#โปรแกรมเมอร์ ถ้าไม่อยากโดนแฮกเกอร์โดนลูบคม
ต้องโค้ดดิ้งแบบไหนให้ปลอดภัย
.
☑ โค้ดดิ้งรก ไม่สะอาด มีกลิ่นเหม็น -> ยังบอกลูกค้าว่าทำ refactoring ได้ และ test ซ้ำได้
☑ ระบบช้า อืดอาด ไม่ดี -> ยังบอกลูกค้าว่า เดี๋ยวไปปรับจูนภายหลังได้
☑ ระบบล่ม -> ลูกค้าด่า ยังพอแก้ตัว กู้กลับมาได้
☑ แต่ระบบโดยเจาะ หรือโจมตี หรือข้อมูลรั่วไหล -> จะเป็นข่าวดังทันที จึงเป็นเรื่องสำคัญ ไม่ค่อยมีเพจไหนเล่าเท่าไร
.
อันนี้เป็นบทความสั้นๆ ที่เพจรวบรวมเกี่ยวกับความปลอดภัยในการโคดดิ้ง เขียนมาเรื่อยๆ ตามเวลาว่างจะอำนาย
.
1) เรื่อง access token
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2194298974193275
.
.
2) ใช้ hash function + salt value ในการเก็บ password
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2185533601736479
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2804799459809887
.
.
3) การโจมตีด้วย command injection
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2188420494781123
.
.
4) ช่องโหว่จากการอัพโหลดไฟล์
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2196560377300468
.
5) ช่องโหว่ในการเปรียบเทียบ
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2199532440336595
.
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2689348554688312
.
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2804996869790146
.
.
6) การโจมตีแบบ Cross Site Scripting (XSS)
https://www.facebook.com/programmerthai/photos/a.2185538375069335/2804958156460684
.
.
7) ปัญหา Buffer overflow
https://www.facebook.com/programmerthai/posts/2560601167563052
.
.
จริงๆ ยังมีอีกหลายเรื่องอยากเล่า เกี่ยวกับการโจมตีโค้ดของเหล่า hacker
เช่น การโจทย์ตีแบบ SQL Injection, การโจมตีแบบ CSRF , การฝั่งโค้ดประสงค์ร้ายในรูปภาพ และให้มันไปประมวลผลฝั่ง server ฯลฯ
วันนี้พอแค่นี้วันหลังเดี๋ยวมาเล่าใหม่
.
.
.
.
.
.
.
.
.
<ประชาสัมพันธ์ ขายหนังสือ/>
“โปรแกรมเมอร์ก็รวยได้ ด้วยเส้นทางเอาท์ซอร์สสายดำ”
ความยาว 170 กว่าหน้ากระดาษ A5 (≈ 41,002 คำ)
แบ่งเป็น 2 เวอร์ชั่น
.
👉 1) เวอร์ชั่นเล่มกระดาษจริง
เนื้อในเป็นขาวดำนะ ราคา 350 ฿
ติดต่อสั่งซื้อได้ที่ไลน์ @269aibvq
จำนวนเล่มมีจำกัดพิมพ์มาน้อย มากกกก ก ล้านตัว
.
👉 2) เวอร์ชั่นอีบุ๊กอ่านผ่านโปรแกรมของเว็บ mebmarket
เนื้อในเป็นสีสัน ไม่มีแจก PDF ปรินต์ออกมาไม่ได้
ราคาถูกลงมาหน่อย 250 บาท ฿
กับ 279 บาท ฿ (ซื้อผ่านระบบ Apple)
ซื้อได้ที่ 👇
https://www.mebmarket.com/web/index.php?action=BookDetails&data=YToyOntzOjc6InVzZXJfaWQiO3M6NzoiMTcyNTQ4MyI7czo3OiJib29rX2lkIjtzOjY6IjEzMTQxMiI7fQ
.
สำหรับตัวอย่างหนังสือ ดาวน์โหลดได้ตามลิงก์ข้างล่าง 👇
https://drive.google.com/open?id=1tAnMozeYd63dcbBGTQmT_ZrpSaamZS3e
.
