Zheng Dutao นักวิจัยความปลอดภัยไซเบอร์จากบริษัท Tencent ไปร่วมงาน Hack in the Box ในสิงคโปร์ แต่กลับลองแฮกเครือข่าย หลังพบว่าอินเทอร์เน็ตเกตเวย์ใช้รหัสผ่านจากโรงงานโดยไม่ได้เปลี่ยน ทำให้เข้าถึงหน้าจอแอดมิน
เขาไม่ได้แจ้งทางโรงแรมถึงช่องโหว่แต่กลับโพสบล็อกเมื่อวันที่ 30 สิงหาคมที่ผ่านมา โดยโพสข้อมูลทั้งหมดรวมถึงรหัสผ่านของเซิร์ฟเวอร์ องค์กรความปลอดภัยไซเบอร์สิงคโปร์ (Cyber Security Agency of Singapore - CSA) ไปพบบล็อกนี้จึงแจ้งทางโรงแรมและจับกุม Zheng
ศาลสิงคโปร์พิพากษาเมื่อวันที่ 24 กันยายนที่ผ่านมา โดยเป็นโทษสถานเบาปรับ 5,000 ดอลลาร์สิงคโปร์ เพราะศาลมองว่าทำไปเพราะความอยากรู้อยากเห็นและไม่ได้ตั้งใจทำความเสียหาย แต่การโพสข้อมูลโดยไม่แจ้งทางโรงแรมก็ทำให้ผู้อื่นตกเป็นเหยื่อได้
โทษสูงสุดของการเปิดเผยข้อมูลเช่นนี้คือจำคุก 3 ปีและปรับ 10,000 ดอลลาร์สิงคโปร์
ภาพโดย cegoh
Get latest news from Blognone
Follow @twitterapi
Hiring! บริษัทที่น่าสนใจ
Blognone Jobs Premium
Cloudnone
- NVIDIA จะไปหยุดที่ตรงไหน ทำไมครองโลกดาต้าเซ็นเตอร์ | Cloudnone EP.22
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
Comments
แบบนี้เขาเรียกว่า hack เหรอ
Opensource - Hackintosh - Graphic Design - Scriptkiddie - Xenlism Project
จากที่คุณเข้าใจ แฮกต้องเป็นยังไงครับ ผมถามไม่ได้จะบี้คุณนะครับ แต่อยากถามว่าเข้าใจแบบไหน
การเดารหัสผ่าน นี่ก็การhack นี่นะ
คิดว่ามันควรจะมากกว่านี้เช่นการโจมตีโดดยใช้ ช่องโหว่ของระบบ
Opensource - Hackintosh - Graphic Design - Scriptkiddie - Xenlism Project
brute force/dictionary/เดารหัสผ่านก็เรียกแฮ็กนะครับ ต่างกันที่ manual/program เท่านั้นเอง
ผมว่าใช้รหัสผ่านง่ายๆ หรือค่าเริ่มต้นจากโรงงาน ก็เป็นช่องโหว่แบบหนึ่งนะครับ
ได้นะครับ (แต่ผมจำชื่อเทคนิคนี้ไม่ได้ละ)
ไอ้ที่กล้องวงจรปิดโดนยึดกันก็ใช้วิธีนี้เหมือนกัน
Edit ผมว่าพอจะเรียกว่า Social Engineering ได้นะ คือเรารู้ว่าเครื่องเป้าหมายคือรุ่นไหน แล้วเราก็ไปหา default password ของเครื่องนั้นมาลองโจมตีดู แล้วปรากฎว่าเข้าได้
default credential vulnerability attack ครับ ฮา
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
ผมไม่เรียกการแฮก แต่อาจจะถือว่าเป็นการบุกรุกได้ การแฮกคือประมาณว่างัดบ้านเข้าไป บังเอิญบ้านไม่มีรั้วไม่มีประตูปิดถ้าเดินเข้าไปอาจจะเป็นการบุกรุกแต่ไม่ใช่การงัดบ้าน
ถ้าเคสนี้ ใกล้เคียงสุดคือประมาณว่า ประตูบ้านปิดอยู่ แต่ไม่ได้ล๊อค
