ทุกวันนี้ blog ต่าง ๆ ในไทย เกิดขึ้นมากมาย บ้างมีคุณภาพ บ้างก็ทำขึ้นมาเพื่อเป็น spam หรือที่เราเรียกกันว่า “Splog” แต่ผมอยากให้ทุกท่านที่มี blog แล้ว หรือที่คิดกำลังจะมี blog ว่าทำอย่างไร ให้ blog ของเราเติบโตอย่างมีคุณภาพ ถ้ายิ่งเป็นคุณภาพที่สูงด้วย จะยิ่งดีต่อ blog ของคุณเองแน่นอนครับ
ที่ผมพูดถึงประเด็นนี้ ก็เพราะว่า ทุกวันมี blog เกิดใหม่เพียบ หลาย ๆ คนเห็นว่าเขียน blog แล้วเอามาติด adsense เดี๋ยวก็ได้เงินเยอะแยะ เลยปั๊ม blog ขึ้นมากันใหญ่ บางคนใช้ฟรี articles ที่เค้ามีแจกกัน ก็คงไม่ได้ผิดกติกาอะไร แต่บางคนเล่น copy เนื้อหาของคนอื่นมาใช้กันดื้อ ๆ โอเคว่าตอนนี้ ad อย่าง google adsense กำลังมาแรงในบ้านเรา แต่ถ้ามองถึงอนาคต โลกนี้ไม่มีอะไรยั่งยืน หากเราหวังแต่เงินจาก google adsense แล้วสร้าง blog ที่ไม่มีคุณภาพขึ้นมา คุณเองจะไม่สามารถต่อสู้ในโลกธุรกิจได้ในระยะยาว
ทำไมต้องทำ blog ที่มีคุณภาพ
ถ้าคุณสร้าง blog ที่มีคุณภาพสูงออกมาแล้ว แน่นอนว่าระยะยาว ย่อมได้เปรียบคู่แข่ง ในแง่เนื้อหาของ blog ที่น่าสนใจ หรือเนื้อหาอื่น ๆ ที่คุณเสริมเข้าไป เพื่อให้ blog ของคุณน่าสนใจ เมื่อเราทำ blog ที่มีคุณภาพสูงออกมาแล้ว ปัจจัยภายนอกที่เราไม่สามารถควบคุมได้ อย่าง google adsense หรือ การทำ seo ใน google เอง ก็ล้มเราได้ลำบาก
ลองคิดกันเล่น ๆ ว่า AIS ที่ยิ่งใหญ่ ยังมีวันแย่ได้ หรือ ไมโครซอฟต์ ยังมีคนจ้องโค่นบัลลังค์ ถ้าวันนี้เราติดอันดับต้น ๆ ใน google วันหน้าอาจไม่ใช่ เพราะคู่แข่งมากขึ้น หรือ อัลกอริธึ่มของ google อาจเปลี่ยนไปก็ได้ หรือบางที google เองอาจตกกระป๋อง เพราะ search engine อื่นมาแรงกว่า การมุ่งทำ SEO อย่างเดียว อาจไม่ใช่สิ่งสุดท้าย ที่คุณต้องทำเพื่อโปรโมท blog ของคุณ เนื้อหาที่มีคุณภาพต่างหากที่สำคัญกว่า เพราะไม่ว่าการจัดอันดับของ Search Engine จะเปลี่ยนไปแค่ไหน แต่ถ้าคุณยังคงเนื้อหาคุณภาพสูงเอาไว้ มันไม่ใช่ประเด็นที่คุณต้องกลัวเลยว่า คนจะไม่เข้า blog ของคุณ
blog ที่มีคุณภาพสร้างได้อย่างไร
ในส่วนนี้ อยากให้คนที่ทำ blog ลองสร้างเนื้อหาขึ้นมาเอง ถึงแม้ว่าฟรี articles ที่เค้ามีแจกกัน จะเอามาใช้ได้ แต่ถ้าทำเนื้อหาเอง มันจะเป็น unique content มากกว่านะครับ
สำหรับการทำ SEO นั้น คนที่ทำ SEO อย่างไร้สติ จะทำให้เนื้อหาของคุณเต็มไปด้วย keyword ที่อ่านไม่เป็นภาษาที่สละสลวย ผมเห็นคนทำ SEO ระดับมืออาชีพ เค้าไม่ spam keyword กันนะครับ ไม่ได้เอา keyword เยอะ ๆ มายัดในเนื้อหาให้อ่านไม่รู้เรื่องนะครับ ลองมองประเด็นนี้ดี ๆ คือสร้าง content ที่ดี และอ่านออกเป็นภาษามนุษย์ แล้วเดี๋ยวเรื่อง SEO มันตามมาเป็นผลพลอยได้เอง ถ้าจะตั้งใจทำเพื่อ SEO อย่าใส่ keyword จนเลอะเทอะครับ
การสร้าง blog ที่มีคุณภาพ ต้องทำการบ้านเยอะครับ หาข้อมูลเยอะ จับประเด็นออกมาเขียนให้ได้ และนอกเหนือจากการทำเนื้อหา ก็คือการจัดการ blog ของคุณให้คนอ่าน อ่านได้ง่าย อยากให้ลองเน้นว่าเราทำ blog เพื่อท่านผู้อ่าน มิใช่ทำ blog เพื่อตัวเราเองครับ
blog ไร้คุณภาพ กำลังจะตาย
ทุกวันนี้ คนที่ทำเว็บหรือ blog ขึ้นมาเพื่อติด adsense หรือที่เค้าเรียกว่า Made for adsense นั้นมีมากขึ้นทุกที ทำเอาตลาดวายไปเลย เพราะรายได้จาก adsense นั้นลดลงเรื่อยๆ ผมมั่นใจว่า google สามารถปรับปรุงระบบของตนเอง ให้รับมือกับการเจอกับ blog หรือเว็บพวก Made for Adsense ได้แน่นอน และเมื่อนั้น blog เหล่านี้ก็ต้องพับฐานไปแน่นอน และเมื่อเวลานั้นมาถึง blog ที่มีคุณภาพ ยังอยู่แน่นอน เพราะใคร ๆ ก็ชอบของที่มีคุณภาพ รวมถึง sponsor หรือผู้สนับสนุนต่าง ๆ ก็ชอบด้วย
ที่มา http://keng.com/2006/12/10/blog-for-quality/
Friday, March 27, 2009
การทำ blog อย่างยั่งยืน
7 เทคนิค การสร้าง Blog อย่างมืออาชีพ
1. ใส่ใจกับรูปแบบดีไซน์ของ blog
ลองสังเกตดูง่าย ๆ ครับ สำหรับบล็อกชั้นนำของโลก ต่างก็ไม่ได้ใช้ template แจกฟรีที่มีกันทั่วไป แต่บล็อกชั้นนำเหล่านี้ ต่างก็ออกแบบดีไซน์ของบล็อกขึ้นมาเองทั้งหมด ทำให้บล็อกนั้นดูมีความแตกต่าง และมีความเป็นมืออาชีพมากยิ่งขึ้น
2. ใส่ใจกับเนื้อหาของบล็อก
ก่อนที่คุณจะสร้างบล็อกขึ้นมาซักแห่งหนึ่ง ลองวางแนวทาง ของเนื้อหาในบล็อกดูก่อนครับ ว่าเราต้องการจะนำเสนอบทความรูปแบบไหน เราจะมีวิธีนำเสนอไปในทางใด สิ่งเหล่านี้ จะทำให้คุณไม่หลุดประเด็น จากที่คุณตั้งใจไว้ตั้งแต่แรกไงครับ เช่น บล็อกของ keng.com ต้องการจะเป็น บล็อกที่นำเสนอข้อมูลด้านการทำบล็อก ดังนั้นผมวางแนวทางไว้ว่า ต้องมีข่าวสารวงการบล็อกทั่วโลก มาให้ผู้อ่านได้อ่านกัน และยังต้องมีเทคนิคการทำบล็อกสำหรับมือใหม่ เช่นบทความเรื่อง “blog คืออะไร?” และมีเทคนิคสำหรับขั้นผู้เชี่ยวชาญ เช่นการใส่ Tag หรือการ Ping ไปยัง blog search engine เป็นต้น ตัวอย่างข้างต้น ดังเช่นตัวอย่างบทความ ที่ผมเขียนขึ้นมาเหล่านี้ เป็นแนวทาง ในการกำหนดทิศทางของบล็อกครับ
3. ใส่ใจผู้อ่าน มากกว่าใส่ใจตัวเอง
เนื้อหาของบล็อกเป็นสิ่งที่ผุ้อ่านใส่ใจใคร่รู้ ไม่ใช่ป้ายโฆษณาที่เราวางระเกะระกะในเว็บไซต์แต่อย่างใด ดังนั้นการจัดรูปแบบโฆษณา ต้องคำนึงถึงจิตใจผู้อ่านด้วยนะครับ ว่าถ้าเป็นเราเอง ไปอ่านบล็อกคนอื่น แล้วมีโฆษณามาเกะกะในตัวบทความ เราชอบหรือไม่ โดยทั่วไปแล้ว ถ้าบทความของเราเขียนได้ดี ผู้อ่านก็จะมาอ่านซ้ำแล้วซ้ำอีก และอาจมีผู้อ่านมากขึ้นทุก ๆ วัน หลังจากนั้นแล้ว รายได้จากค่าโฆษณาจะตามมาเอง โดยที่เราไม่ต้องไปใส่โฆษณา แทรกลงไปในตัวบทความอีกด้วย
4. ใส่ใจ comment ที่มีเข้ามา
บล็อกสามารถใช้ประโยชน์ของการสื่อสาร ได้ด้วยระบบ comment ในตัวเอง ซึ่งโปรแกรมสร้างบล็อก (ฺBlogware) ส่วนใหญ่ มีระบบ comment ติดมาให้ด้วยอยู่แล้ว ลองใช้ระบบนี้ให้เกิดประโยชน์ ไม่ว่าจะเป็นการอ่าน comment การตอบ comment ต่าง ๆ บางครั้งเราอาจได้ประโยชน์ จากการดึงประเด็นเด็ด ๆ จาก comment มาใช้เขียนบทความก็เป็นได้ ดังนั้น ทุก ๆ วันคุณควรที่จะตรวจสอบว่ามี comment ใดเข้ามาบ้าง เพื่อที่จะได้ตอบได้ทันท่วงที เมื่อเราตอบได้เร็ว ผู้อ่านมีอารมณ์ร่วมในการสื่อสาร ทั้งสองฝ่ายก็แฮปปี้ครับ และจุดสำคัญอีกอย่างหนึ่งคือ ถ้าเราตรวจสอบ comment ทุกวัน เราสามารถลบพวก spam comment ออกได้อย่างทันควันไงครับ
5. ใส่ใจในมาตรฐานของเว็บไซต์
ไม่มีใครรู้ว่าบล็อกของเราจะมีคนเข้ามาอ่านมากแค่ไหน บางครั้งเราอาจต้องมีการปรับปรุงเว็บไซต์ หรือบางครั้งเราอาจต้องมีการปรับแต่งดีไซน์ เพื่อรองรับการขยายตัวอย่างที่เราไม่คาดฝัน ลองมองไปถึงการดีไซน์บล็อกด้วย มาตรฐานของเว็บไซต์ (Web Standard) ซึ่งจะสามารถทำให้บล็อกของคุณ แสดงผลได้ดีในทุก ๆ browser และลองพยายามใช้ css ในทุก ๆ ส่วนที่คุณทำได้ เพราะตัว css นี้มีความยืดหยุ่นสูง ถ้าเราต้องมีการเปลี่ยนแปลงดีไซน์ต่าง ๆ เราจะได้ปรับเฉพาะแค่ไฟล์ css แทนที่จะไปแก้ html ในแต่ละหน้า ลองนึกดูครับว่า ถ้าวันใดที่คุณมีบทความประมาณ 1,000 บทความ แต่คุณต้องมานั่งแก้สีของกรอบรูปภาพ ที่คุณเคยเขียนโค๊ดใส่ border เข้าไปที่โค๊ดของรูปภาพโดยตรง แทนที่จะแก้ไขที่ไฟล์ css แค่บรรทัดเดียว
6. จัดตารางเวลาในการเขียนให้เหมาะสม
เมื่อตอนเริ่มเขียนบล็อก คุณอาจใช้เวลาไม่มากนักในการเขียนบทความ แต่เมื่อคุณเขียนมากขึ้นเรื่อย ๆ จากวันเป็นเดือน จากเดือนเป็นปี แน่นอนว่าคงต้องมีการกระทบกับเวลาการทำงานอื่น ๆ ของคุณเช่นกัน ดังนั้นลองจัดสรรเวลาสำหรับเขียนบล็อก อาจจะตื่นเช้าสักหน่อย ใช้เวลาในช่วงเช้าก่อนไปทำงาน เขียนบทความสักหนึ่งตอน หรือจะเขียนบทความในช่วงดึก ๆ ก่อนนอนก็ได้ ตรงนี้แล้วแต่คนนะครับ ว่าคุณสะดวกแบบไหน หรือมีเวลาว่างในตอนอื่น ๆ ลองปรับให้เหมาะสมกับตัวเองดูีครับ
7. ใส่ใจเรื่องขนาดของภาพประกอบบทความ
ไก่งามเพราะขน คนงามเพราะแต่งฉันท์ใด บล็อกย่อมงามเพราะดีไซน์และภาพประกอบ (มั่วจริง ๆ เลยผม) ลองทำความรู้จักกับรูปแบบของไฟล์ภาพชนิดต่าง ๆ ดูนะครับ เช่นไฟล์ที่มีนามสกุลเป็น .gif นั้น สามารถแสดงผลได้สูงสุด 256 สี แต่ไฟล์ภาพที่เป็นนามสกุล .jpg นั้นสามารถแสดงผลได้สูงสุด 16 ล้านสี ดังนั้นการเลือกที่จะเซฟภาพเป็นไฟล์นามสกุลอะไรนั้น เป็นสิ่งจำเป็นอย่างมาก เพราะหากเลือกชนิดไฟล์ผิด ภาพที่ออกมาจะไม่สวย และไฟล์อาจมีขนาดใหญ่ผิดปกติ นั่นจะเป็นสิ่งทกินทรัพยากรของระบบ และบล็อกของคุณมากขึ้นไปอีก เพราะถ้ามีผู้อ่านเยอะ แต่ต้องรอโหลดภาพที่ใหญ่ผิดปกติ ผู้อ่านบางท่านอาจจะเลิกรอเลยครับ ผมขอแนะนำวิธีง่าย ๆ ในการเซฟภาพดังนี้ครับ หากเป็นภาพถ่าย แนะนำให้ใช้เป็น jpg ส่วนถ้าเป็นไฟล์โลโก้ หรือภาพที่มีจำนวนสีน้อย ๆ ลองดูเป็น gif นะครับ
