห็นได้เฉพาะสิ่งที่ปรากฏในระดับเบราว์เซอร์ จะตรวจไม่พบสิ่งที่อยู่ฝั่งเซิร์ฟเวอร์ เช่น Backdoor, หน้า phishing, ตัวส่งอีเมลสแปม (mailer) และสคริปต์ DoS (Sucuri SiteCheck) อีกข้อหนึ่งคือ SiteCheck สแกนจาก URL ที่ระบุเป็นหลัก มัลแวร์ที่ทำงานเฉพาะบางหน้า หรือเลือกแสดงเฉพาะผู้เข้าชมจากมือถือหรือจาก Google อาจไม่ปรากฏในผลสแกน
เช็คด้วยคำสั่ง site: ใน Google
ตัวดำเนินการ site: ใช้ขอผลค้นหาเฉพาะจากโดเมน URL หรือ prefix ที่ระบุ (Google Search Central) วิธีนี้ไม่ต้องติดตั้งอะไรและช่วยหาหน้าแปลกปลอมที่ถูกสร้างขึ้น (URL injection) หรือ title และ description ที่ถูกแก้เป็นสแปม ตัวอย่างการค้น:
ค้นใน Google เพื่อหาหน้าสแปมในโดเมนของคุณ
site:example.com สล็อต
site:example.com บาคาร่า OR casino OR viagra
site:example.com inurl:.html
site:example.com -inurl:wwwเปลี่ยน example.com เป็นโดเมนของคุณ บรรทัดแรกและบรรทัดที่สองหาคำสแปมที่พบบ่อยในเว็บไทย บรรทัดที่สามหาหน้า .html ที่ WordPress ไม่ได้สร้างตามปกติ บรรทัดสุดท้ายช่วยหา subdomain ที่คุณไม่รู้จัก
ถ้าพบหน้าพนันหรือหน้าภาษาต่างประเทศที่ไม่ได้สร้างเอง อ่านกลไกและวิธีจัดการได้ที่ เว็บโดนฝังลิงก์พนัน สล็อต บาคาร่า
ข้อจำกัด: Google ระบุว่า site: ไม่จำเป็นต้องแสดงทุก URL ที่จัดทำดัชนีไว้ เว็บขนาดใหญ่ไม่ควรคาดหวังว่าจะเห็นทุก URL และตัวดำเนินการนี้ออกแบบมาสำหรับผู้ค้นหาทั่วไป (Google Search Central) การไม่พบผลจึงไม่ได้ยืนยันว่าเว็บไม่มีหน้าสแปม และหน้าที่ Google ยังไม่ได้เก็บเข้าดัชนีจะไม่ปรากฏเลย
เช็คด้วยปลั๊กอินและคำสั่งบนเซิร์ฟเวอร์ (Wordfence, WP-CLI)
Wordfence Scan
หน้า Wordfence Security บน WordPress.org ระบุว่าตัวสแกนจะเปรียบเทียบไฟล์ core, theme และ plugin กับไฟล์ใน WordPress.org repository เพื่อรายงานการเปลี่ยนแปลง ตรวจหามัลแวร์ URL อันตราย Backdoor สแปม SEO การ redirect อันตราย และการฝังโค้ด รวมทั้งตรวจเนื้อหาในไฟล์ โพสต์ และคอมเมนต์ ว่ามี URL อันตรายหรือเนื้อหาน่าสงสัยหรือไม่
ข้อจำกัด: หน้าเดียวกันระบุว่าการอัปเดต signature ของมัลแวร์แบบเรียลไทม์เป็นฟีเจอร์ Premium ส่วนรุ่นฟรีได้รับ signature ช้ากว่า 30 วัน มัลแวร์รุ่นใหม่มากจึงอาจยังไม่ถูกตรวจพบในรุ่นฟรี และการเปรียบเทียบไฟล์กับ repository ทำได้เฉพาะ theme และ plugin ที่มีอยู่บน WordPress.org ส่วน theme หรือ plugin แบบเสียเงินที่ไม่มีต้นฉบับในนั้นต้องตรวจด้วยวิธีอื่น วิธีตั้งค่าการสแกนให้เหมาะสมอธิบายไว้ใน วิธีตั้งค่า Wordfence ทีละขั้น และถ้ายังไม่แน่ใจว่าปลั๊กอินนี้เหมาะกับเว็บหรือไม่ อ่าน Wordfence คืออะไร เหมาะกับใคร
WP-CLI verify-checksums
