ระบบตรวจสอบไฟล์ในเว็บไซต์ WordPress แบบเรียลไทม์ — สแกนไฟล์, ตรวจจับ Web Shell, แจ้งเตือนผ่าน Email + Telegram + LINE, บล็อก IP อัตโนมัติเมื่อถูกโจมตี
Andudo Security คือปลั๊กอินความปลอดภัยสำหรับ WordPress ที่ออกแบบมาเพื่อตรวจสอบการเปลี่ยนแปลงของไฟล์ในเว็บไซต์แบบเรียลไทม์ โดยใช้เทคนิค File Integrity Monitoring (FIM) ผสานกับระบบสแกนมัลแวร์ PHP และการตรวจจับการละเมิด .htaccess เมื่อพบเหตุการณ์ผิดปกติ ระบบจะแจ้งเตือนผ่านหลายช่องทางพร้อมกัน ทั้ง Email, Telegram และ LINE Messaging API เพื่อให้ผู้ดูแลระบบสามารถตอบสนองต่อเหตุการณ์รุนแรงได้อย่างรวดเร็ว
ปลั๊กอินทำงานบนสถาปัตยกรรมที่ออกแบบมาเพื่อประสิทธิภาพและความปลอดภัย ตั้งแต่การจัดการฐานข้อมูล การสแกนไฟล์ การตรวจจับภัยคุกคาม ไปจนถึงการแจ้งเตือนหลายช่องทาง ทำให้สามารถบำรุงรักษาและขยายความสามารถได้ง่าย
สร้าง hash baseline ของไฟล์ทั้งหมดในรอบแรก จากนั้นเปรียบเทียบ SHA-256 ในรอบถัดไปเพื่อตรวจจับการเปลี่ยนแปลง
สแกนเนื้อหาไฟล์ PHP และ .htaccess ด้วยลายเซ็นที่ออกแบบมาเฉพาะสำหรับจับ web shell และการละเมิด config
ส่งการแจ้งเตือนพร้อมกันผ่าน Email, Telegram และ LINE Messaging API เพื่อให้ทีมตอบสนองได้เร็วที่สุด
จัดประเภทเหตุการณ์เป็น info / warning / critical เพื่อให้ทีมโฟกัสที่เหตุการณ์รุนแรงก่อนเสมอ
แต่ละฟีเจอร์ถูกออกแบบมาให้ทำงานร่วมกันแบบ pipeline เมื่อสแกนไฟล์พบเหตุการณ์ผิดปกติ ระบบจะสร้าง event พร้อม severity ที่เหมาะสม จัดเก็บใน database แล้ว dispatch ไปยัง notification channels ที่เปิดใช้งาน ทุกขั้นตอนสามารถปรับแต่งได้ผ่าน settings ใน admin
ตรวจสอบความสมบูรณ์ของไฟล์
ระบบสร้าง baseline ของไฟล์ทั้งหมดในรอบแรก จากนั้นตรวจจับการเปลี่ยนแปลงของเนื้อหาโดยเปรียบเทียบ hash อัตโนมัติ แจ้งเตือนเมื่อพบไฟล์ใหม่ ถูกแก้ไข หรือถูกลบ
ใช้การเปรียบเทียบ hash และ metadata ของไฟล์เทียบกับ baseline ทำงานแบบ batch เพื่อประสิทธิภาพ
ตรวจจับ Web Shell
สแกนเนื้อหาไฟล์ PHP และไฟล์สคริปต์อื่น ๆ เพื่อค้นหาโค้ดอันตรายที่อาจใช้เป็น backdoor หรือ web shell โดยใช้ฐานข้อมูลลายเซ็นที่ครอบคลุม
วิเคราะห์เนื้อหาไฟล์ด้วยรูปแบบที่ครอบคลุม ทั้งการเข้ารหัสและการซ่อนโค้ด จำกัดขนาดไฟล์เพื่อความปลอดภัย
ตรวจจับการละเมิด .htaccess
วิเคราะห์ไฟล์ .htaccess เพื่อค้นหาการตั้งค่าที่เป็นอันตราย เช่น การบังคับให้รัน PHP ในไฟล์ที่ไม่ควร หรือเปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์อันตราย
ตรวจสอบรูปแบบการตั้งค่าที่รู้จัก และแทนที่ hostname จริงเพื่อลดการแจ้งเตือนเท็จ
ตรวจจับ PHP ในโฟลเดอร์อัปโหลด
แจ้งเตือนทันทีเมื่อพบไฟล์ PHP ในโฟลเดอร์ที่ควรมีเฉพาะสื่อ เช่น wp-content/uploads ซึ่งเป็นสัญญาณของการอัปโหลด web shell
