ผู้ให้บริการเว็บโฮสติ้งของคุณมีช่องโหว่แค่ไหน?

บทความที่เขียนโดย:
  • คู่มือการโฮสต์
  • อัปเดต: ก.ย. 14, 2020

ความพยายามในการแฮ็กเว็บไซต์เป็นเรื่องปกติมากกว่าที่คุณคิด ในขณะที่พวกเราหลายคนไม่เห็นพวกเขา แต่การโจมตีแบบเงียบ ๆ มักจะเกิดขึ้นทุกที่บนเน็ต การโจมตีส่วนใหญ่มีเป้าหมายที่บัญชีเว็บโฮสติ้ง

ช่องโหว่ของเว็บโฮสติ้งมีสองประเภทกว้าง ๆ แบบแรกเป็นแบบทั่วไปในขณะที่แบบที่สองมีความเฉพาะเจาะจงมากขึ้น ตัวอย่างเช่นในประเภทของ แผนเว็บโฮสติ้งโดยปกติแล้วโฮสติ้งที่ใช้ร่วมกันจะถือว่ามีความเสี่ยงมากที่สุด

ช่องโหว่ของโฮสต์เว็บ

ช่องโหว่ของโฮสต์เว็บทั่วไป

1. ความพยายามในการสร้าง Botnet

นักแสดงที่เป็นอันตรายเป็นที่ทราบกันดีว่ากำหนดเป้าหมายเว็บเซิร์ฟเวอร์ทั้งหมดในความพยายามที่จะสร้าง บ็อตเน็ต. ในความพยายามเหล่านี้เป้าหมายทั่วไปรวมถึงเฟรมเวิร์กเว็บเซิร์ฟเวอร์และโดยทั่วไปเกี่ยวข้องกับการหาประโยชน์ที่เปิดเผยต่อสาธารณะ

ความพยายามขั้นสูงและเข้มข้นเหล่านี้มักจะเอาชนะผู้ให้บริการเว็บโฮสติ้งที่มีความยืดหยุ่นน้อยกว่า โชคดีที่เมื่อค้นพบแล้วช่องโหว่มักจะได้รับการแก้ไขอย่างรวดเร็วโดยโฮสต์เว็บส่วนใหญ่

2. การโจมตี DDoS

สถิติการโจมตี DDoS
ระยะเวลาของการโจมตี DDoS ใน Q1 2020 และ Q1 และ Q4 2019 ใน Q1 2020 มีการเพิ่มขึ้นอย่างมากทั้งปริมาณและคุณภาพของการโจมตี DDoS จำนวนการโจมตีเพิ่มขึ้นเป็นสองเท่าเมื่อเทียบกับช่วงเวลารายงานก่อนหน้านี้และ 80% เมื่อเทียบกับไตรมาสที่ 1 ปี 2019 การโจมตียังยาวนานขึ้นโดยมีระยะเวลาเฉลี่ยและระยะเวลาสูงสุดเพิ่มขึ้นอย่างชัดเจน ((ที่มา )).

การปฏิเสธการให้บริการแบบกระจาย (DDoS) ไม่ใช่ช่องโหว่ แต่ตามความหมายของชื่อคือรูปแบบหนึ่งของการโจมตี ผู้ไม่ประสงค์ดีพยายามที่จะทำให้เซิร์ฟเวอร์ (หรือบริการเฉพาะ) ท่วมเซิร์ฟเวอร์ด้วยข้อมูลจำนวนมาก

บริการเว็บโฮสติ้งที่ไม่ได้เตรียมไว้อาจทำให้เป็นอัมพาตได้จากการโจมตีเหล่านี้ เนื่องจากมีการใช้ทรัพยากรมากขึ้นเว็บไซต์บนเซิร์ฟเวอร์จึงไม่สามารถตอบคำถามจริงจากผู้เยี่ยมชมได้

อ่านเพิ่มเติม: ตัวเลือกระดับมืออาชีพในการป้องกันเว็บไซต์ของคุณจากการโจมตี DDoS.