ที่มา http://keng.com/2006/11/06/7-tips-for-blogging-like-a-professtional/
คำอธิบายเกี่ยวกับเรื่อง Port
กล่าวนำ
สำหรับเอกสารที่ให้ความรู้อย่างละเอียดและชัดเจนเกี่ยวกับเรื่อง Port นั้นค่อนข้างมีจำกัด ไม่ว่าจะเป็นจากทางด้านหนังสือหรือทาง Internet จะเห็นได้ว่าหลายบทความเกี่ยวกับ security แนะนำให้ทำการปิด Port ที่ไม่ได้ใช้หรือไม่จำเป็นหรือตรวจสอบว่ามี Port ใดบ้างที่เปิดอยู่หรือเป็นช่องโหว่สำหรับการ Compromise สำหรับเอกสารฉบับนี้มุ่งหวังจะให้ความรู้และเป็นแนวทางในการศึกษาต่อกับผู้อ่านในเรื่อง Port คืออะไรและวัตถุประสงค์ในการใช้ Port เพื่ออะไร
ความรู้ทั่วไปเกี่ยวกับ Port
สำหรับพวก Application ในชั้น layer สูงๆ ที่ใช้ TCP (Transmission Control Protocol) หรือ UDP (User Datagram Protocol) จะมีหมายเลข Port หมายเลขของ Port จะเป็นเลข 16 bit เริ่มตั้งแต่ 0 ถึง 65535 หมายเลข Port ใช้สำหรับตัดสินว่า service ใดที่ต้องการเรียกใช้ ในทางทฤษฎี หมายเลข Port แต่ละหมายเลขถูกเลือกสำหรับ service ใดๆ ขึ้นอยู่กับ OS (operating system) ที่ใช้ ไม่จำเป็นต้องเหมือนกัน แต่ได้มีกำหนดขึ้นให้ใช้ค่อนข้างเป็นมาตรฐานเพื่อให้มีการติดต่อการส่งข้อมูลที่ดีขึ้น ทาง Internet Assigned Numbers Authority (IANA) เป็นหน่วยงานกลางในการประสานการเลือกใช้ Port ว่า Port หมายเลขใดควรเหมาะสำหรับ Service ใด และได้กำหนดใน Request For Comments (RFC') 1700 ตัวอย่างเช่น เลือกใช้ TCP Port หมายเลข 23 กับ Service Telnet และเลือกใช้ UDP Port หมายเลข 69 สำหรับ Service Trivial File transfer Protocol (TFTP) ตัวอย่างต่อไปนี้เป็นบางส่วนของ File/etc/services แสดงให้เห็นว่า หมายเลข Port แต่ละหมายเลขได้ถูกจับคู่กับ Transport Protocol หนึ่งหรือสอง Protocol ซึ่งหมายความว่า UPP หรือ TCP อาจจะใช้ หมายเลข Port เดียวกันก็ได้ เนื่องจากเป็น Protocol ที่ต่างกัน
ท่านสามาด ดาวโหลดรายละเอียดเพี่ม ที่นี้
เจาะลึก Web Application Security ( ตอนที่1 )
Hacker ในอดีตแตกต่างจาก Hacker ในปัจจุบันและอนาคต เนื่องจาก Hacker ในอดีตนั้น มักจะเป็นผู้ที่มีความเชี่ยวชาญด้าน TCP/IP protocol suite หรือการเขียนโปรแกรมภาษา C อย่างลึกซึ้ง Hacker มักจะใช้ Exploit หรือ โปรแกรมเจาะระบบ เจาะผ่านทาง Port ต่างๆ ที่เปิดให้บริการบน Server ของเรา เช่น FTP Server จะเปิด Port 20 และ 21, Sun RPC บน Solaris Platform เปิด Port "Sun RPC" 111 เป็นต้น โดย Hacker นิยมเจาะระบบ Unix ผ่านทาง Port RPC โดยใช้ Exploit ของ Port 111 ซึ่งปกติจะเป็น Port Default ของ Solaris อยู่แล้ว (ข้อมูลเพิ่มเติมอ่านได้ที่ www.sans.org/top20)
แต่ในปัจจุบัน Hacker จำเป็นต้องมีการเปลี่ยนแปลงพฤติกรรมในการเจาะระบบเนื่องจาก ระบบส่วนใหญ่มีการป้องกันโดยใช้ Firewall และ มักจะปิด Port ต่างๆ ที่ไม่จำเป็น ตลอดจนปิดแม้กระทั่ง ICMP ซึ่งจะทำให้ Hacker ไม่สามารถใช้คำสั่ง PING มายังเครื่องของเราได้ โดยเราจะเปิด Port สำหรับการใช้งานผ่านทาง Web เท่านั้น คือ Port HTTP 80 และ HTTPS 443 (SSL) จะเห็นได้ว่า Hacker นั้นไม่สามารถเจาะระบบโดยใช้ Exploit เดิมๆ เพราะ Port ต่างๆ ถูกปิดโดย Firewall เรียบร้อยแล้ว ดังนั้น จึงเป็นที่มาของ การ Hack ในแนวใหม่ (Next Generation Hacking) ก็คือ "Web Application Hacking" เจาะเฉพาะ Port 80 และ Port 443 (เพราะ Firewall ของทุกองค์กรยังไงก็ต้องเปิด Port 80 เพื่อให้คนภายนอกเข้ามาเยี่ยมชม Website)
Hacker ในปัจจุบันจึงจำเป็นต้องมีความรู้ด้านการเขียนโปรแกรม Web Application ด้วย ถ้าเป็น Windows Platform ก็ต้องศึกษาเกี่ยวกับ IIS Web Server, Active Server Page (ASP) หรือถ้าใช้ Unix/Linux Platform ก็ต้องศึกษาเกี่ยวกับ Apache Web Server, mod_SSL, PERL หรือภาษายอดนิยม PHP และ Java Server Page (JSP) เป็นต้น
แน่นอนว่า Web Application นั้นถูกเขียนโดย Web Programmer ส่วนใหญ่มักจะมีความเชี่ยวชาญในการเขียนภาษา ASP หรือ PHP บางคนก็ชอบใช้ Content Management System เช่น PHPnuke (www.phpnuke.org) หรือ PHPbb (www.phpbb.com) ซึ่งล้วนแต่มีช่องโหว่ให้กับ Hacker โดยปกติแล้ว Web Programmer มักจะไม่ได้สนใจเรื่องของ Security โดยตรง จะมีเพียงบางคนที่ศึกษาเรื่องนี้อย่างจริงจัง ดังนั้นการเขียน Web Application ที่ไม่ได้คำนึงถึงด้าน Web Application Security นั้น จึงเป็นการเปิดช่องให้กับ Hacker ในการเจาะระบบ ผ่านทาง Port 80 หรือ Port 443 ได้อย่างง่ายดาย โดยที่ Firewall ไม่สามารถที่จะป้องกันได้เลย
การเจาะระบบผ่านทาง Port 80 หรือ 443 นั้น ไม่ยากอย่างที่เราคิด ลองตรวจสอบระบบของเราเองดู ด้วยวิธีการที่เรียกกันในกลุ่มคนที่ทำงานด้าน Information Security ว่า "Vulnerability Assessment" โดยใช้โปรแกรมจำลองการเจาะระบบ ตัวอย่างเช่นโปรแกรม N-Stealth จาก Website http://www.nstalker.com เราจะพบว่า Web Server ของเรา ไม่ว่าจะเป็น IIS หรือ Apache ล้วนมีช่องโหว่ที่ Hacker สามารถมองเห็นโดยโปรแกรมจะวิเคราะห์ช่องโหว่ใน CGI Script, PERL Script ตลอดจน ASP, PHP, Cold Fusion และ JSP Script ด้วย
ช่องโหว่ใน Web Application นั้น มีหลายประเภทเช่น Hidden Manipulation, Cookie Poisoning, Buffer Overflow, SQL Injection, Cross Site Scripting (XSS) Flaws (ซึ่งผมจะกล่าวรายละเอียดในฉบับต่อไป)
ถามว่าวันนี้เรามีทั้ง Firewall และ IDS ในระบบของเราแล้วเราจะปลอดภัยจากการโจมตีของ Hacker หรือไม่ คำตอบก็คือ ไม่ได้ 100% เพราะยังไงเราก็ต้องเปิด Port ให้คนเข้ามาที่ Web Server ของเราอยู่ดี และ Web Application Programmer ส่วนใหญ่ก็ไม่ได้มีความรู้ในระดับของ Hacker ตลอดจนงานพัฒนาโปรแกรมนั้นก็มักจะเป็นงานที่เร่งรีบเสียจนไม่มีเวลาที่จะมาตรวจสอบ Source Code เพื่อความปลอดภัยของระบบ ดังนั้นทางแก้ไขแบบบูรณาการก็คือ เราต้องถ่ายทอดความรู้ด้าน "Web Application Security" ให้กับโปรแกรมเมอร์ เพื่อโปรแกรมเมอร์จะได้มีความตระหนักถึงการจู่โจมของ Hacker เรียกว่าสร้าง "Security Awareness" ตลอดจนมีการนำ Source Code มาตรวจสอบทั้งแบบ Manual และ Automated โดยใช้ Tools ที่มีอยู่มากมายใน Internet ก็สามารถจะช่วยลดความเสี่ยงที่เกิดขึ้นกับ Web Application ของเราได้กว่า 50 %
จากข้อมูลใน web site www.netcraft.com ทำให้เราทราบว่าขณะนี้จำนวน web site ทั่วโลกได้เพิ่มขึ้นอย่างรวดเร็วกว่า 42 ล้าน web site ข้อมูลล่าสุดพบว่าใช้ web server Apache ( จาก http://httpd.apache.org ) 63.72% และ web server IIS ของ Microsoft 25.95% เราสามารถสรุปได้ว่า web server ทั่วโลกส่วนใหญ่ใช้ Apache ซึ่งเป็นโปรแกรม open source และ IIS บน Windows NT/2000 Server
คราวนี้เรามาดูฝั่งของ Hacker กันบ้างจากข้อมูลใน web site ของเหล่าบรรดา Hacker ที่ชอบมาเปลี่ยนหน้า web page ตาม web site ต่าง ๆ ทั่วโลก ดูที่ http://www.zone-h-org เราพบว่าสถิติ web server ที่โดน Hack มากที่สุด (กว่า 80%) ก็คือ Platform ที่ใช้ Linux และ Windows 2000 เป็น web server
และ เมื่อเราค้นข้อมูลเพิ่มเติมจาก Search Menu ก็พบว่า web site ของไทยเราโดน Hacker ต่างชาติ เข้ามา Hack กันมากพอสมควร เราอาจจะสงสัยว่า Hacker เหล่านี้เข้ามา Hack เราได้อย่างไร ทั้ง ๆ ที่เราก็เปิด Firewall เฉพาะ port 80 และ port 443 อนุญาตก็แค่เพียง HTTP และ HTTPS Traffic เท่านั้น Hacker ก็ยังเจาะเข้ามาได้ ดูสถิติจาก www.incidents.org ก็พบว่าการเจาะระบบในเวลานี้ ส่วนใหญ่แล้วเจาะเข้ามาทาง Port 80 ก็คือผ่านทาง ช่องโหว่ของ web server เรานั่นเอง
