PANPA_☻

🍜🧋📷🏖️⛰️🌤️🐶🐱

[nox - limited edition @brandnewnox]

ไม่รู้ว่าระบบอบรมใบขับขี่ออนไลน์ตอนนี้แก้ไปหรือยังนะ แต่ของเดิมที่เคยเห็นมันเป็นเคสที่เอาไปเล่าเรื่อง Web Security ได้ดีมาก

ระบบมีคลิปให้ดู แล้วต้องดูจนจบถึงจะปลดล็อกบทถัดไปหรือทำแบบทดสอบได้

ปกติคนจะคิดว่าระบบต้องจับเวลาวิดีโอ เช็ก progress อะไรซับซ้อน แต่พอเปิด DevTools Console ดู กลับพบว่าหน้าเว็บมี function ตัวหนึ่งไว้แจ้งระบบว่า “คลิปนี้ดูจบแล้ว”

ถ้าเรียก function นั้นผ่าน Console เอง ระบบก็ติ๊กว่าดูคลิปจบให้ทันที

ไม่ได้ต้องเร่งวิดีโอ ไม่ต้องเปิดทิ้งไว้ ไม่ต้องหาวิธีปลอมเวลา แค่เรียกคำสั่งเดียวแล้วผ่าน

จุดที่น่าสนใจไม่ได้อยู่ที่ user เปิด DevTools เป็น เพราะ DevTools เป็นของปกติใน browser อยู่แล้ว คนใช้แก้ HTML, ดู network, อ่าน JavaScript ได้หมด

ปัญหาคือระบบออกแบบโดยเชื่อฝั่ง Client มากเกินไป

ฝั่ง Client ก็คือ browser ของเราเอง หน้าเว็บ JavaScript cookie local storage รวมถึงค่าที่ส่ง request ออกไป ทุกอย่างอยู่ใน environment ที่ผู้ใช้คุมได้

JavaScript ไม่ใช่พื้นที่ปลอดภัย ต่อให้โค้ดถูก minify หรือทำให้อ่านยาก คนก็ยังเปิดดูได้อยู่ดี ถ้าสิ่งที่ต้องปกป้องคือ “ผ่านหรือไม่ผ่าน” หรือ “มีสิทธิ์ไปขั้นต่อไปไหม” การตัดสินใจสุดท้ายต้องอยู่ที่ Server

เวลาทำ pentest เว็บ หลายคนอาจนึกถึง SQL injection, XSS, upload shell หรือยิง API จนล่มก่อน ซึ่งพวกนั้นก็สำคัญ

แต่บั๊กที่เจอบ่อยและกระทบธุรกิจจริงมาก คือ business logic flaw

บางทีไม่ต้อง hack อะไรอลังการเลย แค่ดูว่าเว็บเรียก API อะไรตอนกดปุ่ม ลองเปลี่ยนค่า ลองเรียก endpoint หรือ function ข้ามขั้น แล้วถามว่า Server ตรวจจริงไหม

เช่น หน้าเว็บส่ง `lessonCompleted: true` ไปแล้ว Server ตอบโอเคทันที แบบนี้ Server ไม่ได้ “ตรวจ” อะไร มันแค่รับคำยืนยันจากคนที่มีแรงจูงใจจะข้ามขั้น

การแก้ก็ไม่ได้แปลว่า Server จะพิสูจน์ได้ 100% ว่าคนนั่งดูวิดีโอจริงนะ เพราะคนเปิดคลิปทิ้งไว้ก็ยังได้อยู่ดี

แต่ Server ควรคุมสถานะการเรียนเอง อย่างน้อยต้องรู้ว่า user คนนี้เริ่มบทไหนเมื่อไร, progress เดินตามลำดับหรือเปล่า, เวลาที่ใช้สมเหตุสมผลไหม, และ request ที่ขอปลดล็อกมีสิทธิ์เกิดขึ้นได้จริงหรือไม่

ฝั่ง Client ควรมีไว้ทำ UI ให้คนใช้งานสะดวก
ฝั่ง Server ควรเป็นคนตัดสินเรื่องที่มีผลจริง

ถ้าเอา logic สำคัญไปไว้ใน Client แล้วเชื่อมันตรงๆ ก็เหมือนให้ผู้สอบกดปุ่มว่า “ผมตรวจข้อสอบตัวเองแล้ว ผ่านครับ” แล้วระบบตอบ “โอเคครับ เชิญรับใบประกาศได้เลย” 55555