3. การกำหนดค่าเว็บเซิร์ฟเวอร์ผิด

เจ้าของเว็บไซต์พื้นฐานโดยเฉพาะผู้ที่ใช้โฮสติ้งที่ใช้ร่วมกันมักจะไม่รู้ว่าเซิร์ฟเวอร์ของตนได้รับการกำหนดค่าอย่างเหมาะสมหรือไม่ ปัญหาจำนวนมากอาจเกิดจากเซิร์ฟเวอร์ที่กำหนดค่าไม่ดี

ตัวอย่างเช่นการเรียกใช้แอปพลิเคชันที่ไม่ได้ติดตั้งหรือล้าสมัย แม้ว่าจะมีกลไกการจัดการข้อผิดพลาดสำหรับปัญหาทางเทคนิคที่เกิดขึ้นระหว่างการดำเนินการข้อบกพร่องก็ยังคงมองไม่เห็นจนกว่าจะถูกใช้ประโยชน์

การกำหนดค่าที่ไม่ถูกต้องในเซิร์ฟเวอร์อาจทำให้เซิร์ฟเวอร์ตรวจสอบสิทธิ์การเข้าถึงไม่ถูกต้อง การซ่อนฟังก์ชันที่ถูก จำกัด หรือลิงก์ไปยัง URL เพียงอย่างเดียวนั้นไม่เพียงพอเนื่องจากแฮกเกอร์สามารถเดาพารามิเตอร์ที่เป็นไปได้ตำแหน่งทั่วไปแล้วทำการเข้าถึงแบบเดรัจฉาน

จากตัวอย่างนี้ผู้โจมตีสามารถใช้ประโยชน์จากสิ่งที่เล็กและเรียบง่ายอย่าง JPEG ที่ไม่มีการป้องกันเพื่อให้ผู้ดูแลระบบเข้าถึงเซิร์ฟเวอร์ได้ พวกเขาแก้ไขพารามิเตอร์ง่ายๆที่ชี้ไปยังวัตถุในระบบจากนั้นจึงอยู่ใน

ช่องโหว่ของโฮสติ้งที่ใช้ร่วมกัน

ในสภาพแวดล้อมการโฮสต์ที่ใช้ร่วมกันอาจกล่าวได้ว่าทุกคนนั่งอยู่ในเรือลำเดียวกัน แม้ว่าแต่ละเซิร์ฟเวอร์จะมีผู้ใช้หลายร้อยคน แต่การโจมตีเพียงครั้งเดียวก็สามารถจมเรือทั้งลำได้ดังนั้นจึงต้องพูด

“ ทั้งห้า (ผู้ให้บริการเว็บโฮสติ้ง) มีช่องโหว่ร้ายแรงอย่างน้อยหนึ่งรายการที่ทำให้มีการลักลอบบัญชีผู้ใช้” Paulos Yibeloนักล่าแมลงที่เป็นที่รู้จักและได้รับการยอมรับ TechCrunchซึ่งเขาได้แบ่งปันสิ่งที่พบก่อนที่จะเผยแพร่สู่สาธารณะ

ดังที่ Yibelo แสดงให้เห็น - การโจมตีไม่ได้เกิดจากการโจมตีที่ซับซ้อนหรือไฟร์วอลล์ที่ถูกทำลาย เพียงแค่ผ่านประตูหน้าของโฮสต์ของไซต์ซึ่งต้องใช้ความพยายามเพียงเล็กน้อยสำหรับแฮ็กเกอร์ทั่วไป

4. สภาพแวดล้อมที่ไม่ได้รับความเสียหาย

บัญชีโฮสติ้งที่ใช้ร่วมกันเป็นเหมือนกลุ่มข้อมูลขนาดใหญ่ แม้ว่าแต่ละบัญชีจะได้รับการจัดสรรทรัพยากรบางส่วน แต่โดยทั่วไปแล้วทรัพยากรทั้งหมดจะอยู่ในสภาพแวดล้อมเดียว ไฟล์เนื้อหาและข้อมูลทั้งหมดอยู่ในพื้นที่เดียวกันแบ่งตามโครงสร้างไฟล์

ด้วยเหตุนี้ไซต์ในแผนการโฮสต์ที่ใช้ร่วมกันจึงมีการเชื่อมโยงภายใน หากแฮ็กเกอร์สามารถเข้าถึงไดเร็กทอรีหลักไซต์ทั้งหมดอาจตกอยู่ในความเสี่ยง แม้ว่าบัญชีเดียวจะถูกบุกรุก แต่การโจมตีโดยใช้ทรัพยากรจะส่งผลกระทบอย่างมาก

5. ช่องโหว่ของซอฟต์แวร์

แม้ว่าจะมีช่องโหว่ของซอฟต์แวร์สำหรับบัญชีโฮสติ้งทุกประเภท แต่เซิร์ฟเวอร์ที่ใช้ร่วมกันมักจะมีความเสี่ยงมากกว่า เนื่องจากมีบัญชีจำนวนมากต่อเซิร์ฟเวอร์จึงอาจมีแอปพลิเคชันที่แตกต่างกันจำนวนมากซึ่งทั้งหมดนี้ต้องมีการอัปเดตเป็นประจำ

