Scriptdd.com

บทความบ้าบ่นของคนทำเว็บ ปี 8

Proxomitron Presonal Proxy ตัวเก่ง

หัวข้อ แงะ แทก Hacker | Security | Tool

พักนี้ ภาพพจน์ผมชัดไม่ดีแฮะ เมื่อวาน น้องชูน้อย( ไม่ใช่ชูวิทย์) เจ้าของ bbznet.com
ที่ให้บริการ Free Webboard นั้นแหละทักผมมาถามว่า

มีคนบอกผมว่า พี่เข้ามาช่วยผมดูแล board ได้สามารถช่วยผมลบกระทู้ ลบ board ได้โดยไม่ต้อง
เป็น Admin บอกมาซะดีๆ bug web ผมมีอะไรบ้าง ถ้าไม่บอก จะแช่งให้หุ้นตก :P

โห มันเล่น ของสูงแฮะ -__- แช่งหุ้นตกเลย

เรื่องบอกน่ะ ผมบอกกันอยู่แล้วไม่มีปัญหาหรอก แต่ที่ผมสงสัยคือ

เฮ้ เดี๋ยวนี้ ภาพพจน์ตูในสายตาพวกเอ็งเนี่ย ตูกลายเป็นอะไรไปฟะ
เวลาใครปั่นมามี bug เนี่ย ต้องเป็นฉันเสมอเลยหรือ

เอิ้กๆ ภาพพจน์ไม่ดีแต่จิตใจ บริสุทธิ์ นะคร๊าบบ
เราบอก bug ไป 3 บรรทัด แต่ไหง Server มัน down มากว่า 12 ชมแล้วหว่า แก้อะไรกันหนักหนาเนี่ย T_T

เข้าเรื่องของเราดีกว่า วันนี้จะเป็นบทเรียนแรก ถือเป็นเครื่องมือหากินคงไม่ตีว่า เครื่องมือตัวนี้เป็นของ Hacker เสมอไปนะครับ
แต่ผมว่า Web Programmer ควรจะมี Tool ตัวนี้ ลงไว้ที่เครื่อง มันคือ Proxomitron ครับ

http://www.proxomitron.info/
,


Proxomitron มันคือ Proxy ส่วนตัวดีๆนี่เองครับ

จริงๆแล้วมันคือ Program ประเภท HTTP Proxy ที่มีความสามารถ เชิง Filter ได้ดีเยี่ยม
เคยมีความสงสัยกันไหมครับว่า เวลาเราเปิด Browser เพื่อเข้า Web ต่างๆเนี่ย Browser เรามันส่งอะไรออกไปบ้าง ??
เราสามารถดักข้อมูลพวกนี้ออกมาได้ไหม ??


Proxomitron สามารถตอบคำถามเหล่านี้ได้ครับ กล่าวคือ Program มันมีความสามารถดังนี้

  • สามารถเป็น HTTP Proxy ที่กำหนด Port ได้เองตามใจชอบ
  • สามารถแสดง HTTP Header ที่ Browser ใช้ติดต่อกับ Server ได้ ทั้งในส่วน HTTP และ HTTPS
  • สามารถเป็น Proxy Filter คือ สามารถตัดแต่ง ข้อมูลที่รับเข้ามาได้ตามใจชอบ โดนการเขียน Filter เข้าไปกำกับ
    เช่นเขียน filter ป้องกัน pop up banner เมื่อเข้าเยี่ยมชม Web นี้
  • สามารถปรับแต่ง Header ทั้งส่งเข้าและส่งออกช่วยให้ Web Programmer สามารถตรวจสอบและ Debug งานได้

สิ่งที่ผมโม้นี่เป็นเพียงบางส่วนผมเองก็ยังไม่ได้เล่นมันจนหมด บาง Function ก็แทบไม่เคยแตะ แต่เอาละลองมาเล่นกันดีกว่า


Download และติดตั้งซะเข้าที่ไปที่ หน้า http://www.proxomitron.info/files/index.shtml จะเห็น Link ให้ Download
ให้ Download Version ล่าสุดมาก็ได้ครับ ProxN45j.exe