สำหรับเว็บที่เข้า SSH ได้ คำสั่ง wp core verify-checksums จะดาวน์โหลด checksum แบบ md5 ของ WordPress เวอร์ชันที่ติดตั้งจาก WordPress.org แล้วเปรียบเทียบกับไฟล์ที่มีอยู่ และไม่โหลด WordPress ระหว่างตรวจเพื่อความปลอดภัย ส่วน wp plugin verify-checksums ตรวจไฟล์ plugin กับ checksum ของ WordPress.org
เทียบไฟล์ core และ plugin กับต้นฉบับจาก WordPress.org
# ตรวจไฟล์ core และเตือนถ้ามีไฟล์ที่ไม่ใช่ของ WordPress ในโฟลเดอร์ราก
wp core verify-checksums --include-root
# ตรวจ plugin ทุกตัวที่ติดตั้ง (เฉพาะที่มาจาก WordPress.org)
wp plugin verify-checksums --allถ้าผลขึ้น File doesn't verify against checksum แปลว่าไฟล์นั้นต่างจากต้นฉบับ ให้เปิดดูก่อนว่าถูกแก้อะไร ถ้าติดตั้ง WordPress ภาษาไทย ให้ใส่ --locale=th ให้ตรงกับที่ติดตั้ง
ข้อจำกัด: คำสั่งทั้งสองเทียบได้เฉพาะไฟล์ที่มีต้นฉบับบน WordPress.org ไฟล์ในโฟลเดอร์ uploads, theme และ plugin ที่ซื้อจากที่อื่น และข้อมูลในฐานข้อมูลไม่อยู่ในขอบเขตการตรวจ วิธีไล่หาไฟล์แปลกปลอมในส่วนเหล่านี้ด้วยตาอ่านได้ที่ วิธีเช็กไฟล์แปลกปลอมใน WordPress เบื้องต้น
ตารางเปรียบเทียบเครื่องมือฟรี
| เครื่องมือ | ตรวจอะไรได้ | ข้อจำกัด |
|---|---|---|
| Search Console: Security Issues | ปัญหาที่ Google ตรวจพบ: hacked content, malware, social engineering | ต้องยืนยันเจ้าของเว็บ URL ในรายงานเป็นเพียงตัวอย่าง รายงานว่างไม่ได้แปลว่าเว็บสะอาด |
| Search Console: URL Inspection | HTML ดิบ, HTTP headers และ console ที่ Googlebot ได้รับ ช่วยจับ Cloaking | ตรวจทีละ URL การทดสอบสดไม่ได้ตรวจปัญหาความปลอดภัยให้ ต้องอ่าน HTML เอง |
| Safe Browsing site status | สถานะในรายการเว็บไม่ปลอดภัยของ Google (มัลแวร์, phishing, ซอฟต์แวร์ไม่พึงประสงค์) | บอกเฉพาะสิ่งที่ Google ตรวจพบแล้ว มองไม่เห็นไฟล์บนเซิร์ฟเวอร์ |
| VirusTotal URL scan | ผลรวมจาก antivirus และ blocklist มากกว่า 70 ราย | มี false positive ได้ ผลของแต่ละ engine ต่างกัน ไม่มีการแจ้งเตือนไม่ได้แปลว่าปลอดภัย |
| Sucuri SiteCheck | มัลแวร์ในหน้าเว็บ, สถานะบัญชีดำ, ซอฟต์แวร์ล้าสมัย | เห็นเฉพาะระดับเบราว์เซอร์ ตรวจไม่พบ Backdoor, phishing, mailer บนเซิร์ฟเวอร์ |
| คำสั่ง site: ใน Google | หน้าแปลกปลอมและ title สแปมที่ถูกเก็บเข้าดัชนี | ไม่แสดงทุก URL หน้าที่ยังไม่เข้าดัชนีจะไม่ปรากฏ |
| Wordfence Scan (ฟรี) | เทียบไฟล์กับ repository, signature มัลแวร์, URL อันตรายในโพสต์และคอมเมนต์ | signature ช้ากว่ารุ่น Premium 30 วัน เทียบได้เฉพาะของที่มีบน WordPress.org |
