การปิดช่องโหว่ให้กับโปรแกรม Joomla 1.5.x จะช่วยให้เว็บไซต์มีความปลอดภัยมากยิ่งขึ้น แม้ในความเป็นจริงเราไม่สามารถปิดช่องโหว่ได้ทั้งหมด เพราะโดยปกติแล้วผู้พัฒนาโปรแกรมก็ไม่สามารถรู้ถึงช่องโหว่ได้ล่วงหน้าทั้งหมด ดังนั้นตามความเห็นของผม ทุกโปรแกรมที่ถูกสร้างขึ้นล้วนแต่มีช่องโหว่ทั้งนั้น ความตื่นเต้นอยู่ตรงที่ว่า ใครจะเป็นผู้เห็นช่องโหว่เหล่านั้นก่อนกัน ระหว่างโปรแกรมเมอร์หรือแฮกเกอร์ แต่ก็มีบางครั้งที่เรากลับเป้นผู้ที่เปิดประตูให้โจรเข้าบ้านได้โดยง่าย เพราะเพียงคิดว่า “เรื่องนี้…ไม่สำคัญ” หรือไม่รู้ว่ามันสำคัญ

คำว่า “เรื่องนี้” ที่ผมได้กล่าวมานั้นหมายความถึง การปิดล็อกช่องโหว่ที่เห็นๆกันอยู่ แต่กลับละเลย แล้วมีอะไรบ้างล่ะ ก็ต้องอ่านกันต่อไป

1. Internal FTP ซึ่งเป็นประตูใหญ่ของเว็บไซต์ Joomla ช่องนี้ควรจะปิดเอาไว้ อยู่ใน Global Configuration บางคนอาจจะสงสัยว่าเขามีไว้ทำไม? คำตอบก็คือมีไว้ให้สะดวกในการอัปเกรดโปรแกรม โดยไม่ต้องโปรแกรม FTP จากภายนอก แต่ถ้าจะเปิดให้ได้ละก้อ ขอแนะนำให้เปลี่ยนรหัสผ่านบ่อยๆ
2. Permission File/Directory หรือสิทธิ์ในการเข้าถึงไฟล์และโฟลเดอร์ เพื่ออ่านและเขียน ไฟล์ที่ต้องระวังคือ configuration.php และ index.php ซึ่งควรจะตั้งค่าให้เป็น “755″
3. Uploads ก่อนที่จะทำการอัปโหลดไฟล์ข้อความ รูปภาพ Mp3 ต้องมั่นใจว่าจะไม่มี “ไวรัส” ติดตามขึ้นไปบนโฮสต์ของเว็บไซต์ เพราะมันทำงานเงียบและเร็วมาก สามารถทำให้เซิรฟ์เวอร์ล่มได้
4. ภายในเว็บต้องติดตั้งปลั๊กอิน Capcha หรือภาพรหัสลับ ที่จะปรากฏขึ้นตอนที่จะกรอกข้อมูลต่างๆภายในเว็บ เพื่อกันโปรแกรมไวรัส แอบมาสมัครสมาชิกเว็บ หรือโพสต์ข้อความในเว็บบอร์ดของเรา

นอกจากนี้ก็ยังมีการเปลี่ยนรหัส Admin ให้บ่อยขึ้น และรณรงค์ให้สมาชิกในเว็บทุกคนเปลี่ยนรหันผ่านบอ่ยๆ เพียงเท่านี้ก็จะช่วยให้ท่านปลอยภัยขึ้น

