บันทึกงานเซิร์ฟเวอร์จริง ที่ลงมือทำเอง แล้วเขียนให้คนอื่นใช้ต่อได้
สัปดาห์นี้
ดูทั้งหมด
ปักหมุด
Web
ทำเว็บปี 2026 ใช้ PHP, Node.js หรือ React: เลือกตามงานจากตัวเลขจริง
ลูกค้าโฮสติ้งถามว่าทำเว็บด้วย PHP, Node.js หรือ React ดี ผมไล่ตัวเลขตลาด ณ 7 พ.ย. 2026 แยกชั้นของเว็บให้ชัด ทำกราฟเทียบว่างานไหนใช้สแตกไหนด้วยคะแนนที่ AI สองตัวให้แยกกัน และดูคะแนนที่ AI สองตัวประเมินตัวเองรายภาษา
อัปเดตความปลอดภัยล่าสุด
ดูทั้งหมด ->USN-9063-1: Yodl vulnerability
USN-9062-1: SNMPTT vulnerability
SNMPTT กรองข้อมูล trap ไม่รัดกุม ผู้โจมตีจากระยะไกลอาจรันคำสั่ง shell ได้
USN-9060-1: kramdown vulnerability
kramdown ประมวลผล template ในเอกสารโดยปริยาย อาจถูกใช้อ่านไฟล์หรือรันโค้ดได้
USN-9059-1: ruby-jwt vulnerability
ruby-jwt ตรวจลายเซ็น HMAC ผิดเมื่อไม่มีคีย์ อาจถูกปลอมโทเคนข้ามการยืนยันตัวตน
USN-9058-1: Action Pack Page Caching vulnerability
Action Pack Page Caching จัดการพาธผิด อาจถูกเขียนไฟล์ตามใจบนเว็บเซิร์ฟเวอร์
เริ่มต้นที่นี่
ค่อย ๆ เรียนรู้จากงานจริงบทความล่าสุด
ดูทั้งหมด →
อัดเสียงลำโพงบน Windows แล้วช่วงเงียบหาย ไฟล์สั้นกว่าเวลาจริง
อัดเสียงที่ออกลำโพงด้วย WASAPI loopback แล้วได้ไฟล์ที่สั้นกว่าเวลาจริง เพราะอุปกรณ์ไม่ส่ง buffer ตอนไม่มีเสียง แก้ด้วยการเล่นสัญญาณเงียบบนอุปกรณ์เดียวกันคู่ไปกับการอัด จองเลขไฟล์ด้วย .lock เขียน WAV ก่อนแล้วแปลงเป็น MP3 ด้วย ffmpeg พร้อมตัว self-test ที่จับ loopback จริง
สั่งฟอร์มเราเตอร์ผ่าน CDP แล้ว Apply เงียบ: .value ไม่ติด ต้องพิมพ์
ขับหน้า admin ของเราเตอร์ไฟเบอร์ผ่าน Chrome DevTools Protocol กรอกฟอร์มจอง IP ด้วย element.value แล้วกด Apply หน้าเว็บไม่ทำอะไรเลยและไม่มี error แก้ได้ด้วยการส่ง key event จริงเข้าช่องที่มองเห็น พร้อมข้อจำกัดที่ล้มแบบเงียบและวินัย dry-run ของสคริปต์
ตัดความยาวก่อนปิดบัง token เลยหลุดลง log ไป 31 ตัวอักษร
ช่อง caller ของ audit log ถูกตัดเหลือ 32 ตัวอักษรก่อนส่งเข้าตัว redact ผู้เรียกที่ใส่ token มาผิดช่องเลยเหลือ hex 31 ตัวค้างในไฟล์ log ใน endpoint สถานะที่ไม่ต้องยืนยันตัว และบนหน้าจอ ขณะที่เทสต์ยังเขียวเพราะตรวจแค่ว่าไม่มี token ทั้งก้อน พร้อมตัว redact แบบหน้าต่าง 16 ตัวและเทสต์ที่หาชิ้นส่วนของความลับ