| WP-CLI verify-checksums | ไฟล์ core และ plugin ที่ต่างจากต้นฉบับ, ไฟล์แปลกในโฟลเดอร์ราก | ต้องเข้า SSH ได้ ไม่ตรวจ uploads, theme, ของที่ซื้อจากที่อื่น และฐานข้อมูล |
ลำดับการเช็คที่ใช้ได้จริง
จากเคสที่เราแก้ การเช็คจากภายนอกก่อนแล้วค่อยเข้าไปดูข้างในช่วยให้รู้ขอบเขตปัญหาเร็วขึ้น ลำดับที่แนะนำมีดังนี้
- ตรวจ Safe Browsing site status เพื่อดูว่าเว็บถูกบัญชีดำแล้วหรือยัง ใช้เวลาไม่ถึงนาที
- เปิด Search Console ดูรายงาน Security Issues และจดตัวอย่าง URL ทั้งหมด
- ค้นด้วย
site:พร้อมคำสแปมที่พบบ่อย แล้วนำ URL ที่น่าสงสัยไปตรวจใน URL Inspection เพื่อดู HTML ที่ Googlebot ได้รับ - สแกนหน้าแรกและหน้าที่น่าสงสัยด้วย VirusTotal และ Sucuri SiteCheck
- เข้าไปตรวจจากภายในด้วย Wordfence Scan หรือ WP-CLI verify-checksums เพื่อหาไฟล์ที่ถูกแก้ไขหรือเพิ่มเข้ามา
ควรเก็บภาพหน้าจอผลของแต่ละขั้นพร้อมวันเวลาไว้ เพราะ WordPress.org แนะนำให้บันทึกสิ่งที่พบและเวลาเป็นขั้นแรกหลังพบการเจาะ ซึ่งจะเป็นฐานของรายงานเหตุการณ์ (WordPress.org)
ข้อจำกัดของเครื่องมือฟรี และเมื่อไหร่ควรให้ผู้เชี่ยวชาญตรวจ
เครื่องมือฟรีมีจุดอ่อนร่วมกัน 3 ข้อ ข้อแรก เครื่องมือภายนอกมองไม่เห็นไฟล์ฝั่งเซิร์ฟเวอร์ ตามที่ Sucuri ระบุไว้เอง ข้อสอง มัลแวร์บางชนิดเลือกแสดงผลตามเงื่อนไข เช่น แสดงเฉพาะ Googlebot หรือเฉพาะผู้เข้าชมจากมือถือ ทำให้การสแกนครั้งเดียวอาจไม่เจอ ข้อสาม signature-based scanning ตรวจได้เฉพาะรูปแบบที่รู้จักแล้ว รุ่นฟรีบางตัวจึงตามไม่ทันมัลแวร์ใหม่ นอกจากนี้ Backdoor ที่ซ่อนอยู่ทำให้แฮกเกอร์กลับเข้ามาได้แม้ผลสแกนจะดูสะอาด อ่านเพิ่มที่ Backdoor ใน WordPress คืออะไร ทำไมล้างไวรัสแล้วกลับมาติดซ้ำ
ควรให้ผู้เชี่ยวชาญตรวจเมื่อเกิดกรณีใดกรณีหนึ่งต่อไปนี้
- เครื่องมือภายนอกพบปัญหา แต่ปลั๊กอินในเว็บสแกนแล้วไม่พบอะไร หรือกลับกัน
- Google ขึ้นคำเตือนหรือโฮสติ้งระงับเว็บแล้ว (อ่าน Hosting แจ้งพบ Malware ต้องทำอย่างไร)
- ล้างเองแล้วอาการกลับมาภายในไม่กี่วัน
- เว็บเก็บข้อมูลลูกค้าหรือรับชำระเงิน ซึ่งความผิดพลาดจากการตรวจไม่ครบมีผลกระทบสูง
ถ้าตรวจแล้วยืนยันได้ว่าเว็บถูกเจาะ ขั้นตอนถัดไปคือการควบคุมความเสียหายและกู้เว็บอย่างเป็นระบบ ตามบทความ เว็บโดนแฮก ทำอย่างไรดี ขั้นตอนกู้เว็บ WordPress ทีละขั้น หรือให้ทีมของเราตรวจและล้างให้ผ่านบริการ ล้างไวรัส WordPress
คำถามที่พบบ่อย
เช็คเว็บติดไวรัสฟรีด้วยเครื่องมือเดียวพอไหม?
ไม่พอ WordPress.org ระบุว่าเครื่องมือสแกนภายนอกและปลั๊กอินในเว็บออกแบบมาให้ตรวจคนละเรื่อง และการใช้ร่วมกันช่วยเพิ่มโอกาสตรวจพบ อย่างน้อยควรใช้เครื่องมือภายนอก 1 ตัวคู่กับเครื่องมือภายใน 1 ตัว
VirusTotal ไม่เจออะไรเลย แปลว่าเว็บปลอดภัยใช่ไหม?