Web Server Hacking และ Web Application Hacking จึงเป็นทิศทางใหม่ของเหล่า Hacker เพราะ web site ทุกแห่งทั่วโลกอย่างไรก็ต้องเปิดบริการ port 80 และ port 443 Hacker สามารถใช้เพียงช่อง Address ที่เราป้อง URL ใน Internet Explorer ก็สามารถเจาะระบบเราได้ โดยมุ่งเป้าหมายมาที่ Web Server และ Web Application ที่เราใช้งานอยู่ ในทางเทคนิคเราเรียกวิธีนี้ว่า "Web Subversion"
เทคนิคในการ Hack Web Application มีหลายแบบได้แก่ "Hidden Manipulation" หมายถึง Hacker จะแอบเข้ามาดูข้อมูลที่อยู่ใน Hidden Field ที่ web master ชอบใช้ในการเขียน Web Application วิธีการดูก็ง่าย ๆ คือ Right Click Mouse ที่หน้าจอใน IE แล้วเลือก View source ก็สามารถเห็นข้อมูลที่โดยปกติ IE จะไปแสดงบนจอภาพซึ่ง Hacker สามารถใช้ข้อมูลเหล่านี้ ให้เป็นประโยชน์ในการโจมตี Web server ของเรา ปัญหาก็คือ ในความเข้าใจของ web master โดยปกติคิดว่าข้อมูลใน Hidden Field จะไม่มีใครเห็น และจะไม่ถูกแก้ไขจากฝั่ง Client แต่ Hacker สามารถแก้ไขข้อมูลใน Hidden Field จะฝั่ง Client และส่งกลับมาประมวลผลในฝั่ง Server ได้ ทำให้ข้อมูลที่เรารับกลับเข้ามาจากฝั่ง Client เกิดความผิดพลาด ยกตัวอย่างเช่น เราทำ e-commerce web site ขายสินค้าผ่าน Internet พวก Hacker สามารถเข้ามาแก้ไขข้อมูลราคาสินค้าของเราให้ต่ำลงได้เวลาสั่งซื้อสินค้า ทำให้ web application คำนวณราคาผิดพลาด ส่งผลต่อยอดขายที่ไม่ถูกต้อง ซึ่งต้องใช้เวลาในการตรวจสอบกันพอสมควร
เทคนิคที่ Hacker ชอบใช้อีกวิธีหนึ่งก็คือ "Cookie Poisoning" สังเกตได้ว่า web site ส่วนใหญ่เวลานี้ชอบใช้ เทคนิค Cookie ในการเก็บข้อมูลลูกค้าหลังจากที่เราเข้าไปใน web site เหล่านั้น เช่น เวลาเข้าไป Login หรือ Sign-on เข้าสู่ web site ข้อมูล User name และ Password ของเราจะถูกเก็บอยู่ใน Cookie Text File ใน Subdirectory C:\Documents and Settings\<ชื่อผู้ใช้>\cookies บน hard disk drive c: ของเครื่องเราเอง
ข้อมูลส่วนตัวของเรานอกจาก User name และ Password ก็ถูกเก็บอยู่ใน Cookie ด้วยเช่นกัน Hacker สามารถวิเคราะห์ Pattern จากข้อมูลใน Cookie ทำให้ทราบถึงลักษณะการเก็บข้อมูลของเรา และใช้ข้อมูลเหล่านี้ในการเข้าถึงข้อมูลของลูกค้ารายอื่น ๆ ใน e-commerce site เนื่องจาก Cookie File ส่วนใหญ่เป็น Text File ที่ไม่ได้เข้ารหัส หรือไม่ก็ เข้ารหัสแบบง่าย ๆ ซึ่งทำให้ Hacker สามารถแกะ Pattern ออกมาได้ดังนั้น เราควรจัดการกับ Cookie อย่างระมัดระวัง ไม่อย่างนั้นข้อมูลลูกค้าใน Web site ของเราอาจจะรั่วไปสู่มือ Hacker ได้ง่าย ๆ web site ในต่างประเทศหลายที่ โดยเฉพาะพวก web โป๊ มักจะฝังโปรแกรมดักรอเราเมื่อเราเผลอเข้าไปใน web site พวกนี้ โปรแกรม Trojan ที่รอเราอยู่ใน web site จะถูก Download โดยอัตโนมัติเข้าสู่ hard disk ของเราโดยไม่ขออนุญาตเราก่อน ส่วนใหญ่จะเป็นโปรแกรมประเภท SpyWare หรือ AdWare
SpyWare ก็คือโปรแกรมที่เข้ามาแอบดูข้อมูลส่วนตัวในเครื่องของเราส่วนใหญ่จะวิเคราะห์จาก Cookies จากนั้นมันจะส่งข้อมูลกลับไปหา Site เหล่านั้น เพื่อนำข้อมูลเราไปขายหรือหวังผลทางด้านการตลาด เช่น ส่ง Spam Mail กลับมาหาเรา ส่วน AdWare นั้นจะคอยฝังตัวในเครื่องเราแล้วแสดงโฆษณาในลักษณะ Pop-Up AD ออกมาให้เรารำคาญอยู่เป็นระยะ ๆ
ดังนั้น เราควรตรวจสอบโปรแกรมพวกนี้อยู่เป็นประจำว่ามีฝังตัวอยู่ในเครื่องเราหรือไม่ ลองเข้าไปดูที่ http://www.spychecker.com/software/antispy.html สำหรับ web master ควรใช้งาน Cookie อย่างระมัดระวัง หรือ เราอาจจะไม่ใช้ Cookie ในฝั่ง Client เลยก็ได้ เพื่อความปลอดภัยของ user ที่เข้ามาใช้บริการ web application ของเรา
เทคนิคการเจาะ Web Application ของเหล่า Hacker นั้น มีหลายวิธีดังที่ได้กล่าวไปแล้วในฉบับก่อนหน้านี้ เช่น "Hidden Manipulation" และ "Cookie Poisoning" เป็นต้น อีกเทคนิคที่ Hacker ชอบใช้เป็นประจำ ได้แก่ "Cross-Site Scripting" หรือที่เรียกกันในนาม XSS หรือ CSS
จะเกิดขึ้นเมื่อเวลาที่เราป้อนค่าเข้าไปใน Web Browser เพื่อส่งให้กับ Web Server เช่น การป้อน Username และ Password หรือ การคีย์ข้อมูลลงใน Web Board หลังจากที่เรากดปุ่ม Submit หรือกดปุ่ม Enter เพื่อส่งข้อมูลให้ Web Server ทาง Web Server จะสร้าง Web Page ตอบกลับมายัง Web Browser ของเราในลักษณะที่เป็น Dynamic Content เช่น ถ้าเราป้อนชื่อผิด Web Server ก็จะแจ้งว่าชื่อนั้นไม่มีในระบบ เป็นต้น
หาก Web Server มีการนำข้อมูลที่เราป้อนใส่ลงไปใน Web Page กลับมาแสดงเป็นผลลัพธ์ให้เราเห็นหลังจากที่เราได้ป้อนข้อมูลลงไป แล้ว Hacker สามารถป้อนข้อมูลที่ไม่ใช่ข้อมูลปกติลงไปในช่อง Input เช่น ป้อนข้อมูลเข้าไปในรูปแบบของ JAVA Script ซึ่งสามารถ ทำงานตามที่ Hacker ต้องการได้ เช่น สามารถขโมย Cookie ที่อยู่ในเครื่อง PC ของเราส่งกลับไปหา Hacker ได้
ช่องโหว่ในลักษณะ Cross-Site Scripting นี้ เราจะเห็นได้บ่อยๆใน Search Engine ที่มีการทวน Search Keyword ที่เราป้อนลงไป หรือใน Web Site ที่มีการทวน String ของข้อมูลที่เราป้อนลงไป ในลักษณะของ error message หรือ รูปแบบของ Web Form ที่มีการทวนข้อมูลหลังจากที่เราคีย์เข้าไปในตอนแรก และ พวก Web Board ที่อนุญาตให้ User สามารถเข้ามา POST ข้อมูลได้เป็นต้น
เมื่อ Hacker พบว่า Web Site มีช่องโหว่ให้สามารถทำ Cross-Site Scripting ได้ Hacker ก็จะเขียน Script ที่สามารถดูดข้อมูลส่วนตัว ของเราที่เก็บไว้ในเครื่องเราเองในลักษณะที่เป็น Cookie ส่งกลับไปหา Hacker ให้ Hacker สามารถดูข้อมูลของเราได้อย่างง่ายดาย หรือ ส่งพวก Malicious Script แปลกๆ มา Run บนยังเครื่องเราตามที่ Hacker ต้องการก็สามารถที่จะทำได้หาก Web Browser ของเรานั้น อนุญาตให้ Run Script ต่างๆได้ เช่น JAVA Script เป็นต้น
การแก้ปัญหา XSS Flaw นั้น ต้องมีการร่วมมือกันของหลายฝ่าย ได้แก่ ฝ่ายผู้พัฒนาโปรแกรม (Web Application Developer), ผู้ดูแลระบบ (Server Administration) และ ผู้ผลิต Web Browser (Browser Manufacturer)
สำหรับผู้พัฒนาโปรแกรม ควรจะมีการกรองข้อมูลขาเข้าจากทาง Client Side โดยอย่าคิดว่า User จะป้อนข้อมูลธรรมดาๆ กลับมาที่ Web Server เสมอไป ควรต้องมีการตรวจเช็คข้อมูลขาเข้าทุกครั้งที่รับกลับมายัง Web Server ตลอดจน เวลาจะส่งข้อมูลกลับไปยัง Web B rowser ที่ควรแปลงพวก "Non-alphanumeric data" ให้กลายเป็น HTML character เสียก่อน เช่น เครื่องหมายน้อยกว่า "<" ควรถูกแปลงเป็น "& l t ;" เป็นต้น
จะเห็นว่า Web Application Developer ต้องมาไล่ตรวจสอบ Source Code ที่เขียนด้วย ASP, JSP หรือ PHP ว่ามีช่องโหว่ดัง ลักษณะที่กล่าวมาหรือไม่ เวลานี้เราสามารถใช้ Tool ในการช่วยวิเคราะห์ Source Code ของเราได้ โดยไม่ต้องเหนื่อยกับกา รตรวจสอบทีละบรรทัด แต่เราต้องเสียทรัพย์ในการจัดซื้อ TOOL พวกนี้ เช่น WebInspect จาก SPI Dynamics หรือ AppScan จาก Sanctum Inc. ซึ่ง TOOL เหล่านี้มีราคาแพงพอสมควร หากเราได้ฝึกอบรมให้กับผู้พัฒนา Web Application ให้เข้าใจปัญหาต่างๆ เหล่านี้ TOOL ที่ใช้ในการตรวจสอบ Source Code ก็คงไม่มีความจำเป็นเท่าใดนัก
สำหรับ End user การป้องกันตัวก็ทำได้ง่ายๆ โดยการ Disable Scripting Language ที่ Web Browser ของเรานั่นเอง แต่เราก็จะเล่นลูกเล่นต่างๆใน Web Site ไม่ได้เต็มที่ หรือ เวลาที่เราจะเข้า Web Site ก็ให้พิมพ์ชื่อลงในช่อง URL อย่า Click Link ที่มากับ e-mail โดยไม่ตรวจสอบให้รอบคอบเสียก่อน หรือ อย่า Click Link ทีอยู่ตาม Web Board ต่างๆ เพราะ Link เหล่านั้นอาจมีการแอบแฝง Script ตลอดจน Malicious URL ต่างๆไว้รอคุณอยู่ ดังนั้นการแก้ไขปัญหาที่ง่ายที่สุด คงอยู่ที่ตัวเราเอง ต้องเลือกเข้า Web Site ที่น่าเชื่อถือ ตลอดจนระมัดระวังเวลาที่จะ Click อะไรก็ตามที่เป็น Link อยู่บน Web Browser ของเรานะครับ
ข้อมูลเพิ่มเติมเกี่ยวกับการ Hack และ การป้องกันช่องโหว่ใน Web Server และ Web Application ท่านผู้อ่านสามารถเข้าฟัง สัมมนา "Cyber Defense Initiative Conference ครั้งที่ 3" ในวันที่ 4-5 กันยายนนี้ โดยเป็นความร่วมมือระหว่าง 4 หน่วยงาน ได้แก่ NECTEC (ThaiCERT), สำนักงานตำรวจแห่งชาติ, สำนักข่าวกรองแห่งชาติ และ ACIS Professional Center ในงาน สัมมนาจะกล่าวถึงปัญหาและการแก้ไขเกี่ยวกับ Web Application Security โดยละเอียด ติดตามข้อมูลใหม่ๆด้าน Security ได้ใน e-week ฉบับหน้านะครับ สวัสดีครับ