deploy Laravel แล้วเจอ 500 ชั่วครู่: แคชถูกลบก่อนเขียนใหม่
view:cache ลบแคชทั้งหมดก่อนคอมไพล์ใหม่ ส่วน config:cache กับ route:cache ลบไฟล์เก่าก่อนเขียนไฟล์ใหม่ ระหว่างช่องว่างนั้นคำขอจริงเจอ 500 แก้ด้วยคำสั่ง warm เฉพาะ template ที่หมดอายุ และสลับแคชด้วยการ rename ไฟล์ชั่วคราวทับแบบอะตอมมิก พร้อมบทเรียนเรื่อง migration ที่เห็น config เก่า
ไอพีออฟฟิศเปลี่ยนตลอด: ดันเข้า whitelist ด้วยคีย์ SSH forced command
ไอพีที่ออกเน็ตเปลี่ยนบ่อยเพราะอยู่หลัง CGNAT เลยโดนไฟร์วอลล์แบนซ้ำ บันทึกการให้เครื่องข้างตัวดันไอพีเข้า whitelist ด้วยคีย์ SSH ที่ล็อกคำสั่งเดียว อ่านไอพีจาก SSH_CLIENT และตรวจประเทศแบบ fail-closed พร้อมตัวอย่างที่สองคือคีย์คุมบอทแจ้งเตือนโดยไม่ให้ shell และการเขียน threat model ให้ชัด
API ตอบ notSupport 9 แบบ แต่หน้าเว็บเครื่องลบได้ ดัก HAR หาคำสั่งจริง
ต้องลบเฉพาะรูปใบหน้าของคนที่ออกแล้วจากเครื่องสแกน โดยห้ามลบชื่อผู้ใช้ ลองยิง API ตามเอกสาร 9 รูปแบบไม่ผ่านสักแบบ แต่ปุ่มในหน้าเว็บของเครื่องเองลบได้ บทความนี้เล่าวิธีดัก HAR จาก DevTools จนเจอคีย์ที่เอกสารไม่บอก และขั้นตอนสำรองพร้อม md5 ก่อนลบจริง 77 คน
Whisper ถอดเสียงฮัมเป็นคำ และได้เวลาผิด ถ้าไม่ถอดจาก stem ที่ถูกต้อง
ถอดเสียงทั้งมิกซ์แล้วเวลาคลาดและมีข้อความหลอน ช่วงบรรเลงกลายเป็นสัญลักษณ์โน้ตยาวหลายสิบวินาที เสียงฮัมถูกอ่านเป็นประโยค ท้ายไฟล์มีคำทักทายที่ไม่มีอยู่จริง และท่อนร้องหมู่อยู่ผิดสเต็ม ถอดจากสเต็มที่ถูกต้องแล้วเวลาเริ่มท่อนแรกขยับจาก 19.2 เป็น 18.5 วินาที
แชร์โฟลเดอร์ torrent ด้วย Samba: force user และกับดัก bind interfaces
ตั้ง Samba บน Debian ให้ Windows เปิด แก้ และลบไฟล์ในโฟลเดอร์ดาวน์โหลดของ Transmission ได้โดยสิทธิ์ไม่เพี้ยน ด้วย force user, force group และ create mask พร้อมผูก smbd ไว้กับ NIC ของ LAN และกับดักบรรทัด bind interfaces only ที่ถูกคอมเมนต์อยู่แล้ว
ชื่อคนไทยถูกตัดขึ้นบรรทัดใหม่กลางคำ เพราะเบราว์เซอร์ตัดคำด้วยพจนานุกรม
ชื่อเล่นที่ไม่มีในพจนานุกรมของเบราว์เซอร์ถูกหักกลางคำทุกหน้า แก้ CSS รายจุดไม่จบเพราะเนื้อหามาจากฐานข้อมูล เลยทำ middleware ครอบ response ห่อชื่อจากตารางทีมงานด้วย span nowrap เฉพาะ text node พร้อมผลข้างเคียงสองข้อที่เจอหลังขึ้นจริง
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า