ทดสอบเจาะระบบเว็บแอปพลิเคชัน
ทดสอบด้วยมือทั้งเชิงเทคนิคและ business logic เทียบกับ OWASP Top 10 โดยทีมที่ถือ OSCP และ CREST
เว็บแอปพลิเคชันคือส่วนของธุรกิจที่ผู้โจมตีเข้าถึงได้โดยไม่ต้องแตะ network ของคุณเลย หน้า login, API, session token, ช่องอัปโหลดไฟล์ ไปจนถึงหน้า admin ที่ลืมไปแล้วว่ายังเปิดอยู่ ทั้งหมดนี้เปิดให้ใครก็ตามที่มี browser เข้ามาลองได้ตลอดเวลา scanner ช่วยกวาดพื้นผิวได้ระดับหนึ่ง แต่มันไม่สามารถเชื่อมโยงช่องโหว่ access control หลายจุดเข้าด้วยกันจนนำไปสู่การยึดบัญชีได้ และไม่เข้าใจว่า workflow ของธุรกิจคุณควรอนุญาตอะไร ระบบที่ปล่อยให้ลูกค้าคนหนึ่งอนุมัติรายการของลูกค้าอีกคน scanner จะไม่ได้มองว่าเป็น issue เราจึงทดสอบเว็บแอปพลิเคชันด้วยมือ ทั้งช่องโหว่เชิงเทคนิคที่ scanner ทำได้แค่ชี้เบาะแส และการใช้ business logic ในทางที่ผิดที่ scanner ตรวจจับไม่ได้ ทีมของเราเคยเขียนถึง ข้อจำกัดของ web application VA scanner ไว้ด้วย อ่านประกอบกันได้
ทดสอบความปลอดภัยของเว็บไซต์ในเบื้องต้น
สิ่งที่เราทดสอบ
finding ทุกข้อเทียบเข้ากับ OWASP Top 10 (2025) นักพัฒนาและ auditor ของคุณรู้จัก framework นี้อยู่แล้ว จึงนำรายงานเข้าแผนแก้ไขได้ทันที หมวดความเสี่ยงสิบอันดับล่าสุดมีดังนี้
A01:2025 Broken Access Control
ผู้ใช้ทำสิ่งที่เกินสิทธิ์ตัวเอง (รอบนี้รวม SSRF เข้ามาด้วย)
A02:2025 Security Misconfiguration
ค่า default ที่ไม่ปลอดภัย การตั้งค่าที่เปิดเผยออกไป และการ hardening ที่ขาดหาย
A03:2025 Software Supply Chain Failures
ความเสี่ยงใน dependency, build system และช่องทางแจกจ่ายซอฟต์แวร์
A04:2025 Cryptographic Failures
cryptography ที่อ่อนหรือไม่มีเลย จนข้อมูลสำคัญหลุดออกไป
A05:2025 Injection
input ที่ไม่น่าเชื่อถือถูกแอปพลิเคชันเอาไปสั่งทำงาน (ทั้ง SQL injection, XSS และอื่น ๆ)
A06:2025 Insecure Design
การควบคุมความปลอดภัยที่ขาดหายหรือไร้ผลตั้งแต่ในดีไซน์
A07:2025 Authentication Failures
การจัดการตัวตน credential หรือ session ที่อ่อน
A08:2025 Software or Data Integrity Failures
อัปเดตหรือข้อมูลที่ไม่ได้ตรวจสอบ และ insecure deserialization
A09:2025 Security Logging & Alerting Failures
ช่องว่างที่ทำให้คุณตรวจจับหรือรับมือการโจมตีไม่ทัน
A10:2025 Mishandling of Exceptional Conditions
จัดการ error ไม่ดี และระบบ fail open (เพิ่มเข้ามาใหม่ในปี 2025)
การทดสอบของเราลงลึกกว่าสิบหัวข้อของ framework หมวดที่ทดสอบไล่ตั้งแต่หน้า login ลงไปถึง server ที่แอปพลิเคชันรันอยู่
- Authentication: การจัดการ credential ความทนต่อ brute-force นโยบายรหัสผ่าน และขั้นตอนกู้คืนบัญชี
- Session & cookie management: การสร้าง token อายุของ session ช่องโหว่ session fixation และการตั้งค่า cookie
- Access control & authorization: แต่ละ role เข้าถึงได้เฉพาะสิ่งที่ควรเข้าถึงจริงไหม
- Data validation: แอปพลิเคชันรับมือ input ที่ผิดรูปหรือจงใจป้อนมาโจมตีได้แค่ไหน