ตรวจสอบนามสกุลไฟล์และชื่อไฟล์ที่มี double extension ในเส้นทางที่กำหนด
ตรวจสอบสิทธิ์ไฟล์
ตรวจสอบ permission ของไฟล์เพื่อหาไฟล์ที่ตั้งค่าให้ใครก็ได้เขียน (world-writable) ซึ่งอาจถูกแก้ไขโดยผู้ไม่หวังดี
อ่าน permission ของแต่ละไฟล์และแจ้งเตือนหากพบความเสี่ยง
แจ้งเตือนหลายช่องทาง
เมื่อพบเหตุการณ์ผิดปกติ ระบบจะส่งการแจ้งเตือนไปยังหลายช่องทางพร้อมกัน ได้แก่ Email, Telegram และ LINE เพื่อให้ทีมตอบสนองได้ทันท่วงที
รวบรวมเหตุการณ์ทั้งหมดแล้วกระจายไปยังช่องทางที่เปิดใช้งาน พร้อมระบบป้องกันการส่งซ้ำ
บล็อก IP อัตโนมัติ
ตรวจสอบการโจมตีแบบ brute-force หรือการร้องขอที่ผิดปกติจาก IP ภายนอก แล้วบล็อก IP นั้นใน .htaccess โดยอัตโนมัติ
อ่าน log การเข้าถึงและเพิ่มกฎ Deny ให้ IP ที่เกิน threshold ที่กำหนด พร้อมแจ้งเตือนผู้ดูแล
คำสั่ง WP-CLI
รองรับการจัดการปลั๊กอินผ่าน command line ด้วย WP-CLI เช่น เริ่มสแกน, ดูสถานะ, ล้าง baseline, ตั้งค่า cron
มีคำสั่งย่อยภายใต้ `wp andudo` ครอบคลุมทุกฟังก์ชันหลัก
ระบบ detection engine ใช้รูปแบบที่ครอบคลุมจากประสบการณ์จริง ทั้งการตรวจจับ web shell ในไฟล์ PHP และการละเมิด .htaccess โดยเน้นความสมดุลระหว่าง true positive และ false positive
ตรวจจับฟังก์ชันอันตรายที่ใช้รันโค้ด เช่น eval, system, exec, shell_exec, passthru
จับ payload ที่ถูกซ่อนด้วยการเข้ารหัส base64, hex, octal, gzinflate และการสร้างสตริงจาก chr()
ตรวจจับการฝัง backdoor ผ่านการอัปโหลดไฟล์, dynamic include และ SQL injection
ตรวจสอบพฤติกรรมที่ใช้ประโยชน์จาก WordPress เช่น wp_mail spam, current_user_can bypass
ตรวจจับการแก้ไข php_value เช่น auto_prepend_file, disable_functions
จับ RewriteRule ที่เปลี่ยนเส้นทางไปนอกเว็บไซต์ หรือซ่อนจาก User-Agent
ตรวจพบ SetHandler/AddHandler ที่บังคับให้ไฟล์อื่นรันเป็น PHP
ตรวจจับการลบ header ความปลอดภัย เช่น X-Frame-Options, CSP
| Event Type | Severity | Description |
|---|---|---|
new_file |
info | ไฟล์ใหม่ถูกสร้างในระบบ |
modified_file |
warning | ไฟล์ถูกแก้ไขเนื้อหา |
deleted_file |
warning | ไฟล์ถูกลบจากระบบ |
permission_warning |
warning | ไฟล์มี permission world-writable |
unreadable_file |
warning | ไม่สามารถอ่านไฟล์ได้ |
scan_incomplete |
warning | การสแกนไม่สมบูรณ์ |
php_in_uploads |
critical | พบ PHP ใน uploads/ |
double_extension |
critical | ไฟล์ double extension (เช่น .php.jpg) |
suspicious_pattern_* |
critical | พบลายเซ็นมัลแวร์ (27 รูปแบบ) |
htaccess_* |
critical | พบการละเมิด .htaccess (14 รูปแบบ) |