________________________________________
จาก : หนังสือ eWeekThailand
ปักษ์แรก เดือนสิงหาคม
Update Information : 9 สิงหาคม 2546
บทเรียนจากหนอนอินเทอร์เน็ต Blaster Worm
นับตั้งแต่นาย Robert T. Morris นักศึกษามหาวิทยาลัย Cornell ได้ทำการปล่อย "หนอนอินเทอร์เน็ต" ตัวแรกของโลกที่ทำให้อินเทอร์เน็ตปั่นป่วนไปทั่วอเมริกาในปี 1988 ซึ่งกลายเป็นต้นแบบของ "Internet Worm" ทำให้เกิด Worm ต่าง ๆ ตามมามากมาย เช่น Code Red/Nimda Worm ที่เรารู้จักกันดี ล่าสุด "Blaster Worm" , "MSBlast" หรือ LovSan" เป็น worm ที่ระบาดอย่างรุนแรงที่สุด โดยอาศัยช่องโหว่ RPC DCOM ของ Microsoft Windows Platform ตั้งแต่ Windows NT, Windows 2000 จนถึง Windows XP ตลอดจน Windows Server 2003 โดยก่อนที่ worm จะระบาดไปทั่วนั้น Hacker ได้ค้นพบช่องโหว่ ( Vulnerability ) ของ Windows Platform แล้วทำโปรแกรมเจาะระบบ ( Exploit ) มาเผยแพร่ในอินเทอร์เน็ต จากนั้นอีกไม่กี่วันต่อมาเจ้า Blaster Worm ก็ออกมาอาละวาดในอินเทอร์เน็ต โดยทำให้เครื่อง PC ส่วนใหญ่ที่ใช้ Windows XP อยู่ในเวลานี้เกิดอาการ Shutdown ขึ้นมาดื้อ ๆ หรือ เครื่อง Windows 2000 ก็จะออกอาการไม่สามารถที่จะ Copy/Paste Folder ต่าง ๆ ได้ เล่นเอาผู้ดูแลระบบล้วนปวดหัวไปตาม ๆ กัน
จากปัญหาของหนอนอินเทอร์เน็ตที่เกิดขึ้นอยู่เป็นระยะ ทำให้เรามองเห็นแนวโน้มในอนาคตว่าจะต้องมีช่องโหว่ และไวรัส ตัวใหม่ ๆ เกิดขึ้นอีกอย่างแน่นอน ซึ่งตอนนี้ก็มีไวรัสที่ทำงานในรูปแบบเดียวกับ Blaster เกิดขึ้นตามมาอีก หลายตัว เราเรียกอาการแบบนี้ว่าเป็น "Variant" ของไวรัสต้นแบบ เช่น ต้นแบบคือ Blaster.A ไวรัสที่เป็น Variant ก็จะเปลี่ยนอักษรตัวสุดท้ายไปเรื่อย ๆ เช่น Blaster.D หรือ Blaster.E อะไรทำนองนี้ แต่อาการของมันจะมีความแตกต่างกัน โดยปกติแล้วไวรัส Variant ที่ออกมาทีหลังจะมีระดับความรุนแรงในการทำลายล้างมากกว่า เช่น Blaster ตัวต้นแบบอาจจะแค่ Shutdown เครื่อง PC แต่ตัวหลัง ๆ อาจจะลบไฟล์หรือ ก่อความเสียหายให้กับระบบมากกว่าตัวแรกก็เป็นไปได้ ซึ่งขณะนี้ก็มีตัวใหม่ออกมาแล้วชื่อ W32.Nachi.Worm (หรือชื่อ MSBLAST.D, Welchia) โดยจะทำการส่ง Packet ICMP จำนวนมากออกมาท่วม (Flood) เครือข่ายของเรา ซึ่งส่งผลให้มีความคับคั่งของข้อมูลในเครือข่ายสูง ซึ่ง Blaster ตัวต้นแบบไม่มีอาการในทำนองนี้
เราควรมีวิธีป้องกันไวรัสหรือหนอนอินเทอร์เน็ตตัวใหม่ ๆ ที่จะเกิดขึ้นในอนาคตอย่างถูกวิธีโดย เราควรแบ่งแยกวิธีการแก้ปัญหาออกตามประเภทของการใช้งานว่าเป็น ผู้ใช้ตามบ้าน (Home users) หรือ ผู้ใช้ระดับองค์กร (Corporate users) ที่ใช้เครื่อง PC ที่ทำงานด้วย Windows OS เป็นจำนวนมาก
ในระดับผู้ใช้งานตามบ้านนั้น ควรจะมีการติดตั้งโปรแกรม ประเภท Personal firewall เช่น Zone Alarm (ตัวที่ไม่เสียเงินคือ ZoneAlarm ธรรมดา ถ้าเป็น ZoneAlarm Pro จะไม่ฟรีนะครับ) หรือ Sygate Personal Firewall ก็ได้ ในกรณีของ Windows XP และ Windows Server 2003 ก็มี Firewall ในตัวอยู่แล้วซึ่งเราสามารถจะ "enable" มาใช้งานได้ ( รายละเอียดดูได้ที่ www.microsoft.com/security) จากนั้นถ้ามีเวลาก็ควร Update Windows ของเราด้วยการติดตั้ง "Patch" เพื่อแก้ปัญหาอย่างถาวรโดยสามารถ Download ได้จาก Web site "Windows Update" http://windowsupdate.microsoft.com เราพบว่าในทางปฏิบัติ Windows Update นั้นผู้ใช้ตามบ้านมักจะไม่ค่อยทำถ้าไม่มีความรู้เรื่องช่องโหว่ใหม่ ๆ หรือไม่ได้ตระหนัก (Awareness) ว่าต้องคอยลง Patch อยู่เป็นประจำ ดังนั้นการติดตั้ง Personal Firewall หรือ การติดตั้งโปรแกรม Anti-Virus โดยหมั่น Update "Virus Signature" บ่อย ๆ เห็นจะเป็นวิธีที่จะดูสะดวกกว่า ซึ่งจริง ๆ แล้วการ "Update Patch" นั้นเป็นวิธีที่ดีที่สุดแต่อาจจะไม่ค่อยสะดวกสำหรับผู้ใช้ที่มี bandwidth ต่ำและคนที่ขี้เกียจลง Patch เป็นต้น ในกรณีที่ติดไวรัสเข้าไปแล้วก็ควรทำการ "Remove" เจ้าไวรัสตัวร้ายให้หมดไปจากเครื่องเสียก่อนที่จะทำการปิดช่องโหว่นะครับ
สำหรับผู้ใช้ระดับองค์กรผมแนะนำว่าที่ PC workstation ในเครือข่าย LAN ให้ใช้วิธีเดียวกับผู้ใช้ตามบ้านแต่ให้เพิ่มการ update virus signature และ update Windows Patch ด้วยวิธีอัตโนมัติโดยใช้ความสามารถของโปรแกรม Anti-Virus ให้ลักษณะ Enterprise Update และใช้โปรแกรม HFNetchk LT (ฟรี) หรือ HFNetchk Pro (ต้องซื้อ) มาทำการ Deploy Patch ให้แก่ PC Workstation ในลักษณะ Automatic หลายเครื่องพร้อม ๆ กัน
นอกจากนี้ควรติดตั้ง IDS (Intrusion Detection System) เช่น snort ในการตรวจจับ traffic ของไวรัสตัวใหม่ที่จะเกิดขึ้น ตลอดจนเขียน Access List ที่ Border Router เพื่อทำการ Block Port ที่ไวรัสชอบเจาะเป็นประจำ เช่น Port TCP 135, 137, 139, 445 และ Port ที่ไวรัสใช้ในการกระจายตัวเอง เช่น Port UDP 69 (TFTP) เป็นต้น จะช่วยให้ป้องกันองค์กรของเราไม่ให้ไวรัสกระจายเป็นวงกว้างและปิดกั้นเส้นทางของไวรัสในการกระจายออกสู่ระบบ WAN อย่างได้ผล
ในฉบับหน้าเราจะพูดถึงเทคนิคการป้องกันแนวใหม่สำหรับเครือข่ายระดับองค์กร อย่าลืมติดตามนะครับ
________________________________________
จาก : หนังสือ eLeaderThailand
ฉบับที่175 ประจำเดือนกันยายน 2546
Update Information : 15 กันยายน 2546
Top 10 Web Application Hacking and How to Protect from Hackers
ทุกวันนี้ คงไม่มีบริษัทใดที่ไม่มี Website เป็นของตัวเอง บางบริษัทอาจจะเช่า Web Hosting อยู่ หรือ บางบริษัทอาจมี Web Site เป็นของตนเองอยู่ในระบบเครือข่ายของบริษัท โดยมีการต่อเชื่อมเครือข่ายของบริษัทด้วย Frame Relay, ADSL หรือ Leased Line เข้ากับระบบเครือข่ายของ ISP ซึ่งส่วนใหญ่ก็จะมีการจัดซื้อ Firewall มาใช้ป้องกันระบบเครือข่ายภายในของบริษัท กับ ระบบอินเทอร์เน็ตจาก ISP และ มีการเปิดให้คนภายนอกสามารถเข้ามาเยี่ยมชม Web Site ได้ โดยเปิด Port TCP 80 (http) และ Port TCP 443 (https) ในกรณีที่ใช้โปรโตคอล SSL ในการเข้ารหัสข้อมูลเพื่อเพิ่มความปลอดภัยมากยิ่งขึ้น
ปัญหาก็คือ ในเมื่อทุกบริษัทต้องเปิดทางให้มีการเข้าชม Web Site ทั้งแบบ Plain text traffic (Port 80) และแบบ Encrypted text traffic (port 443) ทำให้แฮกเกอร์สามารถจู่โจม Web Site ของเราโดยไม่ต้องเจาะผ่าน Firewall เนื่องจากเป็น Port ที่ Firewall มีความจำเป็นต้องเปิดใช้อยู่แล้ว
ในโลกของ E-Commerce มีอัตราการใช้งาน Web Server ที่เพิ่มขึ้นทุกวัน (ดูข้อมูลจากwww.netcraft.com) และ จากข้อมูลของ UNCTAD (http://www.unctad.org) พบว่า Web Server ทั่วโลก มีทั้งแบบที่เข้ารหัสด้วย SSL แล้ว และ แบบไม่เข้ารหัสด้วย SSL ก็ยังคงมีใช้กันอยู่
ในเมื่อแฮกเกอร์มองเห็นช่องที่เรามีความจำเป็นต้องเปิดใช้งานผ่านทาง Web Server และ Web Application แฮกเกอร์ในปัจจุบันจึงใช้วิธีที่เรียกว่า "Web Application Hacking" ในการเจาะเข้าสู่ระบบขององค์กรต่างๆ ทั่วโลก ขณะนี้มีการจู่โจมระบบโดยกลุ่มแฮกเกอร์ที่ต้องการทำสถิติ ในการเจาะ Web Site ดูรายละเอียดได้ที่ http://www.zone-h.org ดังนั้น ผู้ที่มี Web Site อยู่ และ โดยเฉพาะผู้ที่ต้องการหันมาทำธุรกิจในลักษณะของ E-commerce ซึ่งต้องมี Web Site ที่ใช้ Web server ที่เชื่อถือได้ และมีการเขียน Web application โดยคำนึงถึงเรื่อง "Security" เป็นหลัก จึงมีความจำเป็นอย่างยิ่งที่ต้องเรียนรู้ช่องโหว่ (Vulnerability) ของ Web application ที่แฮกเกอร์ชอบใช้ในการเจาะระบบ Web application ของเราซึ่งรวบรวมได้ทั้งหมด 10 วิธีด้วยกัน (Top 10 Web Application Hacking)
ตลอดจนเรียนรู้วิธีการป้องกันที่ถูกต้อง เพื่อที่จะไม่ให้ตกเป็นเหยื่อของเหล่าแฮกเกอร์ที่จ้องคอยเจาะระบบเราอยู่ผ่านทาง Web Site ที่ยังไงเราก็ต้องเปิดให้เข้าถึง และ ยังมี Virus Worm ตัวใหม่ๆ ที่เขียนขึ้นเพื่อจู่โจม Port 80 (HTTP)และ Port 443 (SSL) โดยเฉพาะอีกด้วย รายละเอียดของ Top 10 Web Application Hacking มี 10 วิธี ดังนี้