Disclaimer: ไม่ได้มีเจตนาให้คนไปหาวิธี hack เว็บบ้านี่นะ

ที่เล่ามาเพราะอยากให้ระบบมันทำหน้าที่ของมันได้จริงๆ มากกว่า การอบรมใบขับขี่มันเกี่ยวกับความปลอดภัยบนท้องถนน ไม่ใช่ achievement ในเว็บที่กดข้ามให้ครบแล้วจบ

ต่อให้การดูคลิปไม่ได้ทำให้ใครขับรถเก่งขึ้นทันที อย่างน้อยระบบก็ควรทำให้การ “ผ่านอบรม” มีความหมายหน่อยอะ

[チキップダンサーズ【公式】 @chickipdancers]

あどけないスキップガエル先生、必見！🐸🩷

このあと 月曜朝8:45〜
NHK Eテレにて放送
#チキップダンサーズ

[ชลน เอง🩷🩵 @magmamaxim]

ปฏิกิริยาเมื่อลูกหมาลูกแมวพบกันครั้งแรก ไอ่แมวเด็กนี่มันไม่กลัวอะไรเลยวิ่งเข้าไปหาเจ้าม๋าเด็ก แต่ละตุวยังนอนสั่นไม่กล้าออกจากกรงอยู่เรย เทอเปงไคคับขอพ้มดมดูหน่อยสิ สุดท้ายพวกอนุบาลเด็กเร้กทักทายกันเสร็จก็ซนกันใหญ่ น่าร้ากกกก

[해니 @IN2128J]

260726 스트레이키즈 RUN IT

[LISAxARM @lisaxarm]

วอลเลย์บอล ชาย VNL2026 รอบ8 ทีม

วันพุธที่ 29 กรกฎาคม 2026
⏰ 14:00 น.
🇸🇮 สโลวีเนีย พบ 🇹🇷 ตุรกี (กลุ่ม2)

⏰ 18:30 น.
🇯🇵 ญี่ปุ่น พบ 🇨🇳 จีน (กลุ่ม1)

วันพฤหัสบดีที่ 30 กรกฎาคม 2026
⏰ 14:00 น.
🇮🇹 อิตาลี พบ 🇺🇸 สหรัฐอเมริกา(กลุ่ม1)

⏰ 18:30 น.
🇵🇱 โปแลนด์ พบ 🇺🇦 ยูเครน (กลุ่ม2)

#วอลเลย์บอลชาย #VNL2026 #VNL

[almondcanoo🍅 @almondcanoo]

น้อยใจอะไร 55555555555

[👉🦈👈 ต้าวชาหลาม 🇫🇷 @RRoAs_ty]

รายชื่อซีวีคัพ สนามแรกมาแล้ว ชื่นชมสมาคมที่เริ่มให้โอกาสเด็ก ๆ แล้วพักตัวหลักไปรายการสำคัญ และอีกหนึ่งเซอร์ไพร์ส ชิน โยชิดะ ก้ยังอยู่กับทีม ทำดีก้ชื่นชม เริ่ด
Cr. เพจ TVA
#วอลเลย์บอลหญิง

[EmSphere @theemsphere]

ตู้ใหม่โซควต์มาก! 🧈 มัมๆ อย่าลืมแวะมาถ่ายรูปกับน้องเนยที่เอ็มสเฟียร์กันนะคะ🧸🤏🏻

Butterbear Cafe, GF, EMSPHERE

#Butterbear #ด้อมน้องเนย
#EMDISTRICT #EMSPHERE

[blue @iverylovesalmon]

ของเรามีคนขับให้ด้วยค่ะ

[black tea Macchiato ♡ พชรฐากูร @lili00korm855]

สายตาเปลี่ยนจริงค่ะ มันเป็นสายตาแห่งความรัก

รักใคร?

[waiiprd_cos @waiiprd]

อัลตร้าสมูธเดียวที่จะกิน คือ อิเกีย โซสมูธธธ ได้แก้วกลับบ้านด้วย 555555

[อาลักษณ์🦉 รับเขียนอักษร ⚜️💌🖋️ CMS OPEN @aluck_45]

ไม่ใช่แค่ถ้วยตราไก่นะ ตอนนี้กระดาษเยื่อไผ่ทำมือจากลำปางที่เราใช้ประจำ ก็เลิกผลิตแล้วด้วย ทุกวันนี้คือ ทำที่คั่นขายเรื่อยๆ โดยรู้ว่า วันนึงจะไม่เหลือกระดาษนี้ให้ใช้แล้ว ซึมเหมือนกันนะ