- Parameter tampering: แก้ราคา จำนวน identifier และ hidden field กลางทาง
- Injection หลายรูปแบบ: SQL, command, LDAP, template และ injection ตระกูลอื่นในทุกช่องรับข้อมูล
- Cross-site scripting (XSS): ทั้งแบบ reflected, stored และ DOM-based
- Cross-site request forgery (CSRF): บังคับ browser ของผู้ใช้ที่ login อยู่ให้ทำรายการโดยไม่รู้ตัว
- Insecure direct object reference (IDOR): เปลี่ยน identifier แล้วเข้าถึงข้อมูลของผู้ใช้คนอื่น
- Use of cryptography: อัลกอริทึมที่อ่อน การจัดการ key ที่หละหลวม และ crypto ที่เขียนขึ้นเอง
- Clear-text transmission & sensitive information exposure: ข้อมูลสำคัญที่ส่ง จัดเก็บ หรือรั่วไหลโดยไม่มีการป้องกัน
- Error & exception handling: stack trace และ error message ที่เผยไส้ในของระบบให้ผู้โจมตีเห็น
- Administration interface & access control: หน้า admin ที่เปิดสู่ภายนอกหรือป้องกันไว้ไม่พอ
- Application business logic: การใช้ workflow ในทางที่ผิด ข้ามขั้นตอน ยิงรายการซ้ำ เลี่ยงกติกาที่แอปพลิเคชันมีไว้บังคับ
- Web/application server security configuration: ตัว server ที่อยู่ใต้โค้ด ทั้ง header, service, ค่า default และสถานะ patch
สิ่งที่ต้องเตรียมก่อนเริ่ม Pentest
- รายชื่อเว็บ, API, environment และช่วงเวลาที่อนุญาตให้ทดสอบ
- บัญชีทดสอบของแต่ละ role และขั้นตอนธุรกิจที่สำคัญ
- ผู้ประสานงานเมื่อพบปัญหา รวมถึงข้อจำกัดของระบบ production
- ขอบเขตบริการภายนอกหรือ cloud integration ที่องค์กรมีสิทธิอนุญาตให้ทดสอบ
ถ้ายังเลือกระหว่างการสแกนช่องโหว่กับการทดสอบเว็บไม่ถูก อ่านตารางเปรียบเทียบ VA Scan กับ Pentest
ขั้นตอนการทดสอบ
ทุกงานมีการทดสอบสองแบบเดินคู่กัน Technical testing ล่าช่องโหว่ระดับ implementation อย่าง injection, XSS หรือ session ที่จัดการไม่ดี ช่องโหว่กลุ่มนี้มีอยู่ไม่ว่าแอปพลิเคชันจะทำหน้าที่อะไร ส่วน Business logic testing ล่าช่องโหว่ในกติกาของตัวแอปพลิเคชันเอง จะเกิดอะไรขึ้นถ้ามีคนเดิน workflow สลับลำดับ อนุมัติรายการของตัวเอง ใส่จำนวนติดลบ หรือใช้สิทธิ์ของ role หนึ่งไปเปิดข้อมูลของอีก role ช่องโหว่แบบนี้ scanner มองไม่เห็น เพราะในทางเทคนิคไม่มีอะไรพัง แอปพลิเคชันทำงานตามที่ถูกสร้างมาทุกประการ แค่ทำให้ผิดคน จากประสบการณ์ของเรา finding ที่กระทบธุรกิจหนักที่สุดมักซ่อนอยู่ตรงนี้ business logic testing จึงเดินอยู่ในทุกงานของเรา
นอกจากนี้ งานเดินตามขั้นตอนเดียวกับ บริการทดสอบเจาะระบบ ทุกงานของเรา
Preparation & scoping
ตกลงกันก่อนว่าทดสอบแอปพลิเคชันไหน environment ไหน และรูปแบบไหน รวมถึงมุมที่ทดสอบ
ข้อเสนอระบุไทม์ไลน์และราคาไว้ชัดเจนก่อนเริ่มงาน
Technical testing
ทดสอบด้วยมือไล่ตามรายการหมวดด้านบนใน scope ที่ตกลงกัน
เครื่องมืออัตโนมัติช่วยเรื่องความครอบคลุม ทุก finding ในรายงานผ่านการยืนยันด้วยมือ และรายงานไม่มีผลดิบจาก scanner
Business logic testing
