Hakbyist

กรณีนี้เหมือน กบข. ครับมือบอนครับ จนไปเจอว่าสามารถเปลี่ยนพาสเวิร์ดหน้ายื่นภาษีออนไลน์
ของใครก็ได้แค่รู้เลข 13 หลักครับ (ข้อมูลอื่น ๆ ใส่มั่ว ๆ ได้ครับ อย่าลืมว่าสรรพากรไม่เคยขอ
เบอร์โทรศัพท์เราครับ) ทดสอบแล้วครับว่าเปลี่ยนแล้วใช้พาสเวิร์ดนั้นได้จริงครับ

เคสนี้ผมส่งเมลเข้า e_filing@rdserver.rd.go.th เมื่อวันที่ 18 ม.ค. แต่ไม่มีใครตอบครับ
ต้องไปตั้งกระทู้ใน faq ครับซึ่งก็เสี่ยงว่าคนอื่นจะรู้พอสมควรครับ

อันเป็นเมนูสำหรับคนที่ไหว้เจ้าแต่เบือ ไก่ต้ม เป็ดพะโล้ หมูสามชั้นต้มนะครับ ก็จะเอาพวกนี้มาเปลี่ยนเป็นเมนูต่าง ๆ ครับ
จริง ๆ สูตรผมเอามาจากนี่ครับ

http://topicstock.pantip.com/food/topicstock/2012/11/D12881991/D12881991.html

แต่ว่าปรับสูตรนิดหน่อยครับ

เริ่มจากหมูสามชั้นต้มนะครับ เอาส้อมมาแทงหนังหมูถี่ ๆ ครับเยอะ ๆ ด้วยครับ แล้วเอาน้ำส้มสายชูผสมเกลือป่นมาทาครับ
รอให้เกลือละลายนะครับ พอทาเสร็จผมเอามาตากแดดประมาณ 1 ชม. ครับ เสร็จแล้วเอาไปทอดน้ำมันประมาณท่วมชิ้นหมูครับ
จะได้หมูกรอบครับ ถ้าไม่อยากทานเคาหยกก็หยุดแค่นี้ได้ครับเอาเป็นสามชั้นทอดจิ้มซีอิ๊วดำได้ครับ

ทีนี้เตรียมกระเทียมสับหยาบ ๆ 4-5 หัว เห็ดหอมหั่นขวาง 5 ดอก ปลาหมึกบดแบบที่เราทานกันซักนิดหน่อย
กับผัดกาดดองเค็มประมาณ 600 กรัม ผัดเห็ดหอมตามด้วยกระเทียม เอาผักกาดดองที่หั่นพอดีคำใส่ตามไปครับ
ปรุงรสด้วยซีอิ๊วดำหวาน ซีอิ๊วขาว น้ำตาลกับซอสหอยนางรมครับ ปรุงรสตามใจชอบครับผมปรุงออกหวาน
ใส่น้ำเปล่าประมาณ 1 แก้ว เอาทั้งหมดนี้ใส่หม้อตามด้วยหมูกรอบที่เตรียมไว้ต้มจนเปื่อยเป็นอันเสร็จครับ
ได้รูปร่างออกมาตามนี้ครับ อย่าแปลกใจครับว่าทำไมผักกาดดองน้อยบังเอิญผมทำตกพื้นไปซะเกือบหมดครับ -*-

เรื่องนี้เกิดขึ้นเมื่อวานนี้เองครับ 10 ม.ค.60 ครับ ตอนนี้ทางทีมของ กบข. ได้แก้ไขปัญหาดังกล่าวแล้วนะครับ
แก้ได้รวดเร็วและเป็นมืออาชีพมากครับ ทาง จนท. ได้โทรกลับมาหาผมเพื่อขอข้อมูลเพิ่มเติมด้วยครับ
ต้องขอบคุณทาง กบข. มากครับ

เมื่อวานผมได้ login เข้าเว็บ กบข. ครับตั้งใจว่าจะเปลี่ยนแผนการลงทุนครับด้วยความที่มือบอนครับ
อยากรู้ว่าตัวเว็บปลอดภัยแค่ไหนครับ ผมก็ลองแก้พารามิเตอร์เล่น ๆ ครับก็ไม่ได้เจออะไรจนผมไปสะดุด
ว่าถ้าเราลบพารามิเตอร์ออกจนเหลือแค่ https://gpfservices.gpf.or.th/gpfservices/tas/
ผมจะเห็นไฟล์บน server ทั้งหมดตามภาพด้านล่างครับ

อืมก็ดูไม่มีอะไร ผมก็ไล่คลิ๊กเรื่อย ๆ ครับว่ามีไฟล์อะไรน่าสนใจบ้างครับ แล้วก็ไปเจอไฟล์ที่ชื่อว่า lostPassword.aspx ครับ
ซึ่งถ้าเราคลิ๊กเข้าไปจะเห็นว่าเราสามารถเปลี่ยนพาสเวิร์ดได้โดยไม่ต้อง login เพียงแค่ต้องรู้ เลข13หลักกับวันเกิดครับ
หน้าตาแบบนี้

ครับซึ่งถ้าเราใส่เลข13หลักและวันเกิดถูกจะขึ้นให้ส่งพาสเวิร์ดไปที่อีเมลไหนก็ได้ครับ ย้ำว่าไปที่อีเมลไหนก็ได้ของใครก็ได้
แบบนี้ครับ ซึ่งผมลองกับ account ตัวเองโดยส่งไปเมลอีกอันหนึ่งครับพบว่าสามารถ login ได้ครับ

ถ้าคิดว่าก็ไม่น่ากลัวนี่ต้องรู้เลข13หลักและวันเกิดนั่นไม่จริงครับ เพราะจากหน้านี้ผมสามารถ enumerate เลขบัตรและวันเกิด
ได้โดยการดู responded ของเว็บครับ คือถ้าเลข13หลักไม่มีฐานข้อมูลเว็บจะบอกว่าไม่มีในฐานข้อมูล และถ้าวันเกิดไม่ถูก
ผมจะเข้าหน้าเปลี่ยนพาสไม่ได้ครับ

โดยสรุปเลยก็คือหน้า ๆ นี้ทำให้ผมสามารถรู้ username(13เลขหลัก) และสามารถเปลี่ยน password ของสมาชิก กบข. ทุกคนได้ครับ ซึ่งถ้า login เข้าไปได้ข้างในจะมี ชื่อ-สกุล ที่อยู่ เบอร์โทร หน่วยงาน อีเมล เงินเดือนอยู่ด้านใน

**ข้อมูลที่ได้รับจาก จนท.กบข. คือ เว็บตัวนี้เพิ่งเอาขึ้นและยังไม่ได้ config ให้ปิดการ list files บน server ครับ
นี่แหละครับการ config พลาดเล็ก ๆ น้อย ๆ อาจจะทำให้เราเจอช่องโหว่อื่น ๆ ที่ร้ายแรงกว่าครับ