....มายก้อช คนที่เล่นแรคโปรดระวัง
ส่วนใครอยากรู้ว่า e-kyc คืออะไร เชิญอ่าน
https://www.parliament.go.th/…/parliament_…/ewt_dl_link.php…
มีชาวเพจแจ้งช่องโหว่เว็บให้ทางผู้ดูแลระบบเกม Ragnarok Gravity Thailand และทำการแก้ไขเรียบร้อยแล้ว โดยช่องโหว่ที่พบคือ 📌📌📌
1. เว็บหลักของ Ragnarok มีระบบหลังบ้านใช้ Wordpress
2. พบว่ามีหน้าเว็บที่ใครก็ได้สามารถกดเข้าไปสมัครได้
3. พอสมัครเสร็จแล้วกดล็อคอินเข้าไปได้สิทธิ์เป็น admin เฉย
4. พอเป็น admin แล้วสามารถกดดูรูปต่าง ๆ ได้มากมายซึ่ง น่าจะมาน่าระบบ support หรือ ticket ของทาง Gravity ซึ่งประกอบด้วยส่วนใหญ่คือรูป screenshot ภายในเกม แต่อีกส่วนเป็นรูป e-KYC หรือคือกระบวนการที่ให้คนมาติดต่อ ถ่ายรูปตัวเองพร้อมบัตรประชาชน กับสำเนาบัตรประชาชน ส่งให้ทาง Gravity เพื่อยืนยันว่าเป็นเจ้าของบัญชีเกมจริง 😳
ผลคืออาจทำให้ผู้ไม่ประสงค์ดี ที่อาจจะเข้ามาโจมตีช่องโหว่นี้ ก่อนที่ชาวเพจท่านนี้จะแจ้ง ถูกขโมยข้อมูล e-KYC นี้ออกไปจากระบบของ Gravity ไปแล้วได้ เอามาเตือนภัย 3 เรื่องจาก เหตุการณ์นี้คือ
1. ใช้ CMS เป็นระบบหลังบ้าน แต่ไม่ได้ให้ลูกค้าล็อคอินควรปิดระบบสมัครสมาชิกด้วย
2. ถ้าไม่จำเป็น อย่าเก็บข้อมูล e-KYC ลูกค้าไว้บนเว็บเซิร์ฟเวอร์โดยเฉพาะลิงก์ที่เข้าได้จากคนที่ไม่ต้องล็อคอิน !! 😅 (ดีที่สุดคือไม่ต้องเก็บเลยยืนยันแล้วลบทิ้ง)
3. ใครเคยทำ e-KYC กับ Gravity จะได้ระมัดระวังตัวว่าข้อมูลอาจจะโดนนำออกไปใช้ในทางมิชอบ
สำหรับฝากถึง Gravity: ควรจะแจ้งแก่เจ้าของข้อมูลที่ได้รับผลกระทบ จากช่องโหว่นี้ 📍
There is a page informing the web vulnerability to the admin of Ragnarok Gravity Thailand game and it has been edited successfully. The loophole found is 📌📌📌
1. main web of Ragnarok has a backyard system using Wordpress.
2. Found that there is a web page that anyone can click to sign up.
3. When I have finished applying, I click login to get the right to be admin.
4. When it's admin, you can click to see many photos. It should come to support or ticket system of gravity. Most of them are screenshot in the game. But the other part is e-KYC or the process of getting people to take photos. Myself with id card and copy of id card. Send it to Gravity to confirm that I own a real game account. 😳
The result is that it may be caused by the unintelligible to attack this loophole before this page has reportedly stolen this e-KYC data from Gravity system. 3 warnings from this incident.
1. I use CMS as a backyard system, but I don't want customers to log in. I should turn off
2. If it's not necessary, don't store e-KYC customer information on the web server. Especially the link which is inexpensive from the person who doesn't need to log in!! 😅 (Best is not to collect. Confirmed. Deleted)
3. Anyone who has done e-KYC with Gravity will be careful that information may be taken out in a bad way.
For Deposit to Gravity: Should inform the owners of information affected by this loophole 📍Translated
wordpress log 在 No Error Log File, no debug info - WordPress StackExchange 的推薦與評價
Insert this into your wp-config.php // Enable WP_DEBUG mode define('WP_DEBUG', true); // Enable Debug logging to the /wp-content/debug.log file ... ... <看更多>