และเอา SSL Add-Ons มาด้วย มันจะช่วยให้เราแอบดู ข้อมูลที่วิ่งอยู่บน HTTPS ได้ครับ

การติดตั้งคงไม่ยากอะไร คลิก Next ๆ ไปเรื่อยๆ ก็เรียบร้อยแล้วครับ

ส่วน SSL Add-Ons ผมใช้ตัว OpenSSL_DLLs.zip นะครับ Download มาแล้ว Unzip ไปวางไว้ที่ Windows


อย่างของผมเป็น Windows 2000 ก็เอาไปวางไว้ที่ C:\WINNT แค่นี้แหละครับ


มุขตลก proxomitron คือ มันไม่ใช่ Freeware ครับแต่เป็น Shonenware
คือคนเขียน program เนี่ยชอบนักร้องวง Shonen Knife! มากๆ ก็เขียนเขียน program นี้
และบอกว่า ใครต้องการ สนับสนุนเค้าของให้ซื้อ CD เพลงวงนี้แทน ฮา

แม่งบ้าจริงๆ -__-

C:\Program Files\Proxomitron Naoko-4\help\License.html


Config กันก่อนเอาครับเปิด Program Proxomitron ขึ้นมาครับ เราจะได้หน้าตาแบบนี้



กดปุ่ม Config ครับเพื่อกำหนด Port ที่จะเปิดเป็น Proxy ก่อน



ที่หัวข้อ HTTP นะครับจะเห็นให้เรากำหนด Port ที่ต้องการ ในนี้จะกำหนดเป็น 8080 ก็หมายความว่า ตอนนี้เครื่องของเราจะกลายเป็น HTTP Proxy รออยู่ที่ port 8080
ใครอยากเปลี่ยนเป็น Port อื่นก็จัดการตามสะดวกครับ เมื่อเสร็จแล้วให้คลิกเลือก Use SSLeay ด้วยเพื่อจะกำหนดมันว่า แม้จะเข้า HTTPS ตูก็จะขอดู Header ด้วย

ทางฝั่ง Proxomitron เบื้องต้นมีแค่นี้ครับ OK ต่อไปเราไป กำหนดที่ Browser ของเรากัน ผมขอใช้ IE นะครับใครใช้ ตัวอื่นๆก็หลักการเดียวกัน
OK เปิด IE ขึ้นมาเลยไปที่ Tools -> Internet Options -> Connection




จุดนี้สำคัญนะครับ อ่านดีๆ

1. ถ้าหากการเชื่อมต่อ Internet ของคุณ ผ่าน Modem ไม่ว่าจะเป็น Modem อะไรก็ตาม ตัว Connection จะขึ้นมา
ให้คุณเลือก ตัวเชื่อมต่อนั้น เช่น ผมใช้ ClickTA อยู่ก็เลือก ClickTA แล้วกด Settings



ให้กำหนด proxy ลงไปเป็น 127.0.0.1 Port 8080 ซะ

2. ถ้าการใช้งาน Internet ของคุณผ่านระบบ Lan ของ Network ให้คุณ คลิกที่ LAN Settings เพื่อกำหนด Proxy โดยใส่เป็น

127.0.0.1 port 8080 (หรือตามที่กำหนดไว้) ดังรูป



3. ถ้าหากการเชื่อมต่อใช้ทั้งสองแบบ ก็กำหนดไปทั้งสองแบบนั้นแหละครับ ^^

สำหรับ Program อื่นๆ ที่ใช้งาน HTTP ก็เหมือนกัน เช่น Flashget . MSN (ที่กำหนดเป็น HTTP Proxy) , Netscape , Opera ก็กำหนดในลักษณะเดียวกัน
ต่อไปจะเป็นการใช้งานแล้วคร๊าบ


เริ่มต้นในงาน อันดับแรก ขอดู HTTP Header กันก่อน

เปิด Proxomitron ขึ้นมาแล้วคลิกที่ Log Windows ขึ้นมาครับจะเป็นหน้าจอ ดำๆ หน้าจอนี้จะเป็นหน้าจอแสดงข้อมูล HTTP Header ที่จะวิ่งไปมา
ให้คลิกที่ Edit แล้ว เลือก View Post Data ด้วย เพื่อบอกมันว่า เราต้องการดูข้อมูลที่เรากด post ออกไปด้วย