1. ใช้บริการโฮสต์ติ้งราคาถูก ซึ่งมีให้เลือกมากมายในตลาด เพราะหากไม่พอใจในบริการ ก็สามารถเปลี่ยนได้โดยไม่ต้องคิดมาก
2. ไม่จำเป็นต้องแบ็คอัปเว็บ ควรตรวจสอบกับผู้ให้บริการโฮสติ้งซะก่อน เพราะพวกเขาอาจจะทำอยู่แล้ว จะได้ไม่เสียเวลา
3. อย่าเสียเวลากับการปรับแต่งค่าความปลอดภัยสำหรับในส่วนของ PHP และ Joomla เพราะการติดตั้งเว็บไซต์ Joomla ได้ทำการตรวจสอบให้หมดแล้ว
4. ตั้งชื่อผู้ใช้และรหัสผ่านของเว็บไซต์ให้เหมือนๆกัน กับที่ท่านใช้อยู่กับเรื่องอื่นๆ เพราะในความเป็นจริง เมื่อตั้งชื่อและรหัสผ่านที่แตกต่างออกไป ก็มักจะลืมอยู่เสมอ
5. เมื่อติดตั้งเว็บไซต์แล้วก็ไม่ต้องกังวลอะไรอีกเพราะ Joomla มีปัญหาน้อยที่สุดอยู่แล้ว
6. อย่าอัปเกรดโปรแกรม ขณะที่เว็บไซต์กำลังทำงานอยู่ ควรที่จะทำการออฟไลน์ซะก่อน
7. ควรใช้โปรแกรมส่วนขยาย (Extensions) ที่ไว้ใจได้เท่านั้น
8. อย่ากังวลเรื่องการอัปเกรดโปรแกรม Joomla ให้เป็นรุ่นใหม่ล่าสุด เพราะตราบใดที่คุณยังใช้งานเว็บได้เป็นปกติ
9. เมื่อเว็บไซต์ของคุณโดน Hack ไม่ต้องตกใจ ให้เข้าไปโพสท์ข้อความ ”My Site’s Been Hacked! (sic)”  ใน Joomla Form
10. โดยส่วนใหญ่เว็บไซต์จะถูกแฮ็กในส่วนของไฟล์ index.php เปลี่ยนสิทธิชองไฟล์ให้สามารถอ่านเขียนได้บางคน

../administator/component/

../component/

../module/

../plugin/

../template/

../tmp/

ที่เป็นเช่นนี้ก็เพราะการติดตั้งโปรแกรมของ Joomla จะต้องมีการสร้างโฟลเดอร์ให้กับโปรแกรมที่กำลังจะติดตั้ง ดังนั้นหากโฟลเดอร์ที่กล่าวมาข้างต้นไม่อนุญาตให้สร้างโฟลเดอร์ จึงเกิดปัญหาดังกล่าว

การแก้ไขกระทำได้โดยการใช้โปรแกรม FTP เข้าไปที่โฮสต์ แล้วทำการตั้งค่าสิทธิของโฟลเดอร์ดังกล่าวที่เรียกว่า permission ให้มีค่าเท่ากับ 777 คือสามารถเขียนอ่านได้ทุกกลุ่มผู้ใช้ เท่านี้ก็คงเรียบร้อย

• ระยะเวลาการอบรม : 10 ช.ม. (2 วัน)
• วันที่อบรม : 27-28 มกราคม 2553 เวลา 10-00-16.00 น.
• สถานที่ : ศูนย์อบรมซีเอ็ดเลินนิ่งเซ็นเตอร์ ชั้น 2 จตุรัสจามจุรี (สถานีรถไฟฟ้าใต้ดิน สามย่าน)
• ราคา : 3500 บาท (ไม่มีภาษีมูลค่าเพิ่ม)
• จำนวนผู้เรียน : 8 ท่าน/ชั้นเรียน

» อ่านรายละเอียดเพิ่มเติมคลิกที่นี่

» อ่านวิธีการชำระเงินคลิกที่นี่

จัดโดย Training.ebistoday.com

งานสัมมนานี้เหมาะสำหรับนักพัฒนาเว็บด้วย Joomla และนักพัฒนาเว็บทั่วไป ตลอดจนนักพัฒนาเว็บที่กำลังศึกษาเรื่องฟังก์ชั่นเสียงในเว็บ งานนี้จัดขึ้นที่ ศูนย์อบรมซีเอ็ดเลินนิ่งเซ็นเตอร์ จตุรัสจามจุรี (สามย่าน) กรุงเทพ ในวันที่ 26 มกราคม 2553 เวลา 13.00-16.00 น. ค่าลงทะเบียนสัมมนาท่านละ 950 บาท รับฟรีซีดีสอนการใช้คอมโพเน้นท์ โมดูล และปลั๊กอิน เกี่ยวกับเสียง ที่ใช้สำหรับ Joomla 1.5 หากท่านใดสนใจ ท่านสามารถอ่านรายละเอียดการชำระเงิน และลงทะเบียนออนไลน์ได้โดยคลิกที่ลิงค์ต่อไปนี้ » อ่านรายละเอียดเพิ่มเติมและลงทะเบียน

