มีบัญชีอยู่แล้ว?
แฮ็กศาลรัฐธรรมนูญง่าย ๆ แบบนี้ อาจจะยังมีเว็บอื่นที่ยังมีช่องโหว่เดียวกันอีก
1
.
จากวีดีโอคลิปที่เจ้าหน้าที่อัดไว้ตอนที่ hacker ให้การเบื้องต้น ทำให้ได้ข้อมูลบางส่วนที่น่าสนใจพอสมควร
.
- การก่อเหตุครั้งนี้น่าจะเกิดจากการโจมตีโดยการใช้ช่องโหว่ SQL injection เพื่อที่จะเจาะเข้าไปในระบบ และสามารถเปลี่ยนรหัสผ่านของ admin ได้ และทำการเปลี่ยนแปลงหน้าเว็บได้ โดยไม่ต้องจำเป็นต้องอาศัยช่องโหว่อื่น ๆ เพิ่มเติมแต่อย่างใด
2
.
- จากหน้าจอที่แคปมา มีข้อมูลบ่งชี้ทำให้ทราบว่า เว็บนี้ไม่ได้เป็นเว็บที่ถูกจ้างให้เขียนเป็นการเฉพาะกิจอย่างที่เดา ๆ กัน เว็บนี้เป็นเว็บบริหารคอนเทนท์กลาง (CMS - Content Management System) แบบง่าย ๆ ที่ถูกพัฒนาโดยบริษัทคนไทยแห่งหนึ่ง (ที่ผมทราบว่าเป็นบริษัทใด แต่ไม่ขอกล่าวถึง) ซึ่งบริษัทนี้ผลิตผลิตภัณฑ์นี้ (ซึ่งผมก็รู้ชื่อ แต่ไม่ขอบอกล่ะกันครับ) และมุ่งขายให้กับทางราชการมานับสิบปีแล้ว โดยใช้ระบบปฏิบัติการ (OS) เป็น Windows และใช้ภาษา PHP ในการสร้าง ซึ่งน่าจะมีช่องโหว่พอสมควร ทั้งจากตัวโปรแกรมที่เขียนขึ้น และจาก PHP engine ที่ใช้อยู่
3
.
1
- ช่องโหว่นี้เป็นช่องโหว่ที่มีมานานแล้ว เว็บไซต์ต่างประเทศรู้ถึงช่องโหว่เหล่านี้ และมีการระบุรายละเอียดของช่องโหว่มาตั้งแต่ปี 2561 แล้ว โดยมีจุดที่มีช่องโหว่อยู่เกือบ 10 จุดเลยทีเดียว แต่หน่วยงานรัฐก็ไม่ได้กระตือรือร้นที่จะปิดช่องโหว่เหล่านี้
1
.
1
- ซึ่งหน้าเว็บที่ไว้จัดการข้อมูลเว็บเหล่านี้ส่วนใหญ่มักจะเปิดกว้างเอาไว้ ทำให้ใครที่มี username/password สามารถเข้าถึงได้ และสามารถเปลี่ยนหน้าเพจได้โดยไม่ยากนัก
.
- ซึ่งหลังจากการโจมตี จะเห็นได้ว่า มีข่าวว่าเจ้าหน้าที่ก็ดำเนินการหาทางป้องกันเว็บไซต์รัฐสภาแทบจะทันที ทั้งนี้เป็นเพราะเว็บไซต์ของทางรัฐสภาก็ใช้ซอฟท์แวร์ของบริษัทนี้เช่นกัน แต่มีการป้องกันปัญหาโดยใช้บริการ web application firewall ของ NexusGuard ในการป้องกัน link บาง link ไม่ให้สามารถเรียกใช้ได้จากภายนอก และมีระบบตรวจจับการเรียกใช้ที่ผิดปกติ
.
- เว็บไซต์อื่นที่ใช้ซอฟท์แวร์ของบริษัทนี้ส่วนใหญ่เป็นหน่วยงานราชการ และหน่วยงานรัฐวิสาหกิจ ตัวอย่างที่ผมลองพยายามตรวจดู ก็เช่น
.