แล้วกลับไปที่ Browser เปิดเข้า Web ดูครับ สมมุติ http://www.scriptdd.com ละกัน เมื่อย้อนกลับมาดู หน้าต่างนี้ คุณจะเห็น ข้อมูล HTTP Header ที่วิ่งไปมาทั้งหมด




สีเขียวคือสิ่งที่ browser ของเราส่งออกไป ส่วนสีเหลืองคือข้อมูลที่ Server ส่งกลับมาครับ


ข้อมูลที่เราเห็นพวกนี้ มีประโยชน์มากกับ Web Programmer ยกตัวอย่างง่ายๆ เช่น การเขียน Script เพื่อฝัง Cookie
หากไม่มี Proxomitron เราก็แทบไม่สามารถรู้ได้เลยว่า Cookie ที่ฝังถูกต้องหรือเป่า จนกว่าเราจะเขียน Script เพื่อเปิดอ่านอีกที

เราจะสามารถดูข้อมูลดังกล่าว เพื่อใช้สำหรับตรวจสอบ Server ปลายทาง จนถึงข้อมูลบางอย่างที่ถูกซ่อนไว้
เช่นจากที่เห็นในช่องสีเหลือง จะเห็นว่า Server ที่ scriptdd ใช้ ก็คือ Apache/2.0.48 (Unix) PHP/4.3.4
ข้อมูลที่ Post เข้าระบบ ก็สามารถดักดูได้

ผมลองยกตัวอย่างการ Post ข้อมูลในการ Login thaimail ให้ดูครับ


เมื่อกด Login แล้วกลับไปดูที่หน้าจอคุณจะเห็นข้อมูลที่ Post ไปมา





HTTPS ก็แอบดูได้


ยกตัวอย่าง ผมลองเข้า https://www.scbeasy.com/easy1-3/index.html ปรากฏว่าจะมี pop up เด้งขึ้นมาเตือนเรื่อง Key SSL ที่ใช้
ไม่ต้องไปสนใจครับคลิก Yes ซะ



หน้า Web ก็จะเข้าได้ปกติ






ใน header ก็จะสามารถเห็นข้อมูลได้ตามปกติ โดยจะมี header กำหนดเพิ่มเติมว่า
SSL cipher SSLv3 RC4-MD5 (128 bits)

การดูข้อมูล Header เหล่านี้ หากมองในแง่ประโยชน์ ก็จะช่วยให้ Programmer เขียนงานที่ต้องทำงานร่วมกับ HTTP Header เหล่านี้
ได้เป็นอย่างดี สะดวก มองเห็นภาพ ไม่ต้องมาสร้างภาพในหัวอีกต่อไป อย่างผมจะใช้ประจำในการ เขียน Program จำลอง
การติดต่อกับ Server เช่น Script ดึงข่าวสารต่างๆ ก็ใช้ Proxomitron ช่วย

หากมองในแง่ร้าย ก็คง อยู่ที่ ข้อมูลที่อยู่ใน Header เหล่านี้ บางครั้งเราจะพบว่า สามารถเอื้อประโยชน์ให้กับผู้ประสงค์ร้ายได้
ไม่ว่าจะเป็นชนิดของ OS ที่ใช้ Web Server ที่ลง


ยกตัวอย่างการประสงค์ร้าย

http://www.bbznet.com/scripts/board.php?user=greenbull&board=2&b=11598

bbznet.com เป็น Web ที่ให้บริการ free webboard โดย webboard ที่ผมเอามาให้ดูนี้เป็น board กระทิงเขียว
ก็กระดานข่าวกลุ่มคนเล่นหุ้นนั้นแหละครับ



board นี้มีระบบสมาชิก เมื่อ Login ไปแล้ว วิธีการที่ bbznet ใช้ยืนยัน server ก็คือ cookie ครับ ลองดูนี่



