‎fay

nct plave exo •౿•͈

[ไดโนเสาร์เกาหลี @stitch_pololo]

รีแอค"กวางซู"เมื่อ"ชินมินอา"ขึ้นมาประกาศรางวัล กวางซูคือตะโกนเรียกเสียงดังจนอูบินหันมาฟาด 555555555555555555555

[ไดโนเสาร์เกาหลี @stitch_pololo]

"คิมแจวอน"ได้รับรางวัลนักแสดงหน้าใหม่แล้วพูดขอบคุณ

ครอบครัวที่รักของผม พ่อแม่พี่สาวรั… รักพ่อแม่นะครับและก็ชอบพี่สาวมากนะครับ
5555555555555555555555555

[𝑵𝒐 𝒃𝒍𝒖𝒆𝒃𝒆𝒓𝒓𝒊𝒆𝒔🦋 @inez_gal]

อันนี้ดีจัง mc ขอฮาวทูใจดีกับตัวเอง แอนน์เล่าว่าเจอปัญหาเดียวกัน หมอบอกให้ลองเอารูปตัวเองตอนเด็กที่ชอบมา วางคว่ำไว้ พูดความรู้สึกที่มีต่อตัวเอง พลิกรูปกลับมาแล้วพูดแบบเดียวกันดู แอนน์ทำไม่ได้🥹 /นี่รีแอคเดียวกับทอมเลย ว้าวจริง คุณหมอแนะนำดีอ่า

[iMoD @iPhonemods]

Gmail Undo การส่งได้แล้วนะ 😆

Gmail เพิ่มฟีเจอร์ยกเลิกการส่ง Emai โดยตั้งเวลายกเลิกได้สูงสุด 30 วินาที (เอาจริง ๆ ซัก 2 นาทีกำลังดีนะ)

เพราะว่าคนเราไม่มีใครเพอร์เฟค หลง ๆ ลืม ๆ กันบ้างไม่เป็นไรเนอะ

[🎄🎁❄️ @minopapoi3]

หนักอยู่นะ ผ่านมา 20 ปียังไม่รู้ตัว

[.✦ ݁˖ พฟน .✦ ݁˖ @matoujourbelle]

(สาระ) ใครที่มีหยากไย่ในตาเยอะๆ / เห็นแสงแฟลชในตา ลองไปหาปรึกษาหมอจักษุนะคะ เราตรวจเจอว่าจอประสาทตามีรูรั่ว โชคดีที่เป็นไม่เยอะ คุณหมอแนะนำให้เลเซอร์ เพื่อไม่ให้น้ำวุ้นตาไหลเข้าไป & ป้องกันจอประสาทตาลอก เลเซอร์ไม่น่ากลัวแบบที่คิด 15 นาทีเสร็จกลับบ้านใช้ชีวิตปกติได้เลย 🥹

[pepper @peppers_p]

กุว่าวัย 22-23 maybe 24 ด้วยแต่ยังไม่ถึง เป็นช่วงที่ shit ที่สุดในชีวิต ไม่มีเกรด ไม่มีอะไรที่สามารถเป็นมาตรวัดได้เลยว่ามึงทำดีพอรึยัง มึงอยู่จุดไหนแล้ว แบบ wtf is going on

[dreamily @dayin_dayout_]

เตือนภัย

เวลาประมาณ 20:35 เราเดินจากทางเชื่อม mrt เพชรบุรี ไป airport rail link มักกะสัน เราเดินออกมาจากเอ็มช้า คนอื่นที่มาขบวนเดียวกันลงเอ็มแล้วไปต่อแอร์พอร์ตลิ้งค์เขาเดินกันไปหมดแล้ว มีผู้ชาย(คิดว่าLGBTQ) ตัวสูงใหญ่ ผิวเข้ม ผมสั้นหยิก ใส่แมสก์ เดินสวนทางมา ในทิศย้อนศรกับลูกศรบนพื้น เดินเซไปเซมา แล้วพุ่งเข้ามาหาเราที่เป็นผู้หญิงเดินคนเดียว ถามว่าถามทางได้ไหม เราตอบว่าค่ะ เขาถามอีกว่าใช่คนไทยไหม เราก็ตอบว่าคนไทยค่ะ เขาบอกมองหน้าพี่ เราก็งง เขาบอกไม่ต้องกลัว มองหน้าพี่ดี ๆ พูดย้ำ ๆ เราเห็นท่าไม่ดีเลยวิ่งหนีออกมาจากตรงนั้น
ไม่รู้ว่าเขาเป็นใคร ทำไปทำไม แล้วถ้าเราไม่วิ่งหนีออกมาจะเกิดอะไรไหม แต่อยากบอกให้ผู้หญิงทุกคนระวังตัวเวลาเดินทางคนเดียวตอนกลางคืนนะคะ อย่าคุยกับคนแปลกหน้าแบบเรา (จะไม่ทำอีกแล้ว ต่อไปนี้คงไม่กล้าบอกทางหรือให้ความช่วยเหลือใครตอนกลางคืนแบบนี้แล้ว) คราวหลังคงไม่โชคดีแบบนี้
ตอนนี้โอเคดี ไม่ได้กลัวมาก แต่งงมากกว่า