1. Unvalidated Input
หมายถึง การที่ข้อมูลจากฝั่ง client ที่ส่วนใหญ่แล้ว จะมาจาก Internet Explorer (IE) Browser ไม่ได้รับการตรวจสอบก่อนถูกส่งมาประมวลผลโดย Web Application ที่ทำงานอยู่บน Web Server ทำให้แฮกเกอร์สามารถดักแก้ไขข้อมูลในฝั่ง client
ก่อนที่จะถูกส่งมายังฝั่ง server โดยใช้โปรแกรมที่สามารถดักข้อมูลได้ เช่น โปรแกรม Achilles เป็นต้น ดังนั้น ถ้าเรารับข้อมูลจากฝั่ง client โดยไม่ระมัดระวัง หรือ คิดว่าเป็นข้อมูลที่เราเป็นคนกำหนดเอง เช่น เทคนิคการใช้ Hidden Field หรือ Form Field ตลอดจนใช้ข้อมูลจาก Cookies เราอาจจะโดนแฮกเกอร์แก้ไขข้อมูลฝั่ง client ด้วย โปรแกรมดังกล่าวแล้วส่งกลับมาฝั่ง server ในรูปแบบที่แฮกเกอร์ต้องการ และมีผลกระทบกับการทำงานของ Web Application ในฝั่ง web server
วิธีการป้องกัน
เราควรจะตรวจสอบข้อมูลที่รับมาจากทั้ง 2 ฝั่ง คือ ข้อมูลที่รับมาจาก client ผ่านทาง Browser และข้อมูลที่รับมาประมวลผลที่ web server โดยตรวจสอบที่ web server อีกครั้งก่อนนำไปประมวลผลด้วย Web application เราควรมีการฝึกอบรม Web Programmer ของเราให้ระมัดระวังในการรับ input จากฝั่ง client ตลอดจนมีการ Review Source code ไม่ว่าจะเขียนด้วย ASP, PHP หรือ JSP Script ก่อนที่จะนำไปใช้งานในระบบจริง ถ้ามีงบประมาณด้านรักษาความปลอดภัย ก็แนะนำให้ใช้ application level firewall หรือ Host-Based IDS/IPS ที่สามารถมองเห็น Malicious content และป้องกันในระดับ application layer
2. Broken Access Control
หมายถึง มีการป้องกันระบบไม่ดีพอเกี่ยวกับการกำหนดสิทธิของผู้ใช้ (Permission) ที่สามารถจะ Log-in /Log-on เข้าระบบ Web application ได้ ซึ่งผลที่ตามมาก็คือ ผู้ที่ไม่มีสิทธิเข้าระบบ (Unauthorized User) สามารถเข้าถึงข้อมูลที่เราต้องการป้องกันไว้ไม่ให้ Unauthorized User เข้ามาดูได้ เช่น เข้ามาดูไฟล์ข้อมูลบัตรเครดิตลูกค้าที่เก็บอยู่ใน Web Server หรือ เข้าถึงไฟล์ข้อมูลในลักษณะ ฏDirectory Browsing โดยเห็นไฟล์ทั้งหมดที่อยู่ใน web Server ของเรา ปัญหานี้เกิดจากการกำหนด File Permission ไม่ดีพอ และ อาจเกิดจากปัญหาที่เรียกว่า "Path Traversal" หมายถึง แฮกเกอร์จะลองสุ่มพิมพ์ path หรือ sub directory ลงไปในช่อง URL เช่น http://www.abc.com/../../customer.mdb เป็นต้น นอกจากนี้อาจเกิดจากปัญหาการ cache ข้อมูลในฝั่ง client ทำให้ข้อมูลที่ค้างอยู่ cache ถูกแฮกเกอร์เรียกกลับมาดูใหม่ได้ โดยไม่ต้อง Log-in เข้าระบบก่อน
วิธีการป้องกัน
พยายามอย่าใช้ User ID ที่ง่ายเกินไป และ Default User ID ที่ง่ายต่อการเดา โดยเฉพาะ User ID ที่เป็นค่า default ควรลบทิ้งให้หมด สำหรับปัญหา Directory Browsing หรือ Path Traversal นั้น ควรมีการ set file system permission ให้รัดกุม เพื่อป้องกัน ช่องโหว่ที่อาจถูกโจมตี และ ปิด file permission ใน sub directory ต่างๆ ที่ไม่ได้ใช้ และ ไม่มีความจำเป็นต้องให้คนภายนอกเข้า เพื่อป้องกันแฮกเกอร์สุ่มพิมพ์ path เข้ามาดึงข้อมูลได้ และควรมีการตรวจสอบ Web Server log file และ IDS/IPS log file เป็นระยะๆ ว่ามี Intrusion หรือ Error แปลกๆ หรือไม่
3. Broken Authentication and Session Management
หมายถึง ระบบ Authentication ที่เราใช้อยู่ในการเข้าถึง Web Application ของเรานั้นไม่แข็งแกร่งเพียงพอ เช่น การตั้ง Password ง่ายเกินไป, มีการเก็บ Password ไว้ในฝั่ง Client โดยเก็บเป็นไฟล์ Cookie ที่เข้ารหัสแบบไม่ซับซ้อนทำให้แฮกเกอร์เดาได้ง่าย หรือใช้ชื่อ User ที่ง่ายเกินไป เช่น User Admin เป็นต้น บางทีก็ใช้ Path ที่ง่ายต่อการเดาได้ เช่น www.abc.com/admin หมายถึง การเข้าถึงหน้า admin ของระบบ แฮกเกอร์สามารถใช้โปรแกรมประเภท Dictionary Attack หรือ Brute Force Attack ในการลองเดาสุ่ม Password ของระบบ Web Application ของเรา ตลอดจนใช้โปรแกรมประเภท Password Sniffer ดักจับ Password ที่อยู่ในรูปแบบ Plain Text หรือ บางทีแฮกเกอร์ก็ใช้วิธีง่ายๆ ในการขโมย Password เรา โดยแกล้งปลอมตัวเป็นเรา แล้วแกล้งลืม Password (Forgot Password) ระบบก็จะถามคำถามกลับมา ซึ่งถ้าคำถามนั้นง่ายเกินไป แฮกเกอร์ก็จะเดาคำตอบได้ไม่ยากนัก ทำให้แฮกเกอร์ได้ Password เราไปในที่สุด
วิธีการป้องกัน
ที่สำคัญที่สุด คือการตั้งชื่อ User Name และ Password ควรจะมีความซับซ้อน ไม่สามารถเดาได้ง่าย มีความยาวไม่ต่ำกว่า 8 ตัวอักษร และมีข้อกำหนดในการใช้ Password (Password Policy) ว่าควรมีการเปลี่ยน Password เป็นระยะๆ ตลอดจนให้มีการกำหนด Account Lockout เช่น ถ้า Logon ผิดเกิน 3 ครั้ง ก็ให้ Lock Account นั้นไปเลยเป็นต้น การเก็บ Password ไว้ในฝั่ง Client นั้น ค่อนข้างที่จะอันตราย ถ้ามีความจำเป็นต้องเก็บในฝั่ง Client จริงๆ ก็ควรมีการเข้ารหัสที่ซับซ้อน (Hashed or Encrypted) ไม่สามารถถอดได้ง่ายๆ การ Login เข้าระบบควรผ่านทาง https protocol คือ มีการใช้ SSL เข้ามาร่วมด้วย เพื่อเข้ารหัส Username และ Password ให้ปลอดภัยจากพวกโปรแกรม Password Sniffing ถ้ามีงบประมาณควรใช้ Two-Factor Authentication เช่น ระบบ One Time Password ก็จะช่วยให้ปลอดภัยมากขึ้น การใช้ SSL ควรใช้ Digital Certificate ที่ได้รับการ Sign อย่างถูกต้องโดย CA (Certificate Authority) ถ้าเราใช้ CA แบบ Self Signed จะทำให้เกิดปัญหา Man in the Middle Attack (MIM) ทำให้แฮกเกอร์สามารถเจาะข้อมูลเราได้แม้ว่าเราจะใช้ SSL แล้วก็ตาม (ข้อมูลเพิ่มเติมที่เกี่ยวข้องกับ SSL Hacking ดูที่ http://www.acisonline.net)
4. Cross Site Scripting (XSS) Flaws
หมายถึง แฮกเกอร์สามารถใช้ Web Application ของเรา เช่น ระบบ Web Board ในการฝัง Malicious Script แฝงไว้ใน Web Board แทนที่จะใส่ข้อมูลตามปกติ เมื่อมีคนเข้า Refresh หน้า Web Board ก็จะทำให้ Malicious Script ที่ฝังไว้นั้นทำงานโดยอัตโนมัติ ตามความต้องการของแฮกเกอร์ หรือ อีกวิธีหนึ่ง แฮกเกอร์จะส่ง e-mail ไปหลอกให้เป้าหมาย Click ไปที่ URL Link ที่แฮกเกอร์ได้เตรียมไว้ใน e-mail เมื่อเป้าหมาย Click ไปที่ Link นั้น ก็จะไปสั่ง Run Malicious Script ที่อยู่ในตำแหน่งที่แฮกเกอร์ทำดักรอไว้ วิธีการหลอกแบบนี้ในวงการเรียกว่า "PHISHING" ซึ่งโดนกันไปแล้วหลายองค์กร เช่น Citibank, eBay เป็นต้น (ข้อมูลเพิ่มเติมดูได้ที่ http://www.acisonline.net)
วิธีการป้องกัน
อย่างแรกเลยต้องมีการให้ข้อมูลกับผู้ใช้คอมพิวเตอร์ทั่วไป ที่ใช้ e-mail และ web browser กันเป็นประจำให้ระมัดระวัง URL Link แปลกๆ หรือ e-mail แปลกๆ ที่เข้ามาในระบบก่อนจะ Click ควรจะดูให้รอบคอบก่อน เรียกว่า เป็นการทำ "Security Awareness Training" ให้กับ User ซึ่งควรจะทำทุกปี ปีละ 2-3 ครั้ง เพื่อให้รู้ทันกลเม็ดของแฮกเกอร์ และไวรัสที่ชอบส่ง e-mail มาหลอกอยู่เป็นประจำ สำหรับในฝั่งของผู้ดูและระบบ เช่น Web Master ก็ควรจะแก้ไข source codeใน Web Board ของตนให้ฉลาดพอที่จะแยกแยะออกว่ากำลังรับข้อมูลปกติ หรือรับข้อมูลที่เป็น Malicious Script ซึ่งจะสังเกตได้ไม่ยาก เพราะ Script มักจะมีเครื่องหมาย "< > ( ) # & " ให้ Web Master ทำการ "กรอง" เครื่องหมายเหล่านี้ก่อนที่จะนำข้อมูลไปประมวลผลโดย Web application ต่อไป
5. Buffer Overflow
หมายถึง ในฝั่งของ Client และ Server ไม่ว่าจะเป็น IE Browser และ IIS Web Server หรือ Netscape Browser และ Apache Web Server ที่เราใช้กันอยู่เป็นประจำ ล้วนมีช่องโหว่ (Vulnerability) หรือ Bug ที่อยู่ในโปรแกรม เมื่อแฮกเกอร์สามารถค้นพบ Bug ดังกล่าว แฮกเกอร์ก็จะฉวยโอกาสเขียนโปรแกรมเจาะระบบที่เราเรียกว่า "Exploit" ในการเจาะผ่านช่องโหว่ที่ถูกค้นพบ ซึ่งช่วงหลังๆ แม้แต่ SSL Modules ทั้ง IIS และ Apache web server ก็ล้วนมีช่องโหว่ให้แฮกเกอร์เจาะผ่านทาง Buffer Overflow ทั้งสิ้น
วิธีการป้องกัน