พอมี credential ของทุก role ในมือ เราเดิน workflow ของแอปพลิเคชันแบบเดียวกับที่มิจฉาชีพหรือคนในที่คิดร้ายจะเดิน ข้ามลำดับขั้นตอน แก้ parameter กลางทาง ข้าม role ไปหยิบข้อมูลของคนอื่น และใช้ฟีเจอร์ที่ตั้งใจให้มีประโยชน์ในทางที่ผิด
Reporting & retest
finding ทุกข้อจัดตาม Risk Level (Critical, High, Medium, Low) พร้อม POC และแนวทางแก้ มี executive summary สำหรับผู้บริหาร พอทีมคุณแก้เสร็จ เรา retest แล้วอัปเดตรายงานให้เห็นว่าปิดอะไรไปแล้วบ้าง
กำหนดขอบเขตอย่างไร
Black-box
จำลองผู้โจมตีภายนอกที่ไม่รู้อะไรเกี่ยวกับระบบเลย
Gray-box
คุณให้ credential ของทุก role กับเรา เพื่อทดสอบ business process หลังล็อกอิน ทั้งการยกระดับสิทธิ์แนวตั้งจากผู้ใช้ธรรมดาไปถึงฟังก์ชัน admin และแนวนอนจากผู้ใช้คนหนึ่งไปถึงข้อมูลของอีกคน
External
ยิงจาก Internet
Internal
ทดสอบจาก intranet สำหรับระบบภายในที่ไม่เปิดสู่สาธารณะ
สิ่งที่คุณได้รับ
ทุกรายงานมีอย่างน้อยเท่านี้
Executive summary
สรุปภาพความเสี่ยงในภาษาธุรกิจ ให้ผู้บริหารและ auditor อ่านแล้วตัดสินใจต่อได้
Finding จัดตาม Risk Level
ทุกช่องโหว่จัดเป็น Critical, High, Medium หรือ Low และเทียบกับ OWASP Top 10 (2025) เรียงลำดับได้เลยว่าต้องแก้อะไรก่อน
POC ประกอบทุก finding
request, payload และภาพหน้าจอครบ พร้อมขั้นตอนทำซ้ำของแต่ละ finding อย่างละเอียด
คำแนะนำการแก้ไข
วิธีแก้ที่เอาไปทำกับระบบของคุณได้จริง
Retest ยืนยันผล
หลังคุณแก้เสร็จ เราตรวจซ้ำแล้วอัปเดตรายงานให้สะท้อนรายการที่ปิดไปแล้ว
ทุกงานที่ผ่านมาเจอ finding จริงที่ผ่านการยืนยันแล้ว
ทีมและใบรับรอง
- OSCP
- OSCE
- CREST CRT
- CREST CPSA
- GIAC GREM
ทีมภายในของเราลงมือทดสอบเองทุกงาน ใบรับรองเหล่านี้ได้มาจากการสอบภาคปฏิบัติอย่างเข้มข้น ดูใบรับรองทั้งหมดที่ทีมถือ
ระเบียบวิธีของเราเดินตาม NIST SP800-115 (Technical Guide to Information Security Testing and Assessment) สอดคล้องกับ Penetration Testing Execution Standard (PTES) และ OSSTMM โดย finding ทุกข้อเทียบเข้ากับ OWASP Top 10 (2025) ถ้า audit ของคุณต้องการหลักฐานรูปแบบเฉพาะ บอกเราได้เลยตอน scoping เราจะตกลงรูปแบบรายงานให้ตรงกับที่ต้องใช้
บริการที่เกี่ยวข้อง
PCI DSS penetration test
ถ้าแอปพลิเคชันของคุณอยู่ในระบบที่เกี่ยวกับบัตรชำระเงิน งานทดสอบเว็บชิ้นนี้ต่อเข้ากับ scope ของ PCI DSS ที่กว้างกว่าได้โดยตรง วาง scope และเขียนรายงานในแบบที่ QSA คุ้นเคย
ตรวจทานล่าสุด: 14 Oct 2026
ทดสอบเจาะระบบเว็บแอปพลิเคชัน
ตกลงแอปพลิเคชัน environment และรูปแบบการทดสอบกันก่อนเริ่ม แล้วส่งข้อเสนอที่ระบุไทม์ไลน์และราคาชัดเจน
คำถามที่พบบ่อย
Pentest เว็บต่างจาก VA Scan อย่างไร?
VA Scan ช่วยสำรวจช่องโหว่ในภาพกว้าง ส่วน Web Pentest ให้ผู้ทดสอบตรวจและพิสูจน์ผลกระทบในฟังก์ชันที่ตกลงกัน รวมถึง access control และ business logic ที่ scanner อาจมองไม่เห็น
การทดสอบเจาะระบบเว็บแอปพลิเคชันครอบคลุมอะไรบ้าง?