ระบบสแกนไฟล์ที่มีนามสกุล PHP และไฟล์สคริปต์อื่น ๆ จำกัดขนาดเพื่อความปลอดภัย ตรวจสอบเฉพาะไฟล์ที่มีการเปลี่ยนแปลงเพื่อประสิทธิภาพสูงสุด
schema ถูกสร้างผ่าน dbDelta() ของ WordPress แต่ละตารางมี indexes ที่เหมาะกับ query patterns ของ admin UI เช่นการค้นหาไฟล์และการกรอง events
ฟิลด์สำคัญ: file_path, relative_path, file_hash, file_size, file_mtime, file_perms, status
ฟิลด์สำคัญ: event_type, file_path, severity, is_notified, is_resolved, detected_at
ฟิลด์สำคัญ: scan_type, started_at, finished_at, files_scanned, files_added, files_modified, files_deleted, files_suspicious
ระบบรวบรวมเหตุการณ์ที่ยังไม่แจ้งเตือนและกระจายไปยังทุกช่องทางที่เปิดใช้งานโดยอัตโนมัติ พร้อมระบบป้องกันการส่งซ้ำและ rate limiting
ส่งอีเมลแจ้งเตือนไปยัง admin_email ของ WordPress โดยจัดกลุ่มตามระดับความรุนแรง พร้อมลิงก์ไปยังหน้าเหตุการณ์
ส่งข้อความผ่าน Telegram Bot API ในรูปแบบ Markdown จัดกลุ่มตาม severity
ส่งข้อความผ่าน LINE Messaging API ไปยังผู้ใช้หรือกลุ่ม เหมาะสำหรับทีมในเอเชีย
เทคนิคการ optimize หลายระดับถูกฝังอยู่ในสถาปัตยกรรม ตั้งแต่การจัดการ query, memory guard ไปจนถึงการประมวลผลแบบ batch
โหลด baseline อย่างมีประสิทธิภาพ
ดึงข้อมูล baseline ทั้งหมดในครั้งเดียวเพื่อลดการ query ฐานข้อมูลระหว่างสแกน
ข้ามการ hash เมื่อไฟล์ไม่เปลี่ยน
ตรวจสอบขนาดและเวลาแก้ไขก่อนคำนวณ hash เพื่อประหยัด CPU ในไฟล์ที่ไม่เปลี่ยนแปลง
อัปเดตข้อมูลเป็นกลุ่ม
รวบรวมคำสั่งอัปเดตฐานข้อมูลแล้วส่งพร้อมกัน ลดจำนวน query ลงอย่างมาก
หยุดสแกนก่อนหน่วยความจำเต็ม
ตรวจสอบการใช้ memory อย่างสม่ำเสมอและหยุดสแกนอย่างปลอดภัยหากใกล้ถึงขีดจำกัด
บันทึกเหตุการณ์เป็นชุด
รวม events ที่ตรวจพบแล้วบันทึกลงฐานข้อมูลครั้งละหลายรายการ ลดภาระ I/O
รายงานความคืบหน้าแบบ real-time
อัปเดตสถานะการสแกนเป็นระยะ ทำให้ผู้ดูแลระบบเห็นความคืบหน้าผ่าน AJAX ได้ทันที
จัดการทุกฟังก์ชันผ่านหน้า admin ที่มี inline CSS/JS รองรับ AJAX และ REST API สำหรับ integration
?page=andudo-security
หน้าหลักแสดงภาพรวม: สถานะ baseline, สถิติไฟล์, ปุ่ม scan now, และ recent events ล่าสุด พร้อม first-scan notice สำหรับการติดตั้งใหม่
?page=andudo-security-files
รายการไฟล์ baseline ทั้งหมดในระบบ พร้อม search ตาม path และ filter ตาม status (baseline/missing) แสดง hash, size, mtime, perms, owner ของแต่ละไฟล์ — paginated 100/หน้า
?page=andudo-security-events
ประวัติ events ทั้งหมดที่ตรวจพบ พร้อม filter ตาม severity และ unresolved status แต่ละ row มีปุ่ม resolve และ delete file (พร้อม audit log) — paginated 50/หน้า
?page=andudo-security-scans