จะเห็นว่าปัญหานี้มาจากผู้ผลิตไม่ใช่ปัญหาการเขียนโปรแกรม Web application ดังนั้นเราต้องคอยหมั่นติดตามข่าวสาร New Vulnerability และ คอยลง Patch ให้กับระบบของเราอย่างสม่ำเสมอ และลง ให้ทันท่วงทีก่อนที่จะมี exploit ใหม่ๆ ออกมาให้แฮกเกอร์ใช้การเจาะระบบของเรา สำหรับ Top 10 Web Application Hacking อีก 5 ข้อ ที่เหลือผมขอกล่าวดังในฉบับต่อไปนะครับ
6. Injection Flaws
หมายถึง แฮกเกอร์สามารถที่จะแทรก Malicious Code หรือ คำสั่งที่แฮกเกอร์ใช้ในการเจาะระบบส่งผ่าน Web Application ไปยังระบบภายนอกที่เราเชื่อมต่ออยู่ เช่น ระบบฐานข้อมูล SQL โดยวิธี SQL Injection หรือ เรียก External Program ผ่าน shell command ของระบบปฎิบัติการ เป็นต้น
ส่วนใหญ่แล้วแฮกเกอร์จะใช้วิธีนี้ในช่วงการทำ Authentication หรือการ Login เข้าระบบผ่านทาง Web Application เช่น Web Site บางแห่งชอบใช้ "/admin" ในการเข้าสู่หน้า Admin ของ ระบบ ซึ่งเป็นช่องโหว่ให้แฮกเกอร์สามารถเดาได้เลยว่า เราใช้ http://www.mycompany.com/admin ในการเข้าไปจัดการบริหาร Web Site ดังนั้นเราจึงควรเปลี่ยนเป็นคำอื่นที่ไม่ใช่ "/admin" ก็จะช่วยได้มาก
วิธีการทำ SQL injection ก็คือ แฮกเกอร์จะใส่ชื่อ username อะไรก็ได้แต่ password สำหรับการทำ SQL injection จะใส่เป็น Logic Statement ยกตัวอย่างเช่น ' or '1' = '1 หรือ " or "1"= "1
ถ้า Web Application ของเราไม่มีการเขียน Input Validation ดัก password แปลกๆ แบบนี้ แฮกเกอร์ก็สามารถที่จะ bypass ระบบ Authentication ของเราและ Login เข้าสู่ระบบเราโดยไม่ต้องรู้ username และ password ของเรามาก่อนเลย
วิธีการเจาะระบบด้วย SQL injection ยังมีอีกหลายแบบจากที่ยกตัวอย่างมา ซึ่งแฮกเกอร์รุ่นใหม่สามารถเรียนรู้ได้ทางอินเทอร์เน็ตและวิธีการทำก็ไม่ยาก อย่างที่ยกตัวอย่างมาแล้ว
วิธีการป้องกัน
นักพัฒนาระบบ (Web Application Developer) ควรจะระมัดระวัง input string ที่มาจากทางฝั่ง Client (Web Browser) และไม่ควรใช้วิธีติดต่อกับระบบภายนอกโดยไม่จำเป็น
ควรมีการ "กรอง" ข้อมูลขาเข้าที่มาจาก Web Browser ผ่านมาทางผู้ใช้ Client อย่างละเอียด และ ทำการ "กรอง" ข้อมูลที่มีลักษณะที่เป็น SQL injection statement ออกไปเสียก่อนที่จะส่งให้กับระบบฐานข้อมูล SQL ต่อไป
การใช้ Stored Procedure หรือ Trigger ก็เป็นทางออกหนึ่งในการเขียนโปรแกรมสั่งงานไปยังระบบฐานข้อมูล SQL ซึ่งมีความปลอดภัยมากกว่าการใช้ "Dynamic SQL Statement " กับฐานข้อมูล SQL ตรงๆ
7. Improper Error Handling
หมายถึง มีการจัดการกับ Error message ไม่ดีพอ เวลาที่มีผู้ใช้ Web Application หรืออาจจะเป็นแฮกเกอร์ลองพิมพ์ Bad HTTP Request เข้ามาแต่ Web Server หรือ Web Application ของเราไม่มีข้อมูล จึงแสดง Error message ออกมาทางหน้า Browser ซึ่งข้อมูลที่แสดงออกมาทำให้แฮกเกอร์สามารถใช้เป็นประโยชน์ ในการนำไปเดาเพื่อหาข้อมูลเพิ่มเติมจากระบบ Web Application ของเราได้ เนื่องจากเมื่อการทำงานของ Web application หลุดไปจากปกติ ระบบมักจะแสดงค่า Error Message ออกมาแสดงถึงชื่อ user ที่ใช้ในการเข้าถึงฐานข้อมูล, แสดง File System Path หรือ Sub Directory Name ที่ชี้ไปยังไฟล์ฐานข้อมูล ตลอดจนทำให้แฮกเกอร์รู้ว่าเราใช้ระบบอะไรเป็นฐานข้อมูลเช่น ใช้ MySQL เป็นต้น
วิธีการแก้ปัญหา
ควรมีการกำหนดนโยบายการจัดการกับ Error message ให้กับระบบ โดยทำหน้า Error message ที่เตรียมไว้รับเวลามี Bad HTTP Request แปลกๆ เข้ามายัง Web Application ของเราโดยหน้า Error message ที่ดีไม่ควรจะบอกให้ผู้ใช้รู้ถึงข้อมูลระบบบางอย่างที่ผู้ใช้ทั่วไปไม่ควรรู้และถ้าผู้ใช้คนนั้นเป็นแฮกเกอร์ซึ่งย่อมมีความรู้มากกว่าผู้ใช้ธรรมดา การเห็นข้อมูล Error message ก็อาจนำไปใช้เป็นประโยชน์สำหรับแฮกเกอร์ได้
8. Insecure Storage
หมายถึง การเก็บรหัสผ่าน (password), เบอร์บัตรเครดิตลูกค้า หรือ ข้อมูลลับของลูกค้า ไว้อย่างไม่มีความปลอดภัยเพียงพอ ส่วนใหญ่จะเก็บแบบมีการเข้ารหัส (Encryption) ไว้ในฐานข้อมูลหรือ เก็บลงในไฟล์ที่อยู่ใน Web server และคิดว่าเมื่อเข้ารหัสแล้วแฮกเกอร์คงไม่สามารถอ่านออก แต่ สิ่งที่เราคิดนับว่าเป็นการประเมินแฮกเกอร์ต่ำเกินไป เนื่องจากอาจเกิดข้อผิดพลาดในการเข้ารหัส เช่น การเข้ารหัสนั้นใช้ Algorithm ที่อ่อนเกินไป ทำให้แฮกเกอร์แกะได้ง่ายๆ หรือมีการเก็บกุญแจ (key) หรือ รหัสลับ (Secret password) ไว้เป็นไฟล์แบบง่ายๆ ที่แฮกเกอร์ สามารถเข้าถึงได้ หรือ สามารถถอดรหัสได้โดยใช้เวลาไม่มากนัก
วิธีการแก้ไข
ควรมีการเข้ารหัสไฟล์ โดยใช้ Encryption Algorithm ที่ค่อนข้างซับซ้อนพอสมควร หรือแทนที่จะเก็บรหัสผ่านที่เข้ารหัสไว้ ให้หันมาเก็บค่า Message Digest หรือ ค่า "HASH" ของรหัสผ่านทาง โดยใช้ Algorithm SHA-1 เป็นต้น
การเก็บกุญแจ (key), ใบรับรอง ดิจิตัล (Digital Certificate) หรือ ลายมือชื่อดิจิตัล (Digital Signature) ควรเก็บไว้อย่างปลอดภัย เช่น เก็บไว้ใน Token หรือ Smart Card ก็จะปลอดภัยกว่าการเก็บไว้เป็นไฟล์ในฮาร์ดดิสค์ เป็นต้น (ถ้าเก็บเป็นไฟล์ก็ควรทำการเข้ารหัสไว้ทุกครั้ง)
9. Denial of Service
หมายถึงระบบ Web Application หรือ Web Server ของเรา อาจหยุดทำงานได้เมื่อเจอกับ Bad HTTP Request แปลกๆ หรือ มีการเรียกเข้ามาอย่างต่อเนื่องจำนวนมาก ทำให้เกิดการจราจรหนาแน่นบน Web Server ของเรา โดยปกติ Web Server จะจัดการกับ Concurrent session ได้จำนวนหนึ่ง ถ้ามี HTTP Request เข้ามาเกินค่าที่ Web Server จะสามารถรับได้ ก็จะเกิด Error ขึ้น ทำให้ผู้ใช้ไม่สามารถเข้า Web Site เราได้ นอกจากนี้ อาจจะทำให้เครื่องเกิด CPU Overload หรือ Out of Memory ก็เป็นรูปแบบหนึ่งของ Denial of Service เช่นกัน กล่าวโดยรวมก็คือ ทำให้ระบบของเรามีปัญหาเรื่อง "Availability"
วิธีการแก้ไข การป้องกัน DoS หรือ DDoS Attack นั้นไม่ง่าย และ ส่วนใหญ่ ไม่สามารถป้องกันได้ 100% การติดตั้ง Hardware IPS (Intrusion Prevention System) เป็นอีกทางเลือกหนึ่ง แต่ก็มีค่าใช้จ่ายค่อนข้างสูง หากต้องการประหยัดงบประมาณก็ควรต้อง ทำการ "Hardening" ระบบให้เรียบร้อย เช่น Network OS ที่ใช้อยู่ก็ควรจะลง Patch อย่างสม่ำเสมอ, Web Server ก็เช่นเดียวกัน เพราะมีช่องโหว่ เกิดขึ้นเป็นประจำ ตลอดจนปรับแต่งค่า Parameter บางค่าของ Network OS เพื่อให้รองรับกับการโจมตีแบบ DoS /DDoS Attack
10. Insecure Configuration Management
หมายถึง เป็นปัญหาที่เกิดขึ้นจากผู้ดูแลระบบ หรือ ผู้ติดตั้ง Web Server มักจะติดตั้งในลักษณะ "Default Configuration" ซึ่งยังคงมีช่องโหว่มากมาย หรือบางครั้งก็ไม่ได้ทำการ Update Patch ระบบให้ครบถ้วนจนถึง Patch ล่าสุด
ปัญหาที่เจอบ่อยๆ ก็คือมีการกำหนดสิทธิในการเข้าถึงไฟล์ต่างๆ ใน Web Server ไม่ดีพอทำให้มีไฟล์หลุดออกมาให้ผู้ใช้เข้าถึงได้ เช่น แสดงออกมาในลักษณะ "Directory Browsing" ตลอดจนค่า default ต่างๆ ไม่ว่าจะเป็น Default Username และ Default Password ก็มักจะถูกทิ้งไว้โดยไม่ได้เปลี่ยนอยู่เป็นประจำ
วิธีการแก้ปัญหา
ให้ทำการแก้ไขค่า "Default" ต่างๆ ทันทีที่ติดตั้งระบบเสร็จ และทำการ Patch ระบบให้จถึง Patch ล่าสุด และ ตาม Patch อย่างสม่ำเสมอ เรียกว่า ทำการ "Hardening" ระบบนั่นเอง Services ใดที่ไม่ได้ใช้ก็ไม่ต้องเปิดบริการ เราควรตรวจสอบสิทธิ File and Subdirectory Permission ในระบบว่าตั้งไว้ถูกต้อง และ ปลอดภัยหรือไม่ ตลอดจนเปิดระบบ Web Server log file เพื่อที่จะได้สามารถตรวจสอบ (Audit) HTTP Request ที่ส่งมายัง Web Server ได้ โดยดูจาก Web Server log file ที่เราได้เปิดไว้ และ เราควรหมั่นติดตามข่าวสารเรื่องช่องโหว่ (Vulnerability) ใหม่ๆ อย่างสม่ำเสมอ และ มีการตรวจวิเคราะห์ Web Server log file, Network log file, Firewal log file และ IDS/IPS log file เป็นระยะๆ
จะเห็นได้ว่าแฮกเกอร์ในปัจจุบันสามารถเจาะระบบเราโดยผ่านทะลุ Firewall ได้อย่างง่ายดาย เพราะ เรามีความจำเป็นต้องเปิดให้บริการ Web Server ในทุกองค์กร ดังนั้นการตรวจสอบเรื่องของ Web Application Source Code และ Web Server Configuration จึงเป็นทางออกสำหรับการแก้ไขปัญหาทางด้านความปลอดภัยของระบบให้รอดพันจากเหล่าไวรัสและแฮกเกอร์ซึ่งนับวันจะเพิ่มจำนวนและเพิ่มความสามารถขึ้นเป็นทวีคูณ.