6 มัลแวร์

ในทำนองเดียวกันกับช่องโหว่ของซอฟต์แวร์มัลแวร์อาจส่งผลกระทบอย่างมากต่อเซิร์ฟเวอร์โฮสติ้งที่ใช้ร่วมกัน โปรแกรมที่เป็นอันตรายเหล่านี้สามารถหาทางเข้าสู่บัญชีโฮสติ้งที่ใช้ร่วมกันได้หลายวิธี

มีไวรัสโทรจันเวิร์มและสปายแวร์หลายประเภทที่ทุกอย่างเป็นไปได้ เนื่องจากลักษณะของโฮสติ้งที่ใช้ร่วมกันหากเพื่อนบ้านของคุณมีคุณก็น่าจะจับได้เช่นกันในที่สุด

คำแนะนำ: โฮสต์เว็บพร้อมการสแกนมัลแวร์ฟรี - A2 Hosting, Hostinger, Kinsta.

7. แชร์ IP

บัญชีโฮสติ้งที่แชร์จะแชร์ที่อยู่ IP ด้วย เป็นเรื่องปกติที่เว็บไซต์หลายแห่งในบัญชีโฮสติ้งที่ใช้ร่วมกันจะถูกระบุด้วยที่อยู่ IP เดียว สิ่งนี้จะเปิดพื้นที่ทั้งหมดของปัญหาที่อาจเกิดขึ้น

ตัวอย่างเช่นหากเว็บไซต์ใดเว็บไซต์หนึ่งทำงานไม่ดี (เช่นการส่งสแปมเป็นต้น) อาจเป็นไปได้ว่าไซต์อื่น ๆ ทั้งหมดที่ใช้ IP ร่วมกันจะถูกขึ้นบัญชีดำ การนำ IP ที่ขึ้นบัญชีดำออกเป็นเรื่องที่ท้าทายอย่างมาก

อ่านเพิ่มเติม: เคล็ดลับในการเลือกผู้ให้บริการเว็บโฮสติ้งที่ปลอดภัย.

ช่องโหว่ของ VPS / Cloud Hosting

ลักษณะของ VPS หรือ Cloud หมายความว่าโดยทั่วไปมีความปลอดภัยมากกว่า เซิร์ฟเวอร์โฮสติ้งที่ใช้ร่วมกันราคาถูก.

อย่างไรก็ตามศักยภาพในการเข้าถึงเซิร์ฟเวอร์ที่เชื่อมต่อระหว่างกันขั้นสูงหมายความว่าวันจ่ายเงินสำหรับแฮกเกอร์ก็มีกำไรมากขึ้นเช่นกัน ดังนั้นจึงสามารถคาดหวังวิธีการบุกรุกขั้นสูงเพิ่มเติมได้

8. การปลอมแปลงความปลอดภัยข้ามไซต์

ยังเป็นที่รู้จัก การปลอมแปลงคำขอข้ามไซต์ (CSRF)โดยทั่วไปแล้วข้อบกพร่องนี้จะพบว่ามีผลต่อเว็บไซต์ที่ใช้โครงสร้างพื้นฐานที่มีความปลอดภัยต่ำ ในบางครั้งผู้ใช้จะบันทึกข้อมูลประจำตัวไว้ในบางแพลตฟอร์มและอาจมีความเสี่ยงหากเว็บไซต์ที่เกี่ยวข้องไม่มีโครงสร้างพื้นฐานที่แข็งแกร่ง

โดยเฉพาะอย่างยิ่งในบัญชีเว็บโฮสติ้งที่มีการเข้าถึงเป็นประจำ ในสถานการณ์เหล่านี้การเข้าถึงจะซ้ำซากดังนั้นโดยปกติข้อมูลประจำตัวจะถูกบันทึกไว้ ด้วยการปลอมแปลงขอแนะนำให้ผู้ใช้ดำเนินการที่ไม่ได้วางแผนไว้ตั้งแต่แรก

เทคนิคเหล่านี้ได้ระบุไว้ในช่วงเวลาล่าสุด จุดอ่อนที่อาจเกิดขึ้นในการยึดบัญชี ในแพลตฟอร์มโฮสติ้งยอดนิยมต่างๆเช่น Bluehost, Dreamhost, HostGator, FatCow และ iPage

พิจารณาสิ่งนี้,

ตัวอย่างนี้สามารถแสดงให้เห็นได้ว่าเป็นสถานการณ์การฉ้อโกงทางการเงินทั่วไป

ผู้โจมตีสามารถกำหนดเป้าหมายบุคคลที่เสี่ยงต่อ CSRF โดยไปที่ URL ที่ถูกต้อง ข้อมูลโค้ดปลอมที่ดำเนินการโดยอัตโนมัติบนไซต์สามารถสั่งให้ธนาคารของเป้าหมายโอนเงินโดยอัตโนมัติ