ไม่ใช่ VirusTotal รวมผลจาก engine หลายราย ซึ่งตรวจได้เฉพาะสิ่งที่เห็นจากภายนอกและรูปแบบที่รู้จักแล้ว Backdoor ในไฟล์ PHP ที่ไม่แสดงผลบนหน้าเว็บจะไม่ปรากฏในผลของ URL scan
Sucuri SiteCheck บอกว่าเว็บสะอาด แต่ Google ยังเตือน เกิดจากอะไร?
Sucuri ระบุว่า SiteCheck เห็นเฉพาะระดับเบราว์เซอร์และไม่รับประกันผล ส่วน Google อาจเห็นเนื้อหาที่แสดงเฉพาะ Googlebot ให้ใช้ URL Inspection ใน Search Console ดู HTML ที่ Googlebot ได้รับ แล้วตรวจไฟล์บนเซิร์ฟเวอร์ต่อ
ไม่มีสิทธิ์เข้า Search Console ของเว็บ จะเช็คอะไรได้บ้าง?
ใช้ Safe Browsing site status, VirusTotal, Sucuri SiteCheck และคำสั่ง site: ได้โดยไม่ต้องยืนยันความเป็นเจ้าของ แต่รายงาน Security Issues และ URL Inspection ใช้ได้เฉพาะเจ้าของ property ที่ยืนยันแล้ว
Wordfence รุ่นฟรีตรวจมัลแวร์ได้ครบไหม?
รุ่นฟรีสแกนไฟล์และเนื้อหาได้ แต่หน้า Wordfence บน WordPress.org ระบุว่า signature ของรุ่นฟรีช้ากว่า 30 วัน มัลแวร์ที่เพิ่งพบใหม่จึงอาจยังตรวจไม่เจอ ควรใช้คู่กับการเทียบ checksum และการตรวจไฟล์ด้วยตา
เช็คแล้วพบว่าติดไวรัสจริง ควรทำอะไรต่อ?
บันทึกสิ่งที่พบพร้อมเวลา สำรองเว็บสภาพปัจจุบัน แล้วทำตามขั้นตอนใน เว็บโดนแฮก ทำอย่างไรดี อย่าลบไฟล์ทันทีก่อนสำรอง เพราะอาจเสียหลักฐานที่ใช้หาต้นเหตุ
แหล่งอ้างอิง
- WordPress.org. (2026). FAQ My site was hacked. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://wordpress.org/documentation/article/faq-my-site-was-hacked/
- Google. (ม.ป.ป.). Security Issues report. Search Console Help. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://support.google.com/webmasters/answer/9044101?hl=en
- Google. (ม.ป.ป.). URL Inspection tool. Search Console Help. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://support.google.com/webmasters/answer/9012289?hl=en
- Google for Developers. (ม.ป.ป.). Safe Browsing. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developers.google.com/safe-browsing
- Google. (ม.ป.ป.). Safe Browsing site status. Google Transparency Report. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://transparencyreport.google.com/safe-browsing/search
- Google. (2017). Updates to the Google Safe Browsing’s Site Status Tool. Google Online Security Blog. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://security.googleblog.com/2017/03/updates-to-google-safe-browsings-site.html
- VirusTotal. (ม.ป.ป.). How it works. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://docs.virustotal.com/docs/how-it-works
- VirusTotal. (ม.ป.ป.). False positive. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://docs.virustotal.com/docs/false-positive
- VirusTotal. (ม.ป.ป.). URL scanner verdict differ from its corresponding antivirus solution. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://docs.virustotal.com/docs/urlscanner-differs
- VirusTotal. (ม.ป.ป.). VirusTotal URL search. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://www.virustotal.com/gui/home/url
- Sucuri. (ม.ป.ป.). Sucuri SiteCheck: Free Website Security Check & Malware Scanner. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://sitecheck.sucuri.net/
- Google Search Central. (ม.ป.ป.). Google Search site: operator. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developers.google.com/search/docs/monitor-debug/search-operators/all-search-site
- Wordfence. (2026). Wordfence Security – Firewall, Malware Scan, and Login Security. WordPress.org Plugins. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://wordpress.org/plugins/wordfence/
- WP-CLI. (ม.ป.ป.). wp core verify-checksums. Developer.WordPress.org. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developer.wordpress.org/cli/commands/core/verify-checksums/
- WP-CLI. (ม.ป.ป.). wp plugin verify-checksums. Developer.WordPress.org. สืบค้นเมื่อ 3 ตุลาคม 2026, จาก https://developer.wordpress.org/cli/commands/plugin/verify-checksums/