สำนักงานคณะกรรมการป้องกันและปราบปรามการทุจริตแห่งชาติ https://www.nacc.go.th/ (น่าจะเลิกใช้แล้ว)
สำนักงานการปฏิรูปที่ดินเพื่อเกษตรกรรม https://alro.go.th/
กรมทรัพยากรธรณี http://www.dmr.go.th/
กรมส่งเสริมการค้าระหว่างประเทศ https://www.ditp.go.th/
สำนักงานปลัดกระทรวงการท่องเที่ยวและกีฬา https://www.mots.go.th/
กรมพัฒนาธุรกิจการค้า https://www.dbd.go.th/
กรมพัฒนาพลังงานทดแทนและอนุรักษ์พลังงาน https://www.dede.go.th/
กองกษาปณ์ http://www.royalthaimint.net/
กรมตรวจบัญชีสหกรณ์ https://www.cad.go.th
การประปานครหลวง https://www.mwa.co.th/
กรมส่งเสริมวัฒนธรรม http://www.culture.go.th/
สำนักงานคณะกรรมการคุ้มครองผู้บริโภค https://www.ocpb.go.th/
กระทรวงการพัฒนาสังคมและความมั่นคงของมนุษย์ https://www.m-society.go.th/
2
.
ซึ่งจะมีช่องโหว่ในลักษณะเดียวกันหรือไม่ ก็ขึ้นอยู่กับเวอร์ชั่นของซอฟท์แวร์ที่ใช้ และการปกป้องระบบผ่าน WAF
.
ยังไงก็ฝากรบกวนหน่วยงานเหล่านี้ ตรวจสอบ อัพเกรดระบบ และปกป้องระบบของตัวเองด้วยครับ
Natthawat Somkiattikul
cms ที่ว่านั้น บอกใบ้หน่อยได้ไหมครับ
  • กำลังนิยมในบล็อกดิต
    [PODCAST] จากฝ่ายขายเอเจนต์สายเรือ สู่เจ้าของธุรกิจโลจิสติกส์หมื่นล้านในภูมิภาค วันนี้ THE BRIEFCASE จะพาทุกคนไปดูเบื้องหลังเส้นทางธุรกิจของบริษัท Triple i Logistics จากผู้ก่อตั้ง คุณทิพย์ ดาลาล ประธานเจ้าหน้าที่บริหารคนปัจจุบัน ที่เริ่มต้นจากการเป็นเซลส์แมน ต่อยอด และพัฒนา จนสามารถนำพาบริษัทเข้าสู่ตลาดหลักทรัพย์ได้ คุณทิพย์เริ่มต้นอย่างไร ต้องฝ่าฟันปัญหาอะไรบ้าง ? และการเติบโตครั้งใหม่ในธีม Logistics & Beyond จะเป็นอย่างไร ? หาคำตอบร่วมกันใน THE BRIEFCASE
    How to การปัดแก้ม 6 ลุค 6 สไตล์ ฉบับสาวเกาหลี จากสัปดาห์ที่แล้วที่พูดเรื่องการปัดแก้มให้ติดทนนานไป วันนี้จะมาต่อกันด้วยสไตล์การปัดแก้มทั้ง 6 แบบ ที่จะทำให้เราน่ารัก สวยใส เหมือนสาวเกาหลีเกาใจ แต่จะมีทรงไหนบ้าง ตามแอดกันมาเลยค่ะ
    อัลแบร์ กามูส์ (Albert Camus) เป็นนักคิด นักปรัชญาชาวฝรั่งเศส นักเขียนรางวัลโนเบลวรรณกรรมปี 1957 เขามีมุมมองและโลกทัศน์ที่แปลกจากที่เราคุ้นเคย เขามองว่าโลกเราช่างไร้สาระ (absurd) และชีวิตมนุษย์ก็ไร้สาระ เราถูกกรอกหูมาแต่เกิดว่า ชีวิตต้องมีสาระ มีความหมาย เราต้องแสวงหาความหมาย สาระ หรือคุณค่านั้น เพื่อทำให้ชีวิตมีความหมาย มีเหตุผลของการดำรงอยู่
    5 ข้อคิดเตือนสติ เมื่อชีวิตกำลังลำบาก | 5M EP. 1274 ตลอดช่วงชีวิตของทุกๆ คน ต่างก็ต้องเจอช่วงเวลาที่ยากลำบากกันไม่น้อย บางคนต้องสูญเสียบุคคลอันเป็นที่รัก บางคนถูกไล่ออกจากงานประจำ หรือบางคนต้องต่อสู้กับโรคร้าย ช่วงเวลาเหล่านี้มันง่ายมากที่จะคิดว่า เราคือคนที่ซวยที่สุดในโลก แต่เราไม่จำเป็นที่จะต้องยอมแพ้ ให้กับความยากลำบากของชีวิตตลอดไป โดยในพอดแคสต์ 5M EP. นี้ มาร่วมกันเตือนสติตัวเองท่ามกลางเวลาที่ลำบากด้วย 5 ข้อคิดสำคัญ ที่จะช่วยให้เราเตือนสติตัวเอง และสามารถก้าวผ่านความยากลำบากต่างๆ ในชีวิตได้ #goodtime #5minutespodcast #missiontothemoonpodcast
    ดูทั้งหมด