เห็นไหมครับ username อะไร password อะไร เค้าใช้วิธี มากับ cookie หมดเลย

รู้แล้วเอาไปทำอะไรได้ รู้แล้วจะซนอะไรได้หรือเป่า อิอิ อันนี้ผมเก็บไปคิดเองครับ ไว้ผมจะมาเฉลย
เมื่อถึงบทความเกี่ยวกับเรื่อง Cookie


ส่งท้าย Proxomitron

ว่าจะโม้ทุกๆ function ของ Proxomitron แต่ว่า เอาแค่นี้ก่อนก็พอครับ เพราะอยากให้ลองใช้ลองเล่นกันก่อนหน้าที่อีกอย่างของ
มันคือ มันสามารถทำงานเป็น Web filter ได้ เช่น สามารถตัด banner รูปต่างๆ ให้เป็น Text file ธรรมดาได้

สามารถปิด pop up banner ได้ ซึ่งทั้งหมดอยู่ที่ ปุ่ม Web page


และอีกปุ่มที่สำคัญคือ ปุ่ม Headers มันสามารถตัดต่อ ตกแต่ง HTTP Header ที่รับเข้าและส่งออกได้
เช่น ใช้ IE เล่น Net และเราแต่ง Header ให้กลายเป็น Netscape ก็ได้ อะไรแบบนี้

ตรงนี้จะขอเล่าต่อไป เมื่อถึงบทความที่เกี่ยวข้อง อาทิตย์นี้ผมฝากการบ้าน ให้ไปลองเล่น Proxomitron กันให้เชี่ยวชาญน่ะครับ

อาทิตย์หน้าเจอกันใหม่

รูปคุณ Read (7,334) Comments (15) 2004-01-10 18:51:29

ความคิดเห็น

ดีครับ เป็นประโยชน์ดี คิคิ มาอ่านช้าไปหน่อยเพราะ เพิ่งเป็นสมาชิก

รูปคุณ x โดยคุณ x 2007-05-05 18:24:28

ผมชอบมากเลยครับ ทำให้เราเขียนเว็บ โดยเน้นถึงความปลอดภัยมากขึ้น :P

รูปคุณ kung โดยคุณ kung 2007-05-05 19:04:25

สุดยอดมากครับได้เปิดหูเปิดตาสักที

รูปคุณ เอก โดยคุณ เอก 2007-05-11 21:35:28

ได้ความรู้ที่มาจากประสบการณ์จริง นี่ มันสุดยอดมาก ๆ เลยครับ

รูปคุณ Bc.NET โดยคุณ Bc.NET 2007-07-21 14:18:23


scratch our own itches :D

เยี่ยมเลยครับ ขอบคุณครับสำหรับสิ่งดีๆ

รูปคุณ nui โดยคุณ nui 2007-10-15 10:48:37

อืม อันตรายเหมือนกันแฮะ เกิดใครเอาเจ้า proxomitron ไปไว้ในเครื่องสาธารณะ แล้วก็แอบตั้งให้ทุกเครื่องใช้เครื่องนี้เป็น proxie เท่านี้ก็เห็นหมดเลย

รูปคุณ อุ๊ โดยคุณ อุ๊ 2007-11-01 17:07:00

น่ากลัวจังนะครับพี่น้อง...

รูปคุณ NoTTo โดยคุณ NoTTo 2008-04-28 10:00:36

เห็นด้วยกับคุณอุ๊ครับ

เกิดวันไหนผมหน้ามืดตามัว เอาไปดักไว้เครื่อง proxy server ของบริษัท (เป็น admin)

ไม่อยากจะคิด (แต่ไม่ทำหรอกครับ มันเก็บ log เสี่ยงคุกครับ)

แต่ถ้านำไปใช้ในเรื่องของการหาช่องโหว่ แล้วหามาตรการป้องกัน อันนี้ก็เป็นประโยชน์ครับ