ข้อมูลโค้ดอาจถูกฝังไว้ด้านหลังภาพโดยใช้รหัสดังต่อไปนี้:

<img src = http: //example.com/app/transferFunds? amount = 1500 & destinationAccount = 4673243243 width = 0 height = 0 />

*หมายเหตุ: นี่เป็นเพียงตัวอย่างและโค้ดจะไม่ทำงาน

9. การฉีด SQL

สำหรับเว็บไซต์หรือแพลตฟอร์มออนไลน์องค์ประกอบที่สำคัญที่สุดคือข้อมูล ใช้สำหรับการคาดการณ์การวิเคราะห์และวัตถุประสงค์อื่น ๆ ประการที่สองหากข้อมูลทางการเงินที่เป็นความลับเช่นพินบัตรเครดิตตกอยู่ในมือคนผิดอาจสร้างปัญหาใหญ่ได้

ข้อมูลที่ส่งเข้าและออกจากเซิร์ฟเวอร์ฐานข้อมูลต้องผ่านโครงสร้างพื้นฐานที่เชื่อถือได้ แฮกเกอร์จะพยายาม ส่งสคริปต์ SQL ไปยังเซิร์ฟเวอร์เพื่อให้สามารถดึงข้อมูลเช่นข้อมูลลูกค้า ซึ่งหมายความว่าคุณต้องสแกนคำค้นหาทั้งหมดก่อนที่จะไปถึงเซิร์ฟเวอร์

หากไม่มีระบบการกรองที่ปลอดภัยข้อมูลสำคัญของลูกค้าอาจสูญหายได้ ควรสังเกตว่าการใช้งานดังกล่าวจะช่วยเพิ่มเวลาในการดึงข้อมูล

10. การใช้ประโยชน์จากข้อบกพร่อง XSS

โดยปกติแฮกเกอร์จะมีความสามารถในการเขียนโค้ดสูงและการเตรียมสคริปต์ส่วนหน้าก็ไม่ใช่ปัญหา สามารถใช้ Javascript หรือภาษาโปรแกรมอื่น ๆ ในการแทรกโค้ด การโจมตีในลักษณะนี้มักจะโจมตีข้อมูลประจำตัวของผู้ใช้

สคริปต์ที่ใช้ XSS ที่เป็นอันตราย สามารถเข้าถึงข้อมูลที่เป็นความลับหรือเปลี่ยนเส้นทางผู้เยี่ยมชมไปยังลิงก์ที่แฮ็กเกอร์กำหนดเป้าหมาย ในบางกรณี บริษัท อาจใช้เทคนิคเช่นนี้เพื่อดำเนินธุรกิจที่ฉ้อโกง

11. การเข้ารหัสที่ไม่ปลอดภัย

อัลกอริทึมการเข้ารหัส โดยปกติจะใช้ตัวสร้างตัวเลขสุ่ม แต่เซิร์ฟเวอร์ส่วนใหญ่ทำงานโดยไม่มีการโต้ตอบกับผู้ใช้มากนัก สิ่งนี้อาจนำไปสู่ความเป็นไปได้ของแหล่งที่มาของการสุ่มที่ต่ำกว่า ผลลัพธ์อาจเป็นตัวเลขที่คาดเดาได้ง่ายซึ่งเป็นจุดอ่อนสำหรับการเข้ารหัส

12. เครื่องเสมือนหลบหนี

เครื่องเสมือนหลายเครื่องทำงานบนไฮเปอร์ไวเซอร์ในเซิร์ฟเวอร์จริง เป็นไปได้ว่าผู้โจมตีสามารถใช้ประโยชน์จากไฟล์ ช่องโหว่ของไฮเปอร์ไวเซอร์ จากระยะไกล แม้ว่าจะหายาก แต่ในสถานการณ์เหล่านี้ผู้โจมตีอาจสามารถเข้าถึงเครื่องเสมือนอื่นได้เช่นกัน

13. ความอ่อนแอของซัพพลายเชน

ในขณะที่การกระจายทรัพยากรเป็นข้อได้เปรียบที่สำคัญของ Cloud Hostingก็อาจเป็นจุดด้อยได้เช่นกัน หากคุณเคยได้ยินคำว่า“ คุณแข็งแกร่งพอ ๆ กับจุดอ่อนที่สุดของคุณเท่านั้น” นั่นใช้ได้กับระบบคลาวด์อย่างสมบูรณ์แบบ