finding ทุกข้อเทียบเข้ากับ OWASP Top 10 (2025) แต่การทดสอบของเราลงลึกกว่าสิบหัวข้อ ครอบคลุม authentication การจัดการ session และ cookie การควบคุมการเข้าถึง การตรวจสอบข้อมูล injection (SQL, command, XSS และอื่น ๆ), CSRF, IDOR, cryptography การจัดการ error หน้า admin, business logic และการตั้งค่า server ที่อยู่ใต้โค้ด
การทดสอบด้วยมือให้อะไรเพิ่มจาก scanner?
scanner รายงานเฉพาะรูปแบบที่มันรู้จัก และตรวจทีละ request จึงต่อช่องโหว่สองจุดเข้าด้วยกันจนยึดบัญชีไม่ได้ และไม่มีภาพว่า workflow ของธุรกิจคุณควรอนุญาตอะไร เราใช้เครื่องมืออัตโนมัติช่วยเรื่องความครอบคลุม แล้วยืนยันทุกประเด็นด้วยมือก่อนเข้ารายงาน ผลดิบจาก scanner จึงไม่ถูกส่งต่อให้คุณเป็น finding
การทดสอบแบบ black-box กับ gray-box ต่างกันอย่างไร?
ต่างกันที่ว่าเวลาที่คุณจ่ายไปถูกใช้กับส่วนไหนของแอปพลิเคชัน black-box เริ่มโดยไม่มี credential แรงส่วนใหญ่จึงหมดไปกับการหาทางเข้า และส่วนที่อยู่หลังหน้า login อาจไม่ได้ถูกแตะเลย ส่วน gray-box เริ่มด้วยบัญชีครบทุก role เวลาเลยไปลงกับฟังก์ชันหลังล็อกอิน ซึ่งเป็นที่อยู่ของช่องโหว่ access control และ business logic ระบบส่วนใหญ่จึงคุ้มกว่าถ้าทดสอบแบบ gray-box และถ้าระบบของคุณเข้าข่ายนั้น เราจะบอกตั้งแต่ตอนวาง scope
business logic testing คืออะไร?
เป็นการล่าช่องโหว่ในกติกาของแอปพลิเคชัน ไม่ใช่ในโค้ด เช่น อนุมัติรายการของตัวเอง ยิงรายการซ้ำ ใส่จำนวนติดลบ หรือเปิดข้อมูลของ role อื่น scanner มองไม่เห็นเพราะในทางเทคนิคไม่มีอะไรพัง และวิธีแก้มักเป็นการปรับ workflow มากกว่าการแพตช์ finding กลุ่มนี้จึงส่งถึง product owner พอ ๆ กับที่ส่งถึงทีมพัฒนา
คุณใช้มาตรฐานใด?
NIST SP800-115 กำหนดว่างานเดินยังไง มี PTES กับ OSSTMM ประกอบ ส่วน OWASP Top 10 (2025) ใช้ติดป้ายว่า finding แต่ละข้อเป็นความเสี่ยงประเภทไหน การแยกสองส่วนนี้มีผลตอนเจอผู้ตรวจสอบ เพราะสามตัวแรกคุมวิธีทำงานและหลักฐาน ส่วนการแมปเข้า OWASP คือสิ่งที่ทำให้ทีมพัฒนาเอา finding ไปเปิดงานในระบบที่เขาใช้อยู่ได้เลย ถ้าแอปพลิเคชันอยู่ในระบบที่เกี่ยวกับบัตรชำระเงิน เราวาง scope ให้การทดสอบชุดเดียวกันตอบ PCI DSS Requirement 11 ไปด้วย
จากทีมผู้ทดสอบของเรา
ARTICLES/7 Mar 2023
Way Back Techniques for Black-box Scenario
เวลาทดสอบเจาะระบบในรูปแบบ black-box หาก target ที่เรา focus อยู่เป็น web application และเราเจอแต่หน้า login จะทำอย่างไร?
ARTICLES/7 Jun 2021
An untold story about web application vulnerability assessment
ทำไม VA scanner ที่ตั้งค่าแบบ default ถึงให้ผลไม่แม่น รวมทริคปรับการ scan ให้ผลลัพธ์ตรงขึ้น พร้อมวิธีลดความเสี่ยงที่การ scan จะไปกระทบระบบจริง
ARTICLES/7 Jun 2021
Digital ID from the Penetration Tester eye view
Digital ID ย้ายการยืนยันตัวตนจากเอกสารกระดาษมาอยู่บนระบบดิจิทัล บทความมองระบบนี้ด้วยสายตาคนทดสอบเจาะระบบ ว่าจุดไหนที่ผู้โจมตีจะเล็งก่อน
เล่าเรื่องแอปพลิเคชันของคุณให้เราฟัง
บอกเราตอน scoping ว่า audit ของคุณต้องการอะไร แล้วเราจะตกลงขอบเขตและรูปแบบการทดสอบร่วมกับคุณ