รูปคุณ ตั้ม โดยคุณ ตั้ม 2008-04-28 10:11:01

ว้าว~!! ได้ความรู้ดีครับ

รูปคุณ Lemon โดยคุณ Lemon 2008-05-26 12:53:48

ได้อ่านแล้วได้ความรู้ขึ้นอีกเยอะเลยครับ

รูปคุณ อาร์ม โดยคุณ อาร์ม 2008-11-26 16:37:10

อันตรายมากเลยนะครับนี่ อิอิ ^^"
ขอไปลองกับเว็บตนเองก่อนนะครับ

รูปคุณ ปีย์ โดยคุณ ปีย์ 2008-12-26 14:50:13

โค ตะ ระ มีประโยชน์เลยครับ อิอิ แจ๋มมากๆ

รูปคุณ Ray โดยคุณ Ray 2009-01-29 02:02:49

ขอบคุณครับ สุดยอดเลยหามานานแล้ววิธีตรวจสอบรูรั่วเดี๋ยวจะเอาไป
ทดสอบเว็บตัวเองครับ

รูปคุณ ท๊อป โดยคุณ ท๊อป 2009-04-28 21:02:01

ขอบคุณครับ สุดยอดไปเลยงับ

รูปคุณ กรานต์ โดยคุณ กรานต์ 2009-11-06 08:56:01

ขอบคุณสำหรับความรู้ครับ
บทความนี้ทำให้ผมเข้าใจว่า ทำไม firefox ถึงต้องแจ้งเตือน เมื่อเราเข้าเว็บ https ที่ไม่มีการ encrypt ข้อมูล
(รู้สึกจะมีเว็บพวก iBanking บางตัวที่เป็นงั้นอยู่)

กำลังสงสัยว่า ถ้าเรา config proxy ที่ browser แ้ล้ว จะสามารถเข้าเว็บได้ปกติหรือเปล่า?

พอดีไปอ่านเจอในหน้า guide ของเว็บบอกไว้พอดี
http://www.proxomitron.info/45/help/Installation.html

คำตอบก็คือ ใช้ได้ปกติ แต่ต้องเปิดโปรแกรม Proxomitron ไว้ด้วย เพราะ connection ของ browser เรา จะต้องวิ่งผ่านโปรแกรมนี้นั่นเอง

แต่ก็ยังสงสัยว่า ถ้า network ในออฟฟิศใช้ proxy อยู่แล้ว จะมีปัญหาหรือป่าว
(ขอเดาตาม concept ว่า น่าจะไม่มีปัญหา ก็แค่เป็น proxy สองต่อแค่นั้น หรือป่าวหว่า?)
สงสัยดูเล่นๆ ใครรู้วานบอกที ขอบคุณล่วงหน้าครับ

รูปคุณ มะขวิด โดยคุณ มะขวิด 2009-11-16 11:28:53

ร่วมแสดงความคิดเห็น



ขอความกรุณา ปัญญาชน ทุกๆท่าน รณรงค์การใช้ภาษาไทยให้ถูกต้อง
กรุณา ลงความคิดเห็นโดยใช้ภาษาไทยให้เป็นภาษาไทย งดการใช้ภาษาวัยรุ่น,
แอ๊บแบ๊ว บอกตรงๆปัญญาอ่อน !! Admin นั่งอ่านแล้วปวดหัว

เข้าระบบ


จำไว้ด้วยนะจ้ะ

สมัครสมาชิก
ลืมรหัสผ่าน

บทความล่าสุด

Gallery

Tags

DOM Cottoncandy Perl Movie Google Internet Lenovo TV Firefox API Review Apache PHP ล้อเสือหมอบ Phantom Microsoft Motorcycle เฟรม OEM barcampbangkok2 Framework Hacker Search Engine BarCampBangkok Gallery Live ROM Web2.0 Downloads Mobile Linux

อื่นๆ ...

เพื่อนบ้าน

สถิติส่วนตัว

คลิกรับ Feed สิจ๊ะ

TwitterCounter for @9aum

Scriptdd.com | ctdd Version 3.0 ติดต่อฐานข้อมูลทิ้งสิ้น 7 ครั้งใช้เวลาประมวลผล 0.0665 วินาที
โปรแกรมโดย 9AuM | ออกแบบโดย styleshout