ความเข้าใจผิดเกี่ยวกับ เว็บติดไวรัส บน hosting

เวลาที่ google แจ้งเตือน หรือโปรแกรม anti-virus แจ้งเตือนว่าเว็บไซต์อันตราย แท้จริงแล้ว มันไม่ใช่ ไวรัส
โดยเฉพาะระบบ Unix Hosting จะมีระบบ permission และ owner ที่ไม่สามารถจะทำการ execute ข้าม user กันได้
เพราะหาก hosting ติดไวรัสจริง ลูกค้าภายในเครื่อง hosting ทั้งหมดคงจะติดกันหมดแล้ว

script ต่าง ๆ ที่ปรากฏขึ้นมาแทรกอยู่ในไฟล์เว็บไซต์ของเรา ไม่ใช่ไวรัส แต่คือ worm ที่ฝังตัวเข้ามาพร้อมกับทำหน้าที่นำพา หรือเป็นช่องทาง เพื่อนำไปสู่ ไวรัส server ซึ่งจะอยู่ที่อื่นอีกที เนื่องจากว่า worm เองไม่สามารถที่จะทำลายเครื่องคอมพิวเตอร์ได้ ความแตกต่างก็คือ

worm เป็นพาหะ นำพา เป็นช่องทาง เหมือนการเปิดท่อเอาไว้ มักจะเป็นกรณีที่พวก hacker ต้องการสร้างช่องทางเอาไว้สำหรับส่งข้อมูล หรือนำผู้เข้าชมเว็บไซต์ให้ redirect ไปยัง virus ไฟล์ อีกที หรือไปยังหน้าปลอมแปลงอื่น ๆ และเมื่อผู้เข้าชมเว็บไซต์ไม่ได้ดูให้ละเอียด รอบคอบ อาจจะมีการกดรับไฟล์ นั่นแหละจะคือกระบวนการทำงานของไวรัสจริง ๆ มันมักจะเป็นไฟล์ exe zip rar และพอ download ลงที่เครื่อง มันก็จะทำงานทำลายเครื่องคอมพิวเตอร์

virus เป็นตัวทำลาย ทำลายระบบปฏิบัติการ ระบบโปรแกรมต่าง ๆ จนไม่สามารถที่จะซ่อมแซมได้ ไวรัสบางตัวจะเข้าจัดการกับ system file พวก registry ทำให้ไม่สามารถทำงานได้ เปิดเครื่องก็ไม่ได้ ความแตกต่างก็คือ virus โดยลำพังตัวมันเองมักจะทำลายระบบ window เป็นหลัก ส่วนระบบ unix มันยังทำงานได้ไม่ 100% เนื่องจากว่าติดเรื่องของสิทธิ์ เว้นแต่ว่า virus จะพัฒนาตัวเองจนเข้าสู่ระดับ root ของ server ซึ่งไม่มีทางเป็นไปได้ เพราะ virus ไม่ใช่ hacker

การที่ virus ทำงาน มันจะทำลายเครื่องที่มันอยู่ ไม่สามารถวิ่งไปทำลายเครื่องอื่น ๆ ได้ด้วยตัวของมันเอง เว้นแต่มันทำงานร่วมกับ worm เช่นมีคนเอาไวรัสไฟล์ ไปฝากไว้ที่ server พวกฝากไฟล์ กรณีอย่างนี้ server ที่รับฝากไฟล์ ก็ไม่ติดไวรัส แต่ถ้ามีคนเข้าไป download ไฟล์นั้นมา ก็จะติดที่เครื่องของผู้ที่ download ไฟล์นั้น ซึ่งเป็นระบบ window แล้วถ้าเป็น worm ก็จะเจาะระบบพวกโปรแกรมส่งเมล์ แล้วก็ส่งเมล์กระจาย spam ไปทั่ว โดยมีเนื้อความว่ามีไฟล์ให้ download ลักษณะแบบนี้เป็นการทำงานของ worm คือแพรกระจาย สร้างช่องทางหลอกล่อให้เข้ามา

จากที่กล่าวมาทั้งหมด หลายคนยังเข้าใจผิดคิดว่า hosting ติดไวรัส แท้จริงไม่ใช่ เพราะคนที่ติดไวรัสคือผู้ที่ถือ FTP User เอาไว้ และติด worm กันตั้งแต่ตรงนั้น ตัว worm จึงทำการแก้ไขไฟล์เว็บไซต์ เพราะได้มีการบันทึก user & password ไว้ในโปรแกรม FTP แล้ว โดยสังเกตุว่าวัน modify date จะปรากฏว่ามีการแก้ไขจาก FTP User โดยตรง พวก worm พวกนี้แก้ไขหน้าตาเว็บไซต์ หรือทำ redirect หน้าเว็บไซต์ไปยัง server ที่มีไวรัสอีกที ซึ่งหากมีคนเข้าเว็บไซต์ก็จะถูก redirect ไปทันที

วิธีการแก้ไขปัญหาเว็บไซต์ติดไวรัสค่ะ ตามความข้างล่างนี้

เบื้องต้นต้อง scan ไฟล์ต้นฉบับให้มีความสะอาดก่อน หากลองเปิดดูแล้วยังพบ worm ก็จะต้องตัด script ส่วนนั้นทิ้งไป

ซึ่ง script iframe หรือ java ดังกล่าวเป็น worm ที่โจมตีไฟล์พวก html และ php เป้าหมายคือให้คนเรียกชมถูกพาไปยังอีก Server หนึ่ง ซึ่งบรรจุ virus ไว้

แนะนำให้ทำดังนี้
1. scan และ แก้ไข worm script ให้หมดครับ(ไฟล์ที่ติดจะมีพวก javascript เข้ามาเขียนแทรกอยู่)
2. upload ขึ้นไปใหม่และลองเรียกดูครับ ว่ายังติดอยู่หรือเปล่า ให้ตรวจสอบอย่างละเอียด
3. เปลี่ยน หรือแก้ไข user & password ของ FTP ใหม่
4. scan เครื่องคอมพิวเตอร์ของคุณที่ได้ทำการ set FTP account ไว้ เพราะอาจจะติดจากตรงนั้นแล้วส่งตรงมาที่ Server
5. ให้ทำการ chmod permission ของไฟล์และ directory ต่าง ๆ ให้มีความรัดกุม ไม่ควรเปิด 777 หมด เพราะจะโดนโจมตีได้ง่าย
6. ลองหาโปรแกรม avast และ spybot ทำการสแกนดูเป็นประจำ

ทั้งนี้ต้องเรียนให้ทางท่านลูกค้าเข้าใจว่าตัว virus บนระบบ unix เองยังไม่มีปรากฎ หากเป็นพวก worm มักจะลากไปยัง virus server อีกทีซึ่งประสงค์จะโจมตีเฉพาะผู้เข้าชมเว็บไซต์ ซึ่งจากที่เจอทุกครั้งคือเครื่องของผู้ update เว็บไซต์มีการติดหนอน ลองหาโปรแกรม avast และ spybot ทำการสแกนดู

ค่าpermissionให้ทำการตั้งค่าดังนี้

สำหรับไฟล์ทั่วไปที่อ่านอย่างเดียว
Owner = User
Group = Apache
Folders permission 750
Files permission 640

สำหรับ folder และ file ที่ต้องมีการเขียนทับ
Owner = User
Group = Apache
Folders permission 770
Files permission 660

การปลดล็อคจากการเป็นไซต์อันตรายตามที่ google ระบุ
http://naxza.com/hosting/how-to-check-and-fix-malware-worm-badware-for-google-search-result.php