________________________________________
จาก : หนังสือ eWeek Thailand
ปักษ์หลัง เดือนมิถุนายน 2547
Update Information : 17 มิถุนายน 2547
เรียนรู้วิธีป้องกัน PC ด้วยโปรแกรมประเภท Personal Firewalls , SteathWare Finders/Removers และ SPAM Fighters
"หยุดไวรัส , กำจัดโปรแกรมแฮกเกอร์ , ต่อต้านสแปมเมอร์ " เรามักได้ยินคำกล่าวเหล่านี้บ่อยๆ จากคนที่ใช้ PC หรือ Personal Computer อยู่เป็นประจำ ทุกวันนี้ไม่มีใครปฏิเสธได้ว่า PC ได้เข้ามามีบทบาทกับการทำงานและการดำเนินชีวิตของเรา ในหนึ่งวันเราต้องอยู่หน้าคอมพิวเตอร์ PC เพื่อการทำงาน การรับส่งเมล์ ท่องเว็บ ค้นหาข้อมูล เขียนเว็บบอร์ด หรืออ่านข่าวสารต่างๆจาก Magazine Online เครื่องคอมพิวเตอร์ PC แทบทุกเครื่องในปัจจุบันนี้ จะต้องมีโมเด็ม (Modem) มากับเครื่องเพื่อต่อเชื่อมกับโลกอินเทอร์เน็ต เรียกว่าโมเด็มได้กลายมาเป็นอุปกรณ์มาตรฐานของเครื่องคอมพิวเตอร์ PC ไปแล้วก็ว่าได้ ดังนั้นเครื่องคอมพิวเตอร์ PC ไม่ได้ทำงานแบบเครื่องเดียว (Stand alone) อีกต่อไป เพราะเราต้องการเชื่อมต่อ PC ของเราเข้ากับเครือข่ายที่ใหญ่ที่สุดในโลกก็คืออินเทอร์เน็ตกันแทบทุกวัน ซึ่งในปัจจุบันนี้ ภัยจากแฮกเกอร์และไวรัสคอมพิวเตอร์ ที่อยู่ในอินเทอร์เน็ตนั้นมีมากมายเหลือประมาณ ไม่เหมือนกับช่วง 2-3 ปีก่อน
โปรแกรม Personal Firewall ชื่อ "BlackICE PC Protection" (http://www.iss.net
/products/networkice/eval ) แสดงรายงานให้เราดูว่า เพียงแค่เราต่อโมเด็มเล่นอินเทอร์เน็ต 1 ถึง 2 ชั่วโมงก็พบว่ามี IP Address ที่แปลกๆ เข้ามาติดต่อเครื่องเราเป็นว่าเล่น อาทิ เข้ามาตรวจพอร์ต Web Server ของเรา (HTTP Port Probe) ทั้งๆที่เราไม่ได้เป็น Web Server มักมาจากจีนบ้าง , เกาหลีบ้าง ไต้หวันก็มีครับ
ท่านสามาด ดาวโหลดรายละเอียดเพี่มเตีมได้ที่นี้ ดาวโหลด
วิเคราะห์ปัญหาสแปมอีเมล์ เทคนิคใหม่ของสแปมเมอร์ DHAs (Directory Harvest Attacks)
ทุกครั้งที่ผมได้มีโอกาสได้ไปบรรยายเรื่อง Information Security ตามงานสัมมนาต่างๆ ผมมักจะได้ยินคำถามเกี่ยวกับปัญหาสแปมอีเมล์ จากผู้เข้าร่วมฟังการบรรยายอยู่เป็นประจำ ซึ่งนั่นก็เป็นเพราะว่า ปัญหา สแปมอีเมล์ นั้นเป็นปัญหาที่ใกล้ตัวคนใช้คอมพิวเตอร์เป็นอย่างมาก เรียกได้ว่ารุนแรงพอๆกับ ปัญหาไวรัส และ ปัญหา สปายแวร์ เลยก็ว่าได้ และ จากงานวิจัยจากหลายสถาบัน ปัญหาสแปมอีเมล์มีแนวโน้มที่จะเพิ่มขึ้นทุกปีอีกด้วย
อันที่จริง ปัญหาสแปมข้อมูลข่าวสารโฆษณาสินค้าและบริการนั้นเป็นปัญหาที่อยู่คู่กับสังคมมาเป็นเวลานานแล้ว ยกตัวอย่างเช่น การสแปมข่าวสารในรูปของใบปลิวโฆษณาที่ถูกส่งมายังตู้จดหมายตามบ้านของเรา แต่การส่งใบปลิวนั้นถูกมองว่าไม่ใช่ปัญหาใหญ่ เพราะว่าต้นทุนในการส่งใบปลิวโฆษณานั้นค่อนข้างสูง จึงทำให้โฆษณาเหล่านั้นมาถึงเราในจำนวนที่ไม่มากนัก แต่การส่งอีเมล์โฆษณาสถานะการณ์กลับตรงกันข้าม เพราะ ต้นทุนในการส่งอีเมล์ โฆษณานั้นต่ำมาก ทำให้เกิดคนที่มีอาชีพทำธุรกิจในการส่งอีเมล์เพื่อการโฆษณาโดยเฉพาะ หรือ ที่เราเรียกว่า "สแปมเมอร์" นั่นเอง
ท่านสามาดอ่านเพี่มได้ที่ ดาวโหลด
เทคนิคง่ายๆ ในการเขียน Blog ให้ดัง ระเบิด ไปเลย !!!!
5 เทคนิคง่ายๆ ในการเขียน Blog ให้ดัง
1. คำถาม (Ask a Question) การเริ่มต้นด้วยคำถาม โดยใช้วาทศิลป์ (อันสูงส่ง) หว่านล้อม ช่วยกระตุ้นต่อมความอยากรู้อยากเห็น ของผู้อ่านเป็นเรื่องธรรมดาอยู่ได้ฉันใด การเริ่มต้นด้วยวิธีนี้ จะช่วยให้ผู้อ่านพัวพัน หมกมุ่น อยู่กับเรื่องราวที่ตนอยากรู้ ไปจนจบเรื่องได้ฉันนั้น (ครับ)
2. แชร์เกร็ดเล็กๆน้อยๆ (Share Tips) เรื่องนี้ต้องพึ่งประสบการณ์ (บารมี) ที่คุณมีอยู่แล้วล่ะครับ โดยดึงความรู้นั้นออกมาใช้ เผยแพร่ แนะนำให้คนอื่นรู้ด้วย เพราะฉะนั้น เมื่อผู้อ่านได้อ่านเจอเรื่องราว ในรูปแบบเช่นนี้แล้ว จะยิ่งชอบ และนับถือ ชวนให้อยากติดตามผลงานเรื่องต่อไปครับ
3. ปลุกจินตนาการ (Imagine) “แม้แต่ จอห์น เลนนอน ก็ยังร้องเพลง Imagine จินตนาการว่ามวลมนุษย์ จะอยู่ กันอย่างสันติ” (เพลงคาราบาว) “นวัตกรรมใหม่เกิดจากจินตนาการที่ไม่รู้จบของมนุษย์” อย่าแปลกใจที่ผมโยงเรื่องไปมา ชวนให้วกวน ไม่มีอะไรหรอกครับ แก่นแท้มันอยู่ที่ “จินตนาการ” คำเดียวเท่านั้น แต่สรุปง่ายๆ กับได้ 2 ประเด็น คือ ประเด็นแรกเขียนเรื่องราวที่อ่านแล้ว มองเห็นมโนภาพ หรือจินตนาการตามได้ อาจจะเขียนเป็นบทละครใช้ภาษาง่ายๆ เข้าใจกันได้ทุกคนก็ได้ครับ ประเด็นที่สอง คือเขียนเรื่องราวในเชิงจินตนาการ แฟนตาชี มหากาพย์ (อะไรกัน นึกว่า Pirate’s of the Caribbean) ถ้าเขียนได้ จะน่าติดตามมากๆ
4. เปรียบเทียบหรืออุปมาอุปมัย (Simile or Metaphor) ลองยกตัวตัวอย่างของสิ่งของสองสิ่ง มาเปรียบเทียบกัน ถึงข้อดี ข้อเสีย ข้อเด่น และข้อด้อย กันดูสิครับ เช่นเอาเครื่องเล่น MP3 สองยี่ห้อมาเปรียบเทียบกัน จากคุณสมบัติ ราคา ฟังก์ชันในการใช้งาน วิเคราะห์เรื่องดีเรื่องเด่นออกมา เขียนเป็นเรื่องให้คนอ่าน คิดดูสิครับ จะน่าติดตามเพียงใด (อย่าใช้ในทางที่ผิดเพื่อขายสินค้า ของตนแล้วกัน)
5. อ้างถึงสถิติ (Statistic) ตัวเลขหรือข้อมูลทางสถิติ จากแหล่งข้อมูลที่เชื่อถือได้ ทำให้บทความใน Blog คุณน่าเชื่อถือขึ้นได้ ยิ่งถ้าข้อมูลนั้นเป็นที่โจษจันมากเพียงใด Blog คุณก็จะเป็นที่ยอมรับได้มากเพียงนั้น ดังนั้นแล้ว ประโยชน์สูงสุดที่ได้รับในข้อนี้ คือความน่าเชื่อถือของ Blog นั่นเองครับ
Bonus “50 คำ ตอนเริ่มบทความ มีผลต่อผู้อ่าน ว่าจะอ่านหรือไม่อ่านต่อดี” ถ้าใครเคยร่างต้นฉบับ ส่งสำนักพิมพ์คงรู้จักกันดี เพราะนี้เป็น หนึ่งในเทคนิคการเขียนบทความกันเลยทีเดียวครับ (ผมยังไม่เคย แม้แต่เรื่อง E-Book ที่เกริ่นไว้ ยังไม่ถึงไหนเลย) ตอนเริ่มขึ้นบทความใหม่ๆ ต้องสร้างแรงจูงใจให้ผู้อ่านอยากอ่านต่อไป และต่อไป จนจบเรื่อง ผู้อ่านก็อยากติดตาม ต่อไป และต่อไป จนจบเรื่องเหมือนกัน (ท่าดีทีดี ไม่ใช่ท่าดีทีเหลว)
credit: http://www.idayblog.com
โกงพื้นที่cd
โกงพื้นที่cd
แต่เดียวก่อนเรามีวิธีทำให้ซีดีจุเพิ่มขึ้น10-20%เลยทีเดียว
ขึ้นอยู่กับซีดีแต่ละเเผ่นด้วยครับ ว่าจะทำได้เท่าไหร่ครับ
ไรด์เเผ่นให้ได้ 830 เมก เต็มๆๆๆ
1.เปิด โปรแกรม Nero Express
2.คลิก More เลือก Configure
3.General => status bar : yellow marker ใส่เป็น 80 : red marker ใส่เป็น 99
4. กด Apply => OK.
5. Expert Features => เลือกเครื่องหมายถูก หน้า Enable overburn Disk- at- once
6. ตรง Maximum CD size : ใส่ 99 (min)
7. กด Apply => OK.
8. เลือก File ที่ต้องการ Burn => finished => next
9. กด More ตรง Write Method เลือก Disk-at-once
10. Burn
11. จะมี ข้อความขึ้นมาหน้าจอ ถามว่า Over Burn Writing Prevention better than cure
เลือก Write Overburn Disc
12. รอ จนมีข้อความ completed successfully
ที่มา http://citec.us/forum/index.php?showtopic=26860&st=0&p=65187
ส่วนที่เหลือ
เทคนิคโหลดวิดีโอจากยูทูบง่ายเกินคาด! (ไม่ต้องใช้โปรแกรม)
ไม่ต้องลงโปรแกรม หรือติดตั้งปลั๊กอินใดๆ ในเบราว์เซอร์ให้ยุ่งยาก แค่เว็บไซต์เดียวซึ่งมีวิธีการใช้งานที่ไม่ต้องจำ ไม่ต้องสอน ก็ "สอย" วิดีโอดีๆ นับล้านๆ คลิปที่อยู่ในยูทูบได้ฟรีๆ
วิธีการก็เพียงแค่ เมื่อเปิดเจอวิดีโอไหนที่ต้องการดาวน์โหลด ก็แค่พิมพ์คำว่า "kick" ลงไปหน้าลิงก์นั้น ๆ
เช่น ลิงก์ของวิดีโอผู้จัดการมีที่อยู่เว็บดังนี้http://www.youtube.com/watch?v=u7-44fgpss8
เราก็เพียงพิมพ์คำว่า kick ลงไปข้างหน้าคำว่า Youtube ดังนี้ http://kickyoutube.com/watch?v=u7-44fgpss8
ก็จะมีแถบเครื่องมือของ KickYouTube ปรากฏอยู่ด้านบนของหน้าเว็บเพจปกติของยูทูบ
ขั้นตอนดาวน์โหลด
1. เลือกนามสกุลไฟล์ที่ต้องการนำไปใช้งาน ได้แก่ FLV, MPG, MP3, HD, MP4, iPhone
2. กดที่ปุ่มด้านขวามือที่เขียนว่า "Go"
3. จะมีป๊อปอัพขึ้นมาให้คุณกด "Save"
KickYouTube ถือเป็นอีกหนึ่งทางเลือกที่ไว และเร็ว ในการดาวน์โหลดวิดีโอจากยูทูบที่เหมาะกับผู้ใช้ทั่วไป
ที่มา:http://www.manager.co.th/CyberBiz/ViewNews.aspx?NewsID=9520000005337
youtube & javascript
การโหลดไฟล์จาก youtube ก็มีกันหลากหลายวิธี
เห็นหลายๆ ท่านก็นำหลายๆ วิธีมาโพสไว้เยอะแยะแล้ว
ส่วนวิธีนี้ก็เป็นอีกทางเลือกหนึ่งให้ใช้
เป็นการใช้ javascript เพื่อโหลดไฟล์ .flv และ .mp4
วิธีนี้ผมไม่ได้คิดเองนะครับ (เพราะปกติผมใช้วิธีอื่นโหลด )
ประเด็นของการนำเสนอไม่ได้อยู่ที่ output ของการใช้ javascript
แต่อยู่ที่ process การคิดเพื่อให้ได้ javascript นี้มา และการแสดงถึงความสามารถของ javascript ครับ
สำหรับ MP4 จะใช้สคริปต์นี้
java script:if(document.location.href.match(/http:\/\/[a-zA-Z\.]*youtube\.com\/watch/)){document.location.href='http://www.youtube.com/get_video?fmt='+(isHDAvailable?'22':'18')+'&video_id='+swfArgs['video_id']+'&t='+swfArgs['t']}
ส่วน FLV จะใช้สคริปต์นี้
java script:if(document.location.href.match(/http:\/\/[a-zA-Z\.]*youtube\.com\/watch/)){document.location.href='http://www.youtube.com/get_video.php?video_id='+swfArgs['video_id']+'&t='+swfArgs['t']}
ที่มา http://citec.us/forum/index.php?showtopic=26949&st=0&p=65404
Windows OEM คืออะไร ?
