Author: kanakorn.h

การตั้งค่า MaxRequestWorkers บน Apache ให้เหมาะสมกับจำนวนผู้ใช้

ปัญหาของ PSU Webmail ในช่วง 9-15 สิงหาคม 2559 ที่ผ่านมา คือ เมื่อเริ่มเข้าสู่เวลาราชการ ในวันทำการ พบว่า มีการตอบสนองที่ช้า บางครั้งต้องรอถึง 15-20 วินาที หรือ ผู้ใช้บางท่านแจ้งว่า Timeout ไปเลย หรือไม่ก็ใช้งานไปสักพัก ถูกดีดกลับมาหน้า Login ใหม่

แต่เมื่อพ้นเวลาราชการ พบว่าการตอบสนองก็เร็วขึ้นดังเดิม รวมถึงในช่วงวันหยุดก็เร็วอย่างที่ควรเป็น

ขอบคุณทาง NetAdmin ที่ทำระบบตรวจสอบไว้ที่หน้า Data Center เพื่อตรวจจับความเร็วในการตอบสนองบริการ PSU Webmail ด้วย SmokePing ผลที่ได้เป็นดังภาพ

จะเห็นว่า มีความหน่วงในการตอบสนอง เฉพาะในวันเวลาราชการเท่านั้น … ทำไม ???

ทำการตรวจสอบด้วยคำสั่ง

ps aux |grep apache| wc -l

เพื่อดูว่า มีจำนวน Apache อยู่กี่ Process พบว่า ในช่วงเวลาที่ระบบหน่วง มี Process เกือบคงที่ที่ 150 แต่ในช่วงที่ระบบทำงานได้เร็ว มีจำนวนประมาณ 50 process

จากการศึกษา พบว่า Apache2 ที่ใช้ MPM Prefork นั้น จะจำกัดค่า MaxRequestWorkers ไว้ โดยหากไม่กำหนดค่าใดๆจะตั้งไว้ที่ 256 แต่เมื่อตรวจสอบในไฟล์

/etc/apache2/mods-enabled/mpm_prefork.conf

พบว่า

<IfModule mpm_prefork_module>
StartServers 5
MinSpareServers 5
MaxSpareServers 10
MaxRequestWorkers 150
MaxConnectionsPerChild 0
</IfModule>

ทำให้เพดานของจำนวน Process ไปจำกัดที่ 150 ดังที่ตรวจสอบเบื้องต้น เมื่อมีผู้ใช้มากขึ้นกว่าเดิม จึงทำให้ Process ไม่เพียงพอต่อความต้องการ เป็นผลให้เกิดการหน่วงขึ้น

จึงทำการแก้ไข MaxRequestWorkers เป็น 256 แล้ว Restart Apache

ผลทำให้ จำนวน Apache Process ขึ้นไปถึง 200 Process และการตอบสนองเร็วขึ้นตามที่ควรเป็นดังภาพ (หลังเวลา 14:45)

ทั้งนี้ การกำหนดจำนวน MaxRequestWorkers นั้น ต้องสัมพันธ์กับ RAM ของ Server ด้วย โดยมีสูตรคร่าวๆ คือ จำนวน RAM ในหน่วย MB หารด้วยขนาดของ Apache Process โดยเฉลี่ย

เช่น

มี RAM 4GB = 4 x 1024 = 4096

ขนาดเฉลี่ย Apache Process = 20

ดังนั้น MaxRequestWorkers = 4096/20 = 204

แต่จริงๆแล้ว ควรเผื่อ Memory ไว้ให้ OS และอื่นๆด้วย (อาจจะไม่เต็ม 4096) หากขยับค่า MaxRequestWorkers แล้วยังพบว่า จำนวน Process ยังขึ้นไปเต็มเพดานอยู่ ควรพิจารณาเพิ่ม Memory ด้วย

ประมาณนี้ครับ

UPDATE:

ผลการปรับแก้ไข ทำให้ เวลาในการตอบสนอง จากที่หน่วง 10 วินาที เหลือ เพียง 50 มิลลิวินาที ดังภาพ

August 15, 2016
การเชื่อมต่อ Thunderbird กับ Google Mail (ทั้ง Gmail และ Google Apps)

ในอดีต Thunderbird และ Mail Client อื่นๆสามารถติดต่อกับ Google Mail ได้โดยตั้งค่า Mail Server ให้ถูกต้อง และ username/password ก็สามารถใช้งานได้ แต่ในปัจจุบัน Google หันไปใช้ระบบ OAuth 2.0 ซึ่งการ Authentication หรือการใส่ username/password ต้องทำที่ Google เท่านั้น รวมถึงการทำ 2-Step Verification ด้วย (การใส่ One-Time Password นอกเหนือจาก username/password เป็นต้น) ทำให้ Thunderbird และ Mail Client ที่ยังไม่รองรับ OAuth 2.0 ไม่สามารถใช้งานได้