สต็อกไว้ในคลังประมาณนึงอยู่ หมดค่ากระดาษไปเป็นหมื่นแหละ แต่คุ้มมาก เป็นกระดาษที่นานแค่ไหนก็แทบไม่ขึ้นจุดเหลืองเลย เค้าไร้กรดของแท้

ไว้มาเล่าเรื่องกระดาษนี้อีกทีนะ ไปนอนละค่า

[🥂PK @augusttherain]

- หญิงไทย อายุ 30 ปี นักศึกษาปริญญาโท หายตัวไปเมื่อ 23 ม.ค. 2025 ถูกพบครั้งสุดท้ายที่ป้ายรถเมล์ใกล้มหาวิทยาลัย

- มหาวิทยาลัยแจ้งความและตรวจสอบผู้เกี่ยวข้อง แต่ไม่พบปัญหาส่วนตัวหรือความขัดแย้ง

- เพิ่งนำเสนอวิทยานิพนธ์เสร็จ และมีกำหนดกลับไทยในอีก 2 เดือน

- เพื่อนๆ จะช่วยตามหาผ่านโซเชียลต่อเนื่องกว่า 1 ปีครึ่ง ก็ยังไม่มีเบาะแส

#คนหาย #นักเรียนไทยในญี่ปุ่น #โหนกระแส

[ลุงโอวแมน เฮดเสนค 🍊🍊AkA ...Chicken.c.Oldman @iikainuii]

เห็นมีคนบอกว่าเด็กรุ่นใหม่ ไม่แชทคุยกะเพื่อนในไลน์ แต่หันไปแชทในdmของไอจีแทน ต้องบอกว่า ไอจี ไม่มี end to end encription นะ ทุกข้อความของเรา ไอจี อ่านทุกข้อความเด้อ

[กว่าจะถึงออฟฟิศ @Kwajatungoffice]

เหงาเยย🕷️
___________________
#กว่าจะถึงออฟฟิศ

[PANPA_☻ @Airki_p]

@Mayisankum ดีแล้วฮะ เห็นบอก ลุงอาจเหยียบผิด ถ้าเป็นจากอันนี้ น่าเห็นใจจริง

[TeN-lee 🐈‍⬛💜 @yoongraiduey]

ขอบคุณที่รอนะเนย 🤍 คำว่าน้องเนยจะรอ ทำให้คุณแม่พี่ คีโมแบบ 6 เข็มรวดแบบไม่พักเลย แม้จะเจ็บมาก 🥹🫳🏼

#Butterbear #ด้อมน้องเนย

[จดอ - JUSTดูIT. @JorDorOr]

เตรียมมุ่งหน้าสู่ #โลกาวินาศวันใหม่ แห่งปี 2026 ก่อนเปิดศักราชใหม่ กับไลน์อัปสุดมันส์จาก MCU ทั้ง 5 เรื่อง

• Spider-Man Brand New Day | 30/07/26
• Avengers: Doomsday | 17/12/26
• Avengers: Secret Wars | 16/12/27
• Ghost Rider | 2028
• Black Panther 3 | 15/12/28

#JUSTดูIT

[Korseries.com @Korseries]

อะไรใหม่ ๆ จาก LISA และ LLOUD !!!✨ เตรียมเปิดป๊อปอัปสไตร์สุดชิก LLOUD BEACH CLUB POP-UP IN BANGKOK ที่พร้อมขนทัพคอลเล็กชันฤดูร้อนมาแลนด์ดิ้งที่กรุงเทพฯ ซึ่งจะเต็มไปด้วยแฟชั่นไอเท็มหลากหลาย ไม่ว่าจะเป็น ฮู้ดดี้ เสื้อยืด กางเกง ชุดว่ายน้ำ หมวก และกระเป๋า ที่ตอบโจทย์การสวมใส่ในชีวิตประจำวันและการเดินทาง

เตรียมไปเช็กอิน เก็บภาพความประทับใจ และสัมผัสเอกลักษณ์และเสน่ห์ของ LLOUD ในงานนี้กันนะคะ📌

รายละเอียดการเข้าชม LLOUD BEACH CLUB POP-UP IN BANGKOK
🗓️ ระยะเวลาจัดงาน: วันที่ 28 กรกฎาคม – 2 สิงหาคม 2569
🕘 เวลาเปิด - ปิด: 11:00 – 21:00 น.
📍 สถานที่: ศูนย์การค้า Siam Discovery (Creative Space ชั้น 3)

#LISA #LLOUD #LLOUDBEACHCLUB_BANGKOK

[เด็กน้อยของคิมฮีชอล 💙🐱 @StobChul]

เนยเหมือนมีมน้องคนนี้