ขอเชิญชวนท่านที่สนใจการอบรม Joomla ขั้นพื้นฐาน เข้าร่วมอบรมใน “หลักสูตรอบรมวิชาชีพนักพัฒนาเว็บ ระดับที่ 1″ ในวันที่ 26,28 สิงหาคม และ 1 กันยายน 2552  ณ ห้องอบรม OSEC ชั้น 4 อาคารอโศกทาวน์เวอร์ ตึก A หลักสูตรนี้เหมาะสำหรับผู้ที่ไม่มีพื้นฐานการเขียนโปรแกรม และผู้ที่ต้องการเรียนรู้หลักการพื้นฐานของการทำเว็บด้วย Joomla 1.5 ท่านใดสนใจสามารถ สอบถามรายละเอียดและลงทะเบียนออนไลน์ หรือโทรสอบถามที่ 089-6984705 อ.พันธุ์ทิตต์ สิรภพธาดา

ผมอาจจะเป็นคนที่ไม่ค่อยรีบร้อนเท่าไหร่ที่จะรีบใช้ Joomla 1.5 ก็เพราะว่า ของที่เพิ่งจะออกมาใหม่ๆ มักจะยังมีข้อบกพร่อง แต่ก็ติดตามมาโดยตลอด ตอนนี้ Joomla 1.5 ได้พัฒนาปรับปรุงได้ที่แล้วครับ น่าจะถึงเวลาที่จะเปลี่ยนมาใช้รุ่น 1.5 แต่สำหรับท่านที่ใช้รุ่นเก่าจำเป็นต้องเปลี่ยนหรือไม่ มีคำตอบให้ครับ

ทั้งนี้ก็ขึ้นอยู่ที่ลักษณะของฟังก์ชั่นเว็บละครับ เว็บเก่าที่ยังใช้งานได้ดีอยู่ หากต้องการเปลี่ยนมาใช้ในรุ่น joomla 1.5 คงจะต้องรื้อใหม่จึงจะดีที่สุด และที่ต้องระมัดระวังก็คือคอมโพเน้นท์ที่เป็นของรุ่นเก่า หากไม่มีการพัฒนาให้ทำงานเฉพาะกับรุ่น 1.5 หรือเรียกว่า Native จะต้องเปิดปลั๊กอิน Lagacy ซึ่งจะทำให้สามารถใช้คอมโพเน้นท์รุ่นเก่าได้ แต่จากประสบการณ์ของผม มันไม่ค่อยเสถียรเท่าไหร่ ก่อนที่จะทำการเปลี่ยนมาใช้ Joomla 1.5 ก็ขอให้ตรวจสอบคอมโพเน้นท์ โมดูล และปลั๊กอิน เดิมว่ามีรุ่นเฉพาะรองรับ Joomla 1.5 หรือไม่ หากไม่มี ก็จำเป็นต้องเปิดใช้ Lagacy ก็คงต้องทดสอบการใช้งานต่อไป คาดเดาปัญหาในอนาคตได้ยาก เรื่องนี้ไม่ใช่ปัญหาของโปรแกรม Joomla 1.5 แต่เป็นปัญหาผู้สร้างโปรแกรมเสริม ที่ต้องทำการปรับปรุงโปรแกรมของตนให้รองรับ อย่างไรก็ลองดาวน์โหลดมาใช้กันดูนะครับ

โปรแกรม Joomla 1.5

http://joomlacode.org/gf/download/frsrelease/10785/42655/Joomla_1.5.14-Stable-Full_Package.zip

ไฟล์เสริมภาษาไทย (โดย Joomla Corner)

http://joomlacode.org/gf/download/frsrelease/10877/43103/th-TH_joomla_lang_full.1.5.14v1.zip

