ช่องโหว่ง่ายๆ แค่เปลี่ยน URL ก็เผยข้อมูลลับบน WordPress ได้!
หลายคนอาจคิดว่าการโจมตีทางไซเบอร์ต้องซับซ้อน ใช้เครื่องมือระดับสูง หรือทักษะขั้นเทพเสมอไป
แต่ความจริงแล้ว ช่องโหว่หลายอย่างกลับเกิดจากเรื่องพื้นฐานที่หลายคนมองข้ามไป
อย่างกรณีล่าสุดที่แสดงให้เห็นว่า เพียงแค่ปรับเปลี่ยนพารามิเตอร์ใน URL เล็กน้อย ก็สามารถดึงข้อมูลที่ควรจะเป็นความลับออกมาจากเว็บไซต์ WordPress ได้อย่างง่ายดาย
นี่คือเรื่องราวที่พิสูจน์ว่าบางครั้ง การป้องกันที่ดีที่สุดก็เริ่มจากการตรวจสอบสิ่งที่ไม่ซับซ้อน
การค้นพบที่เรียบง่ายแต่ทรงพลัง
เรื่องนี้เริ่มต้นขึ้นเมื่อมีคนไปเจอเว็บไซต์ WordPress แห่งหนึ่งที่กำลังอยู่ในโหมด “กำลังจะเปิดตัว” หรือ “Coming Soon” ซึ่งไม่ควรจะแสดงเนื้อหาใดๆ เลย
โดยปกติแล้ว หากเว็บไซต์ยังไม่เปิดให้บริการ การเข้าถึงหน้าต่างๆ ควรถูกจำกัด
แต่ด้วยความสงสัย เพียงแค่ลองเปลี่ยน URL จาก yourwebsite.com เป็น yourwebsite.com/?author=1 เท่านั้น
ผลลัพธ์ที่ได้คือ การเปลี่ยนเส้นทางไปยังหน้าโปรไฟล์ของผู้เขียนที่ชื่อว่า “admin” และยังเปิดเผยโพสต์ทั้งหมดที่ผู้เขียนคนนั้นเคยเขียนไว้
ไม่ว่าจะเป็นโพสต์ที่เผยแพร่แล้ว หรือแม้แต่ โพสต์ที่ยังเป็นฉบับร่าง (draft) ก็ปรากฏให้เห็นอย่างชัดเจน!
นี่คือสิ่งที่น่าตกใจ เพราะมันหมายความว่าแค่ลองเปลี่ยนตัวเลข author=ID ไปเรื่อยๆ เช่น ?author=2, ?author=3 ก็สามารถ ไล่เรียงหาชื่อผู้ใช้งาน (enumerate usernames) และเข้าถึงข้อมูลที่ยังไม่ควรเปิดเผยได้ทั้งหมด
โดยที่ไม่ต้องใช้เครื่องมือเจาะระบบที่ซับซ้อนเลยแม้แต่น้อย
ข้อมูลอะไรบ้างที่อาจรั่วไหล?
การโจมตีแบบง่ายๆ นี้สามารถนำไปสู่การรั่วไหลของข้อมูลที่สำคัญได้หลายอย่าง
อย่างแรกคือ ชื่อผู้ใช้งาน (usernames) ของผู้ดูแลระบบหรือผู้เขียนในเว็บไซต์ทั้งหมด
ซึ่งเป็นข้อมูลที่มีค่ามากสำหรับผู้ไม่หวังดีในการพยายาม เดารหัสผ่าน (brute-force passwords) ต่อไป
อย่างที่สองคือ เนื้อหาที่ยังไม่เผยแพร่ หรือ โพสต์ฉบับร่าง ซึ่งอาจเป็นข้อมูลลับ แผนงาน หรือแม้แต่ข้อความส่วนตัว
การเปิดเผยข้อมูลเหล่านี้ก่อนเวลาอันควร อาจส่งผลเสียต่อธุรกิจหรือเจ้าของเว็บไซต์อย่างร้ายแรง
นอกจากนี้ ยังอาจนำไปสู่การระบุ โครงสร้างของเว็บไซต์ และ ID ของโพสต์ ต่างๆ ซึ่งเป็นข้อมูลที่มีค่าในการวางแผนโจมตีในอนาคต
แสดงให้เห็นว่าแม้แต่ข้อมูลที่ดูเหมือนไม่มีพิษมีภัย ก็อาจกลายเป็นประตูสู่การโจมตีที่ใหญ่ขึ้นได้
วิธีป้องกันภัยไซเบอร์ที่มองข้ามไม่ได้
จากเหตุการณ์นี้ ชี้ให้เห็นว่าการตั้งค่าพื้นฐานใน WordPress นั้นสำคัญเพียงใด การป้องกันจึงควรเริ่มต้นตั้งแต่การกำหนดค่าเว็บไซต์
ประการแรก ควร ปิดการใช้งานหน้าเก็บถาวรของผู้เขียน (disable author archives) หากไม่มีความจำเป็น เพราะหน้านี้มักจะเปิดเผยชื่อผู้ใช้งาน
ประการที่สองคือการ ใช้โครงสร้างลิงก์ถาวร (permalinks) แบบกำหนดเอง ที่ไม่เปิดเผย ID ผู้ใช้งานหรือโพสต์โดยตรง
การติดตั้งและตั้งค่า ปลั๊กอินด้านความปลอดภัย (security plugins) ที่มีประสิทธิภาพ ก็เป็นอีกทางเลือกหนึ่งที่ช่วยป้องกันการโจมตีแบบนี้ได้
นอกจากนี้ การ จัดการบทบาทของผู้ใช้งาน (user roles) อย่างรัดกุม และหลีกเลี่ยงการใช้ชื่อผู้ใช้งานที่เดาง่าย เช่น “admin” ก็เป็นสิ่งสำคัญอย่างยิ่ง
การตรวจสอบเว็บไซต์อย่างสม่ำเสมอ และอัปเดตระบบให้เป็นเวอร์ชันล่าสุดอยู่เสมอ จะช่วยลดความเสี่ยงจากช่องโหว่ที่อาจเกิดขึ้นได้
ความปลอดภัยของเว็บไซต์ไม่ได้ขึ้นอยู่กับความซับซ้อนของเครื่องมือเสมอไป แต่ขึ้นอยู่กับความใส่ใจในรายละเอียดเล็กๆ น้อยๆ และการกำหนดค่าที่เหมาะสมต่างหาก