[nani @312lilni]

antonholic

[愛ngel @41ial]

กลิ่นใจกลางกรุงปารีส ไม่น่าใช่กลิ่นหอมนะ

[ชิบะแดดเดียว @ddaremoshiranai]

กุไม้เคยเชื่อใน manifesting เลย เวลาเชื่อว่าจะเกิดเชี่ยไรแย่ๆแน่ๆ คิด worst case ไว้ สุดท้ายทุกอย่างจะออกมาดี แต่เวลากุทำไรละมั่นใจว่าทำได้ชัว สำเรจชัว กุเฟล ทุกที คือไร??

[뿅 @mcdtournesol]

แงงงง สามเจของชั้น จีซองแวะมาบอกว่าได้คอฟฟี่ทรัคจากพี่โน่พี่แจม ㅠㅠㅠㅠㅠㅠ

🐹 ผมกำลังถ่ายซีรีส์อยู่แหละ
🐹 พี่เจโน่แจมิน ส่งรถกาแฟมาให้แหละครับ
🐹 ฮอลลล

อยากเห็นรูปรถเลยยย เป็นรูปสามเจเลยมั้ย ฮือ ๆๆๆๆๆๆๆๆ 🥺🥺🥺🥺

[‎fay @rsrfay]

😞😞😞

[nox @brandnewnox]

ไม่รู้ว่าระบบอบรมใบขับขี่ออนไลน์ตอนนี้แก้ไปหรือยังนะ แต่ของเดิมที่เคยเห็นมันเป็นเคสที่เอาไปเล่าเรื่อง Web Security ได้ดีมาก

ระบบมีคลิปให้ดู แล้วต้องดูจนจบถึงจะปลดล็อกบทถัดไปหรือทำแบบทดสอบได้

ปกติคนจะคิดว่าระบบต้องจับเวลาวิดีโอ เช็ก progress อะไรซับซ้อน แต่พอเปิด DevTools Console ดู กลับพบว่าหน้าเว็บมี function ตัวหนึ่งไว้แจ้งระบบว่า “คลิปนี้ดูจบแล้ว”

ถ้าเรียก function นั้นผ่าน Console เอง ระบบก็ติ๊กว่าดูคลิปจบให้ทันที

ไม่ได้ต้องเร่งวิดีโอ ไม่ต้องเปิดทิ้งไว้ ไม่ต้องหาวิธีปลอมเวลา แค่เรียกคำสั่งเดียวแล้วผ่าน

จุดที่น่าสนใจไม่ได้อยู่ที่ user เปิด DevTools เป็น เพราะ DevTools เป็นของปกติใน browser อยู่แล้ว คนใช้แก้ HTML, ดู network, อ่าน JavaScript ได้หมด

ปัญหาคือระบบออกแบบโดยเชื่อฝั่ง Client มากเกินไป

ฝั่ง Client ก็คือ browser ของเราเอง หน้าเว็บ JavaScript cookie local storage รวมถึงค่าที่ส่ง request ออกไป ทุกอย่างอยู่ใน environment ที่ผู้ใช้คุมได้

JavaScript ไม่ใช่พื้นที่ปลอดภัย ต่อให้โค้ดถูก minify หรือทำให้อ่านยาก คนก็ยังเปิดดูได้อยู่ดี ถ้าสิ่งที่ต้องปกป้องคือ “ผ่านหรือไม่ผ่าน” หรือ “มีสิทธิ์ไปขั้นต่อไปไหม” การตัดสินใจสุดท้ายต้องอยู่ที่ Server

