Input Validation

วันนี้นั่งเรียน Network Operating System อ.ที่มาสอนก็ได้มาแสดงการ hack เว็บไซต์ e-commerce ให้ดูเป็นตัวอย่าง คือทำการเปลี่ยนแปลงราคาของที่เราซื้อเช่นจากราคา 30$ เหลือ 3$ เป็นต้น ซึ่งไอ้เจ้าเทคนิคนี้เนี่ยเค้าเรียกว่า Input Validation จริง ๆ แล้วปัญหานี้อยู่ที่ web programmer ที่เขียน code เกี่ยวกับการซื้อขายไม่ค่อยรอบคอบ คิดกันเล่น ๆ ว่าเราจะซื้อของ สิ่งที่เราต้องการจากลูกค้าคือเพียงคำสั่งซื้อ(สินค้า กับจำนวน) ซึ่งเว็บที่ไปแฮคเนี่ยดันมีราคาสินค้าที่รับจาก user เอาไปประมวลผล เราแค่เพียงเปลี่ยน data ตรงนี้นิดหน่อยก็เสร็จแล้ว แต่วิธีนี้จะใช้ไม่ค่อยได้ผลในชีวิตจริงหรอก เพราะมาคิดในแง่ของความเป็นจริงคือยังไงเมื่อตอนผ่าน billing และ packaging ไม่น่าจะรอดสายตาผู้ขายไปได้ถ้าระบบมันไม่ได้อัตโนมัติซะทุกอย่าง(ถ้าทำได้ขนาดนั้นคงไม่มีช่องโหว่แบบนี้หรอก) ก็เป็น common sense ของการที่เราจะ hack ว่าเราต้องรู้ว่าเป้าหมายเรามันทำงานยังไงแล้วเราจะทำอะไรได้บ้าง ฉะนั้นใครที่อยากเป็น hacker เนี่ยต้องมาเป็น programmer ก่อน จะได้เข้าใจระบบมากขึ้น (;_;)/