แต่ทาง Google Mail ยังเปิดให้สามารถใช้งานได้ โดยแบ่งเป็น 2 กรณีคือ ใช้หรือไม่ใช้ 2-Step Verification โดยตรวจสอบได้จาก

0. วิธีตรวจสอบว่าใช้งาน 2-Step Verification หรือไม่ โดยการไปที่ https://myaccount.google.com/security
หากไม่เปิดใช้ 2-Step Verification จะได้หน้าตาอย่างนี้

หากเปิดใช้ 2-Step Verification จะได้หน้าตาอย่างนี้

1. ผู้ใช้ที่ไม่ได้เปิดใช้งาน 2-Step Verification ให้ไปที่ https://myaccount.google.com/security#connectedapps
ภายใต้หัวข้อ Allow less secure apps ให้เปิดใช้งาน ดังภาพ

2. ผู้ใช้ที่เปิดใช้งาน 2-Step Verification ให้ไปที่ https://security.google.com/settings/security/apppasswords
แล้วเลือก Mail และ Windows Computer แล้วคลิก Generate ดังภาพ

จะได้ Password ที่ใช้ครั้งเดียวทิ้ง (ไม่ต้องไปจำ) ดังภาพ

หากวันหลังต้องการเลิกใช้ ก็กดปุ่ม Revoke ภายหลังได้

จากนั้น เปิดให้ Google Account ใช้งาน IMAP ได้ โดยไปที่ https://mail.google.com/mail/u/0/#settings/fwdandpop
แล้วคลิก Enable IMAP ดังภาพ

แล้วคลิก Save Change ด้านล่าง

สุดท้าย ที่ Thunderbird ให้ตั้งค่า

Password: สำหรับคนที่ไม่ใช้ 2-Step Verification ให้ใส่ Password ของ Google Account เดิมลงไป ส่วนคนที่ใช้ 2-Step Verification ให้เอา Password ที่ได้มาใหม่ใส่ลงไปแทน
Incoming IMAP เป็น imap.gmail.com และ SSL เป็น SSL/TLS
Outgoing SMTP เป็น smtp.gmail.com และ SSL เป็น SSL/TLS
อย่าลืม ใส่ username ให้มี @gmail.com หรือ @psu.ac.th ในกรณีใช้ PSU GAFE ด้วย
แล้วคลิกปุ่ม Done ดังภาพ

เท่านี้ก็สามารถใช้งาน Google Mail จาก Thunderbird ได้แล้ว

August 8, 2016
เทคนิคการวัดความเร็วในการตอบอีเมลลูกค้า

ถ้ามี KPI ที่ต้องทำให้สำเร็จคือ “ร้อยละของปัญหาที่ตอบกลับลูกค้าภายใน 2 วันทำการ”
แล้ว … ช่องทางที่รับปัญหาจากลูกค้าคือ ทางอีเมล (ในที่นี้เป็นบริการอีเมลบนระบบของ Google Mail หรือ Gmail)
โดยการตอบกลับ คือ การ Reply กลับไปหาลูกค้า
เวลาที่นับคือ นับตั้งแต่เวลาที่อีเมลเข้ามาถึง จนกระทั่งมีการตอบกลับไปหาลูกค้าทางอีเมลฉบับแรก

สำหรับคนที่ใช้ Google Mail หรือ Gmail อยู่ สามารถใช้ Google Sheets ทำรายงานได้ ตามขั้นตอนต่อไปนี้
1. ไปที่ drive.google.com (ให้ Login ด้วย Account ที่ต้องการด้วย)
2. สร้าง Google Sheets แล้วตั้งชื่อตามต้องการ เช่น Report
3. ไปที่เมนู Tools > Script Editor

4. ตั้งชื่อ Project ว่า report แล้ววางโค๊ดต่อไปนี้ลงไป

function reportResponseTime() {
// ถ้าจะทำรายงานทั้ง Inbox ให้ uncomment บรรทัดต่อไปแทน
//var threads = GmailApp.getInboxThreads();

// ถ้าจะทำรายงานเฉพาะ Lable ที่เตรียมไว้ ในที่นี้ใช้ Label “support-psuemail”
var threads = GmailApp.search(‘label:support-psuemail ‘);

for (var i = 0; i < threads.length; i++) { // วนลูปแต่ละ Thread
if (threads[i].getMessageCount() > 1) { // สนใจเฉพาะ Thread ที่มีการตอบกลับเท่านั้น
var messages = threads[i].getMessages(); // Subject ของอีเมล
var d1= messages