แฮ็กศาลรัฐธรรมนูญง่าย ๆ แบบนี้ อาจจะยังมีเว็บอื่นที่ยังมีช่องโหว่เดียวกันอีก
.
จากวีดีโอคลิปที่เจ้าหน้าที่อัดไว้ตอนที่ hacker ให้การเบื้องต้น ทำให้ได้ข้อมูลบางส่วนที่น่าสนใจพอสมควร
.
- การก่อเหตุครั้งนี้น่าจะเกิดจากการโจมตีโดยการใช้ช่องโหว่ SQL injection เพื่อที่จะเจาะเข้าไปในระบบ และสามารถเปลี่ยนรหัสผ่านของ admin ได้ และทำการเปลี่ยนแปลงหน้าเว็บได้ โดยไม่ต้องจำเป็นต้องอาศัยช่องโหว่อื่น ๆ เพิ่มเติมแต่อย่างใด
.
- จากหน้าจอที่แคปมา มีข้อมูลบ่งชี้ทำให้ทราบว่า เว็บนี้ไม่ได้เป็นเว็บที่ถูกจ้างให้เขียนเป็นการเฉพาะกิจอย่างที่เดา ๆ กัน เว็บนี้เป็นเว็บบริหารคอนเทนท์กลาง (CMS - Content Management System) แบบง่าย ๆ ที่ถูกพัฒนาโดยบริษัทคนไทยแห่งหนึ่ง (ที่ผมทราบว่าเป็นบริษัทใด แต่ไม่ขอกล่าวถึง) ซึ่งบริษัทนี้ผลิตผลิตภัณฑ์นี้ (ซึ่งผมก็รู้ชื่อ แต่ไม่ขอบอกล่ะกันครับ) และมุ่งขายให้กับทางราชการมานับสิบปีแล้ว โดยใช้ระบบปฏิบัติการ (OS) เป็น Windows และใช้ภาษา PHP ในการสร้าง ซึ่งน่าจะมีช่องโหว่พอสมควร ทั้งจากตัวโปรแกรมที่เขียนขึ้น และจาก PHP engine ที่ใช้อยู่
.
- ช่องโหว่นี้เป็นช่องโหว่ที่มีมานานแล้ว เว็บไซต์ต่างประเทศรู้ถึงช่องโหว่เหล่านี้ และมีการระบุรายละเอียดของช่องโหว่มาตั้งแต่ปี 2561 แล้ว โดยมีจุดที่มีช่องโหว่อยู่เกือบ 10 จุดเลยทีเดียว แต่หน่วยงานรัฐก็ไม่ได้กระตือรือร้นที่จะปิดช่องโหว่เหล่านี้
.
- ซึ่งหน้าเว็บที่ไว้จัดการข้อมูลเว็บเหล่านี้ส่วนใหญ่มักจะเปิดกว้างเอาไว้ ทำให้ใครที่มี username/password สามารถเข้าถึงได้ และสามารถเปลี่ยนหน้าเพจได้โดยไม่ยากนัก
.
- ซึ่งหลังจากการโจมตี จะเห็นได้ว่า มีข่าวว่าเจ้าหน้าที่ก็ดำเนินการหาทางป้องกันเว็บไซต์รัฐสภาแทบจะทันที ทั้งนี้เป็นเพราะเว็บไซต์ของทางรัฐสภาก็ใช้ซอฟท์แวร์ของบริษัทนี้เช่นกัน แต่มีการป้องกันปัญหาโดยใช้บริการ web application firewall ของ NexusGuard ในการป้องกัน link บาง link ไม่ให้สามารถเรียกใช้ได้จากภายนอก และมีระบบตรวจจับการเรียกใช้ที่ผิดปกติ
.
- เว็บไซต์อื่นที่ใช้ซอฟท์แวร์ของบริษัทนี้ส่วนใหญ่เป็นหน่วยงานราชการ และหน่วยงานรัฐวิสาหกิจ ตัวอย่างที่ผมลองพยายามตรวจดู ก็เช่น
.
สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ https://www.nacc.go.th/ (น่าจะเลิกใช้แล้ว)
สำนักงานการปฏิรูปที่ดินเพื่อเกษตรกรรม https://alro.go.th/
กรมทรัพยากรธรณี http://www.dmr.go.th/
กรมส่งเสริมการค้าระหว่างประเทศ https://www.ditp.go.th/
สำนักงานปลัดกระทรวงการท่องเที่ยวและกีฬา https://www.mots.go.th/
กรมพัฒนาธุรกิจการค้า https://www.dbd.go.th/
กรมพัฒนาพลังงานทดแทนและอนุรักษ์พลังงาน https://www.dede.go.th/
กองกษาปณ์ http://www.royalthaimint.net/
กรมตรวจบัญชีสหกรณ์ https://www.cad.go.th
การประปานครหลวง https://www.mwa.co.th/
กรมส่งเสริมวัฒนธรรม http://www.culture.go.th/
สำนักงานคณะกรรมการคุ้มครองผู้บริโภค https://www.ocpb.go.th/
กระทรวงการพัฒนาสังคมและความมั่นคงของมนุษย์ https://www.m-society.go.th/
.
ซึ่งจะมีช่องโหว่ในลักษณะเดียวกันหรือไม่ ก็ขึ้นอยู่กับเวอร์ชั่นของซอฟท์แวร์ที่ใช้ และการปกป้องระบบผ่าน WAF
.
ยังไงก็ฝากรบกวนหน่วยงานเหล่านี้ ตรวจสอบ อัพเกรดระบบ และปกป้องระบบของตัวเองด้วยครับ
- 53
โฆษณา
- ดาวน์โหลดแอปพลิเคชัน
- © 2024 Blockdit