หลายครั้งที่มีผู้ถามผมว่า Joomla ถูกเจาะระบบง่ายหรือไม่์??? ผมก็มักจะตอบตามความเป็นจริงว่า เจาะง่ายหรือยาก ก็ขึ้นอยู่ที่ผู้พัฒนาเว็บแต่ละคน จะทำการปิดประตูใส่กลอนได้ครบถ้วนหรือไม่ โดยส่วนใหญ่แล้วการเจาะเข้าไปก่อกวนเว็บไซต์ จะแบ่งออกเป็น 2 ระดับ คือ เจาะระดับผิว และเจาะลึกถึงเนื้อใน

เจาะระดับผิว คือการสร้างไฟล์ index.html, index.htm, default.asp ซึ่งเป็นไฟล์เริ่มต้นอัตโนมัติในเวลาที่เราเรียกโดเมนเนมโดยทั่วไป ส่วนของ Joomla เองจะใช้ไฟล์เริ่มต้นเป็น Index.php ซึ่งโดยลำดับการเรียกแล้ว index.html จะถูกเรียกเป็นไฟลแรก ดั้งนั้น ถ้ามีใครทำไฟล์ index.html มาดักเอาไว้ เว็บของเราก็จะเข้าไม่ได้ และจะทำตามโปรแกรมของไฟล์ index.html 

ท่านคงสงสัยว่า ทำไมถึงเอาไฟล์ index.html ไปใส่ไว้ในไดเรคทอรี่ส์ชั้นนอกสุดของเราได้ (root directory) ก็เพราะเราลืมกำหนดสิทธิ (attribute) ป้องกันเอาไว้ บางที่เราเผลอลืมเปิดเอาไว้ ต้องปิดเอาไว้นะครับ บางคนเปิดหมดเลย (777) ซึ่งนี่ล่ะ เป็นการเปิดประตูรั้วไว้เลยต้องกำหนดให้เป็น 755 จะดีกว่า ถ้าทำเช่นนี้แล้ว ก็เจาะเข้ามาได้ยากขึ้น รอยละ 90% ผู้พัฒนาเว็บจะพลาดที่จุดนี้

เจาะลึก แบบนี้เป็นการเจาะที่โปรแกรมหลักเลย เท่าที่เคยพบ จะมีการแก้ไขโปรแกรมภายในไฟล์ index.php หาไม่ใช่โปรแกรมเมอร์ PHP คงหาได้ยาก แต่ก็ใช้วิธีแก้ที่ง่ายที่สุด คือการโอนไฟล์ Index.php ที่ได้จาการแตกไฟล์ Joomla ที่เราทำไว้ก่อนที่จะอัปโหลดขึ้นโฮสต์โอนทับของเก่าไปเลย (จะใช้โปรแกรม FTP หรือใช้คอมโพเน้นท์ Xplorer ก็ได้)

แต่ก็ใช่ว่าจะมีแค่ไฟล์เดียว ยังมีไฟล์อีกหลายไฟล์ที่เป็นจุดเสี่ยง เช่น ไฟล์ index.php ที่อยู่ในโฟลเดอร์ Template ที่เรากำลังใช้อยู่ หรือไฟล์ที่อยู่ในโฟลเดอร์ Include ซึ่งเป็นไฟล์หลักของ Joomla

สองจุดนี้คือจุดสลบของ Joomla ก็เลยทีเดียว มือใหม่อาจะงง แต่ถ้าโดนบ่อยๆ ก็ต้องแก้ด้วยวิธีนี้ละครับ หากแก้ไม่ได้ ลองคอมเม้นท์ชื่อเว็บมาให้ผมช่วยดูให้ก็ได้ครับ

ได้ยินบางท่านบ่นว่าราคา 75 บาท แพงไป ก็ต้องขอความเห็นใจละครับ ค่ากระดาษและค่าพิมพ์แพงมาก ทราบมาว่าทีมงานก็บีบกันสุดตัวแล้วครับ ถามความคิดเห็นกันหน่อย ถ้ามีเวอร์ชั่นดาวน์โหลด pdf หรือ เป็น E-Magazine อ่านจากหน้าเว็บเลย แล้วขายสมาชิกไม่แพง จะมีคนสนใจมากขึ้นไม่ล่ะครับ ถ้าดีก็มาคอมเม้นกันด้วยนะ จะได้เอาไปบอกทีมงานกัน