เวลาทำ pentest เว็บ หลายคนอาจนึกถึง SQL injection, XSS, upload shell หรือยิง API จนล่มก่อน ซึ่งพวกนั้นก็สำคัญ

แต่บั๊กที่เจอบ่อยและกระทบธุรกิจจริงมาก คือ business logic flaw

บางทีไม่ต้อง hack อะไรอลังการเลย แค่ดูว่าเว็บเรียก API อะไรตอนกดปุ่ม ลองเปลี่ยนค่า ลองเรียก endpoint หรือ function ข้ามขั้น แล้วถามว่า Server ตรวจจริงไหม

เช่น หน้าเว็บส่ง `lessonCompleted: true` ไปแล้ว Server ตอบโอเคทันที แบบนี้ Server ไม่ได้ “ตรวจ” อะไร มันแค่รับคำยืนยันจากคนที่มีแรงจูงใจจะข้ามขั้น

การแก้ก็ไม่ได้แปลว่า Server จะพิสูจน์ได้ 100% ว่าคนนั่งดูวิดีโอจริงนะ เพราะคนเปิดคลิปทิ้งไว้ก็ยังได้อยู่ดี

แต่ Server ควรคุมสถานะการเรียนเอง อย่างน้อยต้องรู้ว่า user คนนี้เริ่มบทไหนเมื่อไร, progress เดินตามลำดับหรือเปล่า, เวลาที่ใช้สมเหตุสมผลไหม, และ request ที่ขอปลดล็อกมีสิทธิ์เกิดขึ้นได้จริงหรือไม่

ฝั่ง Client ควรมีไว้ทำ UI ให้คนใช้งานสะดวก
ฝั่ง Server ควรเป็นคนตัดสินเรื่องที่มีผลจริง

ถ้าเอา logic สำคัญไปไว้ใน Client แล้วเชื่อมันตรงๆ ก็เหมือนให้ผู้สอบกดปุ่มว่า “ผมตรวจข้อสอบตัวเองแล้ว ผ่านครับ” แล้วระบบตอบ “โอเคครับ เชิญรับใบประกาศได้เลย” 55555

Disclaimer: ไม่ได้มีเจตนาให้คนไปหาวิธี hack เว็บบ้านี่นะ

ที่เล่ามาเพราะอยากให้ระบบมันทำหน้าที่ของมันได้จริงๆ มากกว่า การอบรมใบขับขี่มันเกี่ยวกับความปลอดภัยบนท้องถนน ไม่ใช่ achievement ในเว็บที่กดข้ามให้ครบแล้วจบ

ต่อให้การดูคลิปไม่ได้ทำให้ใครขับรถเก่งขึ้นทันที อย่างน้อยระบบก็ควรทำให้การ “ผ่านอบรม” มีความหมายหน่อยอะ

[Hiloชน์👻 @bai_hilo]

ดิฉันอุปการะเด็กคนนี้มาค่ะ

[ทะลุมิติไปเป็นสาววายในวันสิ้นโลก @phenomeKNOT]

สิ่งที่เปลี่ยนคือสายตาหรือน้ำหนักตัว

[𝐬𝐚𝐲𝐜⚯𝐥𝐞𝐧𝐠𝐥𝐢𝐬𝐡™🧠📚🐈‍⬛ @readandpaws]

ในโควทแต่ละอันคือ 🥹 เป็นรูป before & after ที่มีแต่คำว่ารักเต็มไปหมด ฮีลใจมากกกกก

[𝐬𝐚𝐲𝐜⚯𝐥𝐞𝐧𝐠𝐥𝐢𝐬𝐡™🧠📚🐈‍⬛ @readandpaws]

พูดถึง Brooklyn 99 จำฉากนี้ได้ตลอดไปค่ะ i want it that wayyyy 🤣🤣🤣

[PEEMWASU @PEEMWASU_]

พี่ มันเบลอ ผมขอโทด62727272728282

[รี่รี่ 📌 pre-order clicker @ibuubyy]

꒰ა pls kindly rt ໒꒱ giveaway 🩵🩷

JNJM duality in bkk ౨ৎ⋆˚｡⋆˚ 7-8 Aug.

✩ random clicker & sticker

★ show this tweet and proof for streaming or voting for JNJM

#NCTJNJM_FANMEETING_TOUR
#NCTJNJM_FANMEETING_TOUR_DUALITY