การโจมตีที่ซับซ้อนและส่วนใหญ่อยู่ที่ผู้ให้บริการคลาวด์ สิ่งนี้ไม่เฉพาะเจาะจงกับ Cloud และสามารถเกิดขึ้นได้จากที่อื่น สามารถเพิ่มการดาวน์โหลดจากเซิร์ฟเวอร์การอัปเดตสดพร้อมฟังก์ชันที่เป็นอันตรายได้ ลองนึกภาพผู้ใช้จำนวนมากที่ดาวน์โหลดซอฟต์แวร์นี้ อุปกรณ์ของพวกเขาจะติดโปรแกรมที่เป็นอันตรายนี้

14. API ที่ไม่ปลอดภัย

Application User Interfaces (API) ใช้เพื่อช่วยปรับปรุงกระบวนการประมวลผลบนคลาวด์ หากไม่ได้รับการรักษาความปลอดภัยอย่างเหมาะสมก็สามารถเปิดช่องให้แฮกเกอร์ใช้ประโยชน์จากทรัพยากรของ Cloud ได้

ด้วยส่วนประกอบที่นำกลับมาใช้ใหม่ได้รับความนิยมจึงอาจเป็นเรื่องยากที่จะป้องกันอย่างเพียงพอจากการใช้ API ที่ไม่ปลอดภัย ในการพยายามบุกรุกแฮ็กเกอร์สามารถลองเข้าถึงขั้นพื้นฐานซ้ำแล้วซ้ำอีกเพียงแค่ค้นหาประตูที่ปลดล็อกเพียงบานเดียว

ค้นหาข้อมูลเพิ่มเติม: ผู้ให้บริการโฮสติ้ง VPS ที่ดีที่สุด / สุดยอดผู้ให้บริการคลาวด์โฮสติ้ง


คิด Final

การโจมตีทางไซเบอร์ประเภทต่างๆบนเว็บไซต์ที่ตรวจพบในช่วงครึ่งแรกของปี 2020
การโจมตีทางไซเบอร์ประเภทต่างๆบนเว็บไซต์ที่ตรวจพบในช่วงครึ่งแรกของปี 2020 ((ที่มา )).

เมื่อพวกเราส่วนใหญ่นึกถึง ความปลอดภัยของเว็บไซต์โดยทั่วไปมักมาจากมุมของการเอาชนะจุดอ่อนของเว็บไซต์ของเราเอง น่าเสียดายอย่างที่คุณเห็นผู้ให้บริการเว็บโฮสติ้งมีความรับผิดชอบเท่าเทียมกันในการป้องกันการโจมตีอื่น ๆ เช่นกัน

แม้ว่าคุณจะสามารถโน้มน้าวให้ผู้ให้บริการปกป้องตัวเองได้ไม่มากนัก แต่การรับรู้นี้สามารถช่วยคุณได้ สร้างตัวเลือกเว็บโฮสติ้งที่ดีขึ้น. ตัวอย่างเช่นการสังเกตการเน้นที่โฮสต์เว็บให้ความสำคัญกับการรักษาความปลอดภัยคุณจะได้รับแนวคิดที่ดีขึ้นเกี่ยวกับความปลอดภัยของเซิร์ฟเวอร์ของตน

โฮสต์เว็บบางแห่งใช้การป้องกันความปลอดภัยขั้นพื้นฐาน - ถ้าเป็นไปได้ให้พยายามหลีกเลี่ยงสิ่งเหล่านี้ คนอื่น ๆ อาจไปไกลถึงการทำงานที่มีชื่อเสียง โลกไซเบอร์ แบรนด์ต่างๆหรือแม้กระทั่งพัฒนาเครื่องมือและโซลูชันการรักษาความปลอดภัยภายในองค์กร

ราคาของเว็บโฮสติ้งสูงกว่าทรัพยากรที่จัดสรรให้คุณดังนั้นควรสร้างสมดุลให้กับตัวเลือกของคุณอย่างชาญฉลาด

เกี่ยวกับ Jerry Low

ผู้ก่อตั้ง WebHostingSecretRevealed.net (WHSR) - การตรวจสอบโฮสต์ที่เชื่อถือได้และใช้งานโดยผู้ใช้ของ 100,000 ประสบการณ์มากกว่า 15 ปีในเว็บโฮสติ้งการตลาดพันธมิตรและ SEO ผู้ร่วมให้ข้อมูลแก่ ProBlogger.net, Business.com, SocialMediaToday.com และอีกมากมาย