✍ เขียนโดย โปรแกรมเมอร์ไทย thai programmer
同時也有10000部Youtube影片,追蹤數超過2,910的網紅コバにゃんチャンネル,也在其Youtube影片中提到,...
「cross site scripting」的推薦目錄:
- 關於cross site scripting 在 โปรแกรมเมอร์ไทย Thai programmer Facebook 的最讚貼文
- 關於cross site scripting 在 โปรแกรมเมอร์ไทย Thai programmer Facebook 的最讚貼文
- 關於cross site scripting 在 BorntoDev Facebook 的最佳貼文
- 關於cross site scripting 在 コバにゃんチャンネル Youtube 的最佳貼文
- 關於cross site scripting 在 大象中醫 Youtube 的最讚貼文
- 關於cross site scripting 在 大象中醫 Youtube 的最讚貼文
- 關於cross site scripting 在 Cross-Site Scripting (XSS ) 攻擊 - Joseph's blog 的評價
- 關於cross site scripting 在 payloadbox/xss-payload-list: Cross Site Scripting ( XSS - GitHub 的評價
cross site scripting 在 โปรแกรมเมอร์ไทย Thai programmer Facebook 的最讚貼文
โค้ดดิ้งให้ปลอดภัยจาก hacker
💥การโจมตีแบบ Cross-Site Scripting ชื่อย่อ "XSS"
เป็นช่องโหว่ที่ปล่อยให้ผู้ไม่หวังดี
สามารถใส่ โค้ดJava Script หรือฉีด (inject) เข้ามาได้
จากนั้น JavaScript ก็จะทำงานหน้าเว็บของผู้ใช้งาน
ซึ่งเป็นอันตรายอย่างยิ่งยวด
.
ตัวอย่างในรูปที่โพสต์
โค้ด Java Script ของ hacker
่เป็นโค้ดโชว์กล่องข้อความ ไม่มีพิษสง ไม่อันตราย
ของจริงอาจเจอผู้ประสงค์ร้าย
สามารถดำเนินการ เช่น
- อาจโดนขโมย session id
- ล้วงตับข้อมูลผู้ใช้งานนั้น
- เด้งหน้าจอให้ผู้ใช้คลิกลิงก์ไปยังเว็บอันตราย
- เด้งหน้าจอให้กดลงโปรแกรม malware
- และอื่นๆ สุดแต่ครีเอททีฟฝ่าย hacker เข้าละ
.
หมายเหตุ
🤓 เทคนิคการโจมตี XSS มีหลายแบบ
แต่นี้เป็นตัวอย่าง ชนิด Stored XSS
เป็นช่องโหว่ที่โค้ดฝั่ง Web Application
ปล่อยให้เก็บ Java Script ได้
.
พอผู้ใช้ส่ง request url มา
เว็บแอพลิเคชั่นก็เอาข้อมูล javaScript ที่อยู่ในฐานข้อมูล (hacker แอบส่งมา)
นำมาแนบไปพร้อม HTML
ส่งไปยังหน้าบราวเซอร์ของผู้ใช้
จากนั้น JavaScript ก็จะทำงานทันที
.
ซึ่งช่องโหว่นี้
#โปรแกรมเมอร์ ต้องรับผิดชอบนะจะบอกให้
แต่แก้ง่ายมากเลยสมัยนี่ เพราะ
.
1) เพราะ library/framework สายเว็บแอพลิเคชั่น
เดี๋ยวนี้มันช่วยเราได้เยอะตรงจุดๆ นี้
.
มันจะช่วยเข้ารหัสข้อมูลที่เป็น java script ไม่ให้ทำงานได้ ทำให้มันเป็นแค่ข้อความหนึ่งเท่านั้นเอง
คือเข้ารหัสพวกเครื่องหมาย <, >, /> และอื่นๆ
.
2) หรือจะใช้วิธี validation ตอนผู้ใช้กรอกข้อความ
ต้องห้ามกรอก java script ก็เป็นการป้องกันอีกวิธีหนึ่ง
.
.
เป็นช่องโหว่เจอบ่อย แต่ก็ป้องกันได้
แต่ถ้าเราไม่ใช่ library/framework มาตรฐาน
ที่เขาผ่านร้อนผ่านหน้า แก้ช่องโหว่มาให้เราแล้ว
ก็ต้องลำบากหาทางป้องกันเอา อย่าลืม
.