ไปลองๆหมุนกลอนดู พอรู้ว่าไม่ได้ล๊อต ก็เปิดเข้าไปดูเล่นๆ เจ้าของบ้านหลับ ไม่มีใครรู้ใครเห็น
แต่เป็นเรื่องขึ้นมา เพราะดันเอาป้ายไปแปะไว้หน้าบ้านว่า "บ้านนี้ไม่ได้ล๊อคจ้า"
บ้านล็อคอยู่ครับ แต่บังเอิญกุญแจที่หามา, เก็บได้หรือมีอยู่ในมือมันไขได้พอดี
มองโลกสวยระดับทุ่งลาเวนเดอร์มีม้าโพนี่สีรุ๊งวิ่งร่าเริงอยู่เต็มท้องทุ่งมีรุ้งอยู่บนท้องฟ้า ก็ถือว่าเป็นใบ Certificate ของ Hacker ว่าระดับโดนตำรวจจับ ดำเนินคดี ฟ้องศาลมาแล้วนะจะ ไม่ใช่ธรรมดา ก็พอได้มั๊งครับ
ก็เจ๋งพอตัว
มองหาความเจ๋งไม่ค่อยเจอ เพราะ ใช้ช่องโหว่พื้นฐานมาก, ไม่แจ้งไปในช่องทางที่ควรจะเป็น, เผยแพร่รูรั่วสู่สาธารณะ, ไม่มีการอำพรางตัว
ใน Certified Ethical Hacker ก็มีขั้นตอนบอกครับ ว่าหลังจากที่คุณได้ช่องโหว่แล้ว ทำรายงาน ส่ง ไม่ใช่เขียนบล๊อกสู่สาธารณะ คนสายนี้จะเขียนบล็อกก็ต่อเมื่อช่องโหว่ถูกปิดแล้วเท่านั้นครับ (ถ้าทำก่อนอาจจะทำให้ส่งผลกระทบในวงกว้าง)
จริงๆ ต่อให้ไม่ถูกปิด แล้วคนดูแลไม่ยอมแก้ไข เขาก็เปิดเผยเท่าที่จะยืนยันได้ว่ามีปัญหาจริงนะครับ
lewcpe.com, @wasonliw
เปิดแค่ POC สินะครับ
hacker ไร้จิตสำนึกมาก ที่ทำแบบนี้เนี่ย
ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว
สงสัยครับ กรณีพวกนี้ถ้าแจ้งไปทางผู้ดูแลเราก็ยังมีโอกาศโดนฟ้องอยู่ดีใช่ไม๊ครับ แล้วจะมีอะไรจะการันตรีได้ไม๊ว่าเค้าจะไม่ฟ้อง เพราะถ้าเอากันจริงๆ ก็ยังถือว่าความผิด(HACK)นั้นเกิดไปแล้ว
(เดามั่วๆแบบไม่มีข้อมูล) ประเทศที่พัฒนาแล้วถ้าแจ้งบั๊คเขาไม่ฟ้องกันเรื่องนี้
กระบวนการมันจะต้องเริ่มจากการทำข้อตกลง ก่อนครับ (เว้นแต่โครงการ Bug Bounty ที่เขาจะกำหนดขอบเขต มาให้อยู่แล้ว) ดังนั้นการทดสอบเจาะระบบ โดยที่ยังไม่ได้รับการอนุญาต ก็จะเข้าข่ายโดนฟ้องร้องได้ครับ แต่อันนี้ก็แล้วแต่นโยบายของ chief information security officer (CISO) ของหน่วยงานนั้นๆ อีกทีครับ บางที่ก็มองว่าเป็นประสงค์ดี ก็อาจจะให้ E-mail ผลทดสอบมา เราจะทำหน้าขอบคุณให้นะ แต่บางที่จะโทรไปถามหน่วยงานที่ดูแลเรื่องความปลอดภัย ยังไม่มีเลย แล้วก็โทษว่าโดนแฮก อันนี้ก็ขึ้นอยู่ว่าโครงสร้างหน่วยงานเขาให้ความสำคัญกับนโยบายเรื่องความปลอดภัยไซเบอร์แค่ไหน
แต่ในกรณีนี้ เป็นช่องโหว่ของ Default Password เราก็ว่าโรงแรมสะเพร่าเอง แต่คนรายงานก็ทำไม่ถูกขั้นตอนด้วย ต้องมาดูว่าศาลจะตัดสินว่าอย่างไรกับเคสนี้ครับ (เดาว่าแฮกเกอร์ผิด)
บางครั้งเข้าถึงระบบได้ (ไม่เคยรายงาน)โดยความสะเพร่าของ admin ไม่อยากเรียกว่าง hack และผมก็ไม่ใช่ hacker ผมมัน script kiddie
Opensource - Hackintosh - Graphic Design - Scriptkiddie - Xenlism Project