ตารางประวัติการสแกน 50 ครั้งล่าสุด พร้อมสถิติไฟล์ที่สแกน เพิ่ม แก้ไข ลบ และน่าสงสัย รวมถึงสถานะ running/completed และ error message ถ้ามี
?page=andudo-security-settings
หน้า settings ครบครั้น: scan interval, exclude folders, scan mode, dotfiles, extra paths, detection toggles, notification channels, Telegram/LINE creds, test notify, clear baseline และคู่มือติดตั้ง server cron
| Action | Purpose |
|---|---|
wp_ajax_andudo_manual_scan |
เริ่มสแกนแบบ background |
wp_ajax_andudo_scan_status |
Poll ความคืบหน้าสแกน |
wp_ajax_andudo_resolve_event |
Mark event ว่า resolved |
wp_ajax_andudo_delete_file |
ลบไฟล์จากดิสก์ |
wp_ajax_andudo_dismiss_dashboard_alerts |
Clear dashboard alerts |
wp_ajax_andudo_test_notification |
ทดสอบส่งแจ้งเตือน |
wp_ajax_andudo_clear_baseline |
ล้าง baseline |
/wp-json/andudo/v1/block
Block IP
รับ parameter ip ใน body แล้วเรียก Andudo_Security_AutoBlock::block_ip() เพื่อ append Deny from <ip> ลง .htaccess
/wp-json/andudo/v1/unblock
Unblock IP
รับ parameter ip ใน body แล้วเรียก Andudo_Security_AutoBlock::unblock_ip() เพื่อลบบรรทัด Deny from <ip> ออกจาก .htaccess
จัดการรอบการสแกนด้วย WP-Cron และรองรับ server cron ผ่าน WP-CLI
andudo_security_cron_scan
สแกนไฟล์ทั้งหมดใน WordPress + ส่งการแจ้งเตือน รอบหลักของ plugin
andudo_security_flush_digest
ตรวจ digest queue ของ Telegram และ LINE แล้วส่ง events ที่ค้างไว้เมื่อ rate limit ครบแล้ว
andudo_security_auto_block
อ่าน nginx proxy error log แล้ว block IP ที่ trigger rate limit เกิน 5 ครั้งใน 60 วินาที
| Value | Label |
|---|---|
realtime |
Realtime |
every_30m |
Every 30 min |
hourly |
Hourly |
every_6h |
Every 6 hours |
every_12h |
Every 12 hours |
daily |
Daily |
admin_hook |
Admin Hook |
โค้ดทั้งหมดอยู่ในไฟล์เดียวโดยใช้ namespace prefix เพื่อหลีกเลี่ยงความขัดแย้ง และแยกหน้าที่อย่างชัดเจน
รับผิดชอบการสร้างตาราง, การอ่าน/เขียนข้อมูลไฟล์ baseline, เหตุการณ์ และประวัติการสแกนทั้งหมด
เดินสำรวจไฟล์ใน WordPress และโฟลเดอร์ที่กำหนด เปรียบเทียบกับ baseline เพื่อหาการเปลี่ยนแปลง
วิเคราะห์เนื้อหาไฟล์ PHP และ .htaccess เพื่อหาลายเซ็นของ malware และการตั้งค่าที่เป็นอันตราย
รวบรวมเหตุการณ์ที่ยังไม่แจ้งเตือนและกระจายไปยังช่องทางที่เปิดใช้งาน พร้อมระบบป้องกันการส่งซ้ำ
ตรวจสอบ log และบล็อก IP ที่มีพฤติกรรมน่าสงสัยใน .htaccess โดยอัตโนมัติ
จัดการกำหนดเวลาการสแกนผ่าน WP-Cron และ server cron รวมถึง admin quick scan