.
✍ เขียนโดย โปรแกรมเมอร์ไทย thai programmer
cross site scripting 在 BorntoDev Facebook 的最佳貼文
🏆 หลายคนอาจเคยได้ยินชื่อ ASP.NET มาอยู่แล้ว โดยเฉพาะใครเขียน C# แล้วอยากทำเว็บนี่บอกเลยว่ามันง่ายมาก ๆ
.
แต่ในยุคที่เครื่องมือการพัฒนาโปรแกรมมันเต็มไปหมดแบบนี้ อะไรคือจุดที่ทำให้เราต้องเลือกใช้ อะไรคือข้อดีของ ASP.NET
.
✅ มาเริ่มต้นที่ข้อแรก ASP.NET สร้างบนพื้นฐาน .NET ของ Microsoft ที่แข็งแรงมาก ๆ ใช้กันมาหลายยุคหลายสมัย เครื่องมือการพัฒนาโปรแกรมอย่าง Visual Studio ตัวเต็มนั้น ทรงพลังมาก ๆ
.
✅ ประกอบกับข้อ 2 ที่ Library เต็มไปหมด ทั้งรูปแบบฟรี และ Commercial ที่น่าเชื่อถือ และ ไว้ใจได้ ทำให้ปัจจุบัน ASP.NET เป็นหนึ่งทางเลือกหลักขององค์กรขนาดใหญ่ที่ต้องการพัฒนาเว็บแอปพลิเคชัน
.
✅ ต่อมาที่ข้อ 3 ที่การพัฒนาเว็บแอปบน ASP.NET นั้นมีประสิทธิภาพ ความรวดเร็วในการทำงานที่สูงมาก ๆ จากการเปรียบเทียบของ TechEmpower พบว่า ASP.NET สามารถรองรับ Request ได้ถึง 7.33 ล้าน Requests / วินาที
.
โดยถ้าเทียบกับ Java Servlet อยู่เพียง 7-8 แสน Request / วินาที และ Node.js อยู่ที่ 0.88 Request / วินาทีเท่านั้น
.
✅ ข้อที่ 4 คือความไว้ใจได้ และ น่าเชื่อถือด้านความปลอดภัย เพราะ ASP.NET นั้นมีการรองรับ Authentication Protocols เบื้องต้นที่มาเป็นมาตรฐานเลย ทั้งการป้องกัน Cross-site scripting (XSS) ไปถึง Cross-site Request Forgery (CSRF)
.
✅ ข้อสุดท้าย ข้อที่ 5 คือเรื่องการเรียนรู้ที่ทำได้ง่ายมาก ๆ ใครเคยเขียน Java มาจะรัก C# สุด ๆ มีแหล่งเรียนรู้ และ Community ให้สอบถามได้ตลอดเลยนั่นเอง
.
หลังจากที่ Microsoft เริ่มปรับตัว และ ให้การสนับสนุน Open Source, Linux มากขึ้น ทำให้ของเด็ด ๆ เหล่านี้กลับมาได้รับความสนใจเพิ่มขึ้นอีกครั้ง
.
หากใครอยากลองเริ่มทำเว็บแอปสายองค์กร ASP.NET ก็เป็นหนึ่งทางเลือกที่ดีที่ควรค่าแก่การพิจารณาครับ <3
.
#BorntoDev - 🦖 Coding Academy ให้การพัฒนาเทคโนโลยีเป็นเรื่องง่ายสำหรับทุกคน
cross site scripting 在 payloadbox/xss-payload-list: Cross Site Scripting ( XSS - GitHub 的推薦與評價
Cross-Site Scripting (XSS) attacks are a type of injection, in which malicious scripts are injected into otherwise benign and trusted web sites. ... <看更多>
cross site scripting 在 Cross-Site Scripting (XSS ) 攻擊 - Joseph's blog 的推薦與評價
Cross-Site Scripting(XSS) 是一種常見的攻擊方式,而且方式相當多種變化,只要網頁上有input欄位工使用者輸入,並且會在後續將使用者輸入資料呈現於 ... ... <看更多>