OEM ย่อมาจาก Origianl Equipment Manufacturer หมายถึงการรับจ้างผลิตสินค้าให้กับแบรนด์ต่าง ๆ ตามแบบที่ลูกค้ากำหนด โดยใช้การผลิตของเรารวมถึงเครื่องจักรที่ใช้ในการผลิตด้วย มักจะเป็นโรงงานเปิดใหม่ ๆ หรือโรงงานที่ไม่เน้นการสร้างแบรนด์ของตนเอง และโรงงานที่ไม่มีความชำนาญในการออกแบบผลิตภัณฑ์
ODM ย่อมาจาก Original Design Manufactuere หมายถึงการผลิตของโรงงานที่มีรูปแบบการพัฒนาดีไซน์ รูปแบบสินค้าได้เอง และเอาสินค้าเหล่านั้นไปเสนอขายให้ลูกค้าของเค้าอีกทีหนึ่ง มักจะเป็นโรงงานที่พัฒฯมาจาก OEM ซึ่งสามารถเพิ่มมูลค่าสินค้าได้ด้วยดีไซน์ ซึ่งดีไซน์เหล่านี้จะเป็น Exclusive หรือ non exclusive ก็ได้ (อ้าว เจอศัพท์อีกคำล่ะ exclusive design หมายถึง แบบที่ผลิตให้กับลูกค้ารายใดรายหนึ่งเฉพาะเท่านั้น ซึ่งหากเราออกแบบแล้วขายให้กับลูกค้ารายใหญ่ ๆ เค้าก็มักจะขอให้เป็น Exclusive Design เพระไม่ต้องการซ้ำกับใคร ๆ)
OBM ย่อมาจากคำว่า Original Brand Manufacturer หมายถึงการผลิตที่มีการสร้างแบรนด์ของตัวเอง เป็ฯโรงงานที่พัฒนาได้เต็มที่แล้ว ทำให้ไม่ต้องง้อลูกค้ามากนัก ถ้าจะซื้อสินค้า ก็ต้องซื้อภายใต้แบรนด์เราเท่านั้น อันนี้เป็นสุดยอดปรารถนาของทุกโรงงานครับ
http://topicstock.pantip.com/silom/topicstock/2007/10/B5904553/B5904553.html
และจากความหมายจาก Microsoft Thailand Licensing
สิทธิการใช้งานประเภทติดตั้งมาจากโรงงาน (OEM License) เป็นสิทธิการใช้ซึ่งจำหน่ายให้กับผู้ผลิตและผู้ประกอบคอมพิวเตอร์ สำหรับการติดตั้งไปพร้อมกับการจำหน่ายเครื่องคอมพิวเตอร์ ลูกค้าไม่สามารถขอซื้อสิทธิการใช้งานแบบ OEM แยกต่างหากได้
สิทธิการใช้งานประเภทติดตั้งมาจากโรงงาน (OEM)
* ซอฟต์แวร์แบบ OEM จะถูกติดตั้งมาพร้อมกับเครื่อง PC หรือเซิร์ฟเวอร์ที่จำหน่ายเท่านั้น
* ไม่สามารถย้ายซอฟต์แวร์ OEM จากคอมพิวเตอร์เครื่องหนึ่งไปยังเครื่องอื่นได้ แม้จะไม่มีการใช้คอมพิวเตอร์เครื่องเดิมแล้วก็ตาม แต่สิทธิในการใช้ของซอฟต์แวร์แบบ OEM อาจถูกกำหนดใหม่ หากมีการซื้อ Software Assurance เพิ่มเติมภายใน 90 วันหลังจากการซื้อสิทธิแบบ OEM
* ซอฟต์แวร์ถูกจำกัดการใช้ด้วย Product ID Key หรือผ่านการเปิดใช้ทางเว็บหรือทางโทรศัพท์
(โดยปกติจะถูกเปิดใช้งานล่วงหน้าโดยผู้จัดทำระบบ)
* สิทธิแบบ OEM อาจมี Software Assurance ที่ซื้อภายใต้โปรแกรม Volume Licensing
สิทธิการใช้ระบบปฏิบัติการ Windows Desktop แบบเต็มจะจำหน่ายในรูปแบบ FPP หรือ OEM เท่านั้น โดยแบบ OEM จะมีราคาถูกกว่ามาก ส่วนโปรแกรม Volume License จะมีเฉพาะการอัพเกรดระบบปฏิบัติการ Windows Desktop เท่านั้น ซึ่งหมายความว่าผู้ใช้ต้องมีสิทธิแบบ OEM หรือ FPP ของ Windows อยู่ก่อนแล้ว จึงจะสามารถอัพเกรดได้
อ้างอิงจาก http://www.microsoft.com/thailand/Licensing/oem.aspx
Partition Magic ซอฟต์แวร์สำหรับจัดการ พาร์ติชั่นของฮาร์ดดิสก์แบบง่าย ๆ
โปรแกรม Partition Magic เป็นซอฟต์แวร์ที่ใช้งานสำหรับ การจัดการแบ่งขนาดของฮาร์ดดิสก์ โดยสามารถทำการแบ่ง ลบ สร้าง เปลี่ยนขนาด หรือเปลี่ยนชนิดของ FAT ของฮาร์ดดิสก์ได้ โดยที่สามารถทำบนฮาร์ดดิสก์ ที่มีข้อมูลอยู่ได้เลย และข้อมูลที่เก็บอยู่ จะไม่มีการสูญหายด้วย (ถ้าไม่มีปัญหาของเครื่องระหว่างการทำงาน) นอกจากนี้ ประโยชน์ที่เห็นได้อย่างชัดเจนอีกอย่างหนึ่งคือ ผู้ที่ได้ทำการลง Windows XP ไว้แบบ NTFS และเกิดเปลี่ยนใจจะลบหรือ format พาร์ติชั่นที่เป็น NTFS จะไม่สามารถ ทำได้ง่ายนัก แต่ด้วยโปรแกรม Partition Magic นี้ จะสามารถลบ FAT ที่เป็นแบบ NTFS ได้สบาย ๆ
• เมื่อเอ่ยถึง การจัดการกับฮาร์ดดิสก์ ในสมัยก่อนจะมีซอฟต์แวร์ที่นิยมใช้งานกันมากคือ FDISK ที่มีมากับ DOS หรือ Windows โดยที่ตัว FDISK นี้ จะเป็นโปรแกรมเล็ก ๆ สำหรับใช้ในการ ลบหรือสร้างพาร์ติชั่นของฮาร์ดดิสก์ โดยสามารถกำหนดขนาดของ แต่ละพาร์ติชั่นได้ตามต้องการ ก่อนที่จะทำการ format เพื่อใช้งานต่อไป แต่ปัญหาที่มักจะพบกันบ่อย ๆ คือ การสร้างหรือลบ พาร์ติชั่นด้วยโปรแกรม FDISK นั้น จะทำให้ข้อมูลบนฮาร์ดดิสก์หายไป และสำหรับคนที่ไม่มีฮาร์ดดิสก์อีกตัวมาสำรองข้อมูลไว้ ก็จะต้องสูญเสียข้อมูลไปด้วย ดังนั้น Partition Magic ก็เป็นทางเลือกอีกทางหนึ่งที่น่าใช้
มาทำความเข้าใจกับซอฟต์แวร์ Partition Magic ที่จะแนะนำตัวนี้กันก่อน
เนื่องจากว่า ตัวโปรแกรมเต็ม ๆ ของ Partition Magic นั้นจะมีขนาดใหญ่มาก และหาดาวน์โหลดมาใช้งานได้ค่อนข้างยาก ดังนั้น ซอฟต์แวร์ที่ผมจะแนะนำต่อไปนี้ จะไม่ใช่เป็นตัวเต็มของโปรแกรมนี้ แต่จะเป็นแผ่นดิสก์ที่ได้จากการทำ Create Rescue Diskettes ซึ่งจะได้เป็นแผ่นดิสก์ออกมา มีขนาดแค่เพียงแผ่นดิสก์ 1 แผ่นเท่านั้น และสามารถนำแผ่นดิสก์ที่ได้นี้ ไปใช้บูตเครื่อง และเรียกใช้งานโปรแกรม Partition Magic ได้เหมือนกัน โดยอาจจะมีความสามารถบางอย่างที่ถูกตัดออกไปบ้าง แต่ส่วนที่ยัง สามารถใช้งานได้ ก็เพียงพอ ต่อความต้องการแล้วหละครับ โดยสามารถดาวน์โหลดได้ ที่นี่ จากนั้น ก็ทำการ แตกไฟล์ ที่ดาวน์โหลดไปด้วย winzip ออกมาก่อน จากนั้น ก็ดับเบิ้ลคลิกเรียกไฟล์ข้างใน เพื่อที่จะเขียนลงแผ่นดิสก์ได้เลย
ท่านสามาดดาวโหลดรายละเอียดทั้งหมดได้จากที่นี้
การเดาความหมายของคำศัพท์
จากประสบการณ์การสอนภาษาอังกฤษมาเป็นระยะเวลากว่า 20 ปี ผู้เขียนพบว่า นักเรียน
มักจะไม่สนใจ หรือไม่ชอบการอ่านภาษาอังกฤษ สาเหตุสำคัญมาจากการที่นักเรียนไม่ทราบ
ความหมายของคำศัพท์ที่ไม่คุ้นเคย ทำให้อ่านไม่เข้าใจ จึงจำเป็นที่จะต้องเปิดหาความหมายของ
คำศัพท์จากพจนานุกรมอยู่บ่อย ๆ ทำให้การอ่านไม่ต่อเนื่อง และใช้เวลามาก นักเรียนจึงเกิดความ
เบื่อหน่ายกับการอ่าน ผู้เขียนจึงได้เรียบเรียงเอกสารเล่มนี้ขึ้นมา โดยมีจุดประสงค์ที่จะให้นักเรียน
หรือผู้สนใจได้ทราบถึงเทคนิคการเดาความหมายของคำศัพท์ อันจะช่วยแก้ปัญหาดังกล่าวได้
เอกสารเล่มนี้ประกอบด้วยเนื้อหา 5 ส่วน คือ
1. การเดาความหมายของคำศัพท์โดยวิเคราะห์จากรากศัพท์
2. การเดาความหมายของคำศัพท์โดยวิเคราะห์จากอุปสรรค
3. การเดาความหมายของคำศัพท์โดยวิเคราะห์จากปัจจัย
4. การเดาความหมายของคำประสม
5. การเดาความหมายของคำศัพท์โดยวิเคราะห์จากบริบท
ตัวอย่าง
aster/astro มีความหมายว่า star แปลว่า "ดาว" เช่น
asterisk แปลว่า เครื่องหมายดาวหรือดอกจัน (*)
astronomer แปลว่า นักดาราศาสตร์
biblio มีความหมายว่า book แปลว่า "หนังสือ" เช่น
bibliography แปลว่า ประวัติของหนังสือหรืองานเขียน
bibliophile แปลว่า คนรักหนังสือ
ท่านสามาดดูรายละเอียดทั้งหมดใน E-book ได้ Download