เชื่อมต่อทุกส่วนเข้าด้วยกัน จัดการ AJAX/REST API และการตั้งค่าของปลั๊กอิน
สร้างเมนูและหน้าใน wp-admin ทั้งหมด พร้อม inline CSS/JS เพื่อประสิทธิภาพ
ปลั๊กอินจัดการ lifecycle ครบทุก phase อย่างรอบคอบ และมีระบบลบไฟล์ที่มี safety checks หลายชั้น
การลบไฟล์ผ่าน admin มีมาตรการความปลอดภัยหลายชั้นเพื่อป้องกันการลบไฟล์สำคัญของ WordPress
ไฟล์ต้องมีอยู่ในตาราง andudo_security_files ก่อนจึงจะลบได้
realpath() ต้องอยู่ใต้ ABSPATH หรือ extra_scan_paths ที่กำหนดไว้
บล็อก wp-config.php, wp-login.php, wp-admin/admin.php, .htaccess, xmlrpc.php, wp-cron.php ฯลฯ
บล็อกการลบไฟล์ในโฟลเดอร์ wp-admin/ และ wp-includes/ ทั้งหมด
บล็อกการลบไฟล์ใน wp-content/themes/twenty*
บันทึก user_id, user_login, IP, original hash, original size ลง event file_deleted_by_admin
ติดตั้ง plugin ได้ทันทีบน WordPress 6.0+ ที่รัน PHP 7.4+ โดยไม่ต้องตั้งค่า default เพิ่มเติม
อัปโหลดไฟล์ andudo-security.php ไปยังโฟลเดอร์ wp-content/plugins/andudo-security/ หรือติดตั้งผ่านหน้า Plugins → Add New → Upload Plugin ใน WordPress admin
ไปที่เมนู Plugins แล้วกด Activate บน Andudo Security ระบบจะสร้างตารางฐานข้อมูลทั้ง 3 ตารางและตั้งค่าเริ่มต้นโดยอัตโนมัติ
ในรอบสแกนแรก ระบบจะเก็บ baseline ของไฟล์ทั้งหมดโดยไม่สร้าง events เพื่อให้การตรวจจับเริ่มจากสถานะปัจจุบัน
ไปที่ Andudo Security → Settings เพื่อเปิดใช้งานช่องทางที่ต้องการ (Email, Telegram, LINE) และตั้งค่า credentials หรือ define ผ่าน wp-config.php
ตัวเลือกทั้งหมดถูกเก็บใน option เดียวคือ andudo_settings โดยใช้ read-time defaults
| Option Key | Type | Default |
|---|---|---|
scan_mode |
string | standard |
scan_dotfiles |
int | 1 |
exclude_folders |
array | [] |
extra_scan_paths |
array | [] |
detect_new_files |
int | 1 |
detect_modified_files |
int | 1 |
detect_deleted_files |
int | 1 |
detect_permission_issues |
int | 1 |
detect_php_in_uploads |
int | 1 |
detect_eval_base64 |
int | 1 |
detect_htaccess_issues |
int | 1 |
detect_double_extension |
int | 1 |
credentials ที่ sensitive สามารถ define ใน wp-config.php ได้เพื่อความปลอดภัย
ANDUDO_TELEGRAM_BOT_TOKEN
Override Telegram bot token (จาก @BotFather) ที่เก็บใน database เพื่อความปลอดภัยในการ deploy
ANDUDO_TELEGRAM_CHAT_ID
Override chat ID ของ Telegram (สามารถใช้ @getidsbot เพื่อดู ID ของกลุ่มหรือผู้ใช้)
ANDUDO_LINE_MESSAGING_TOKEN
Override LINE Messaging API channel access token (long-lived)
ANDUDO_LINE_TARGET_ID
Override LINE target user ID หรือ group ID ที่จะรับข้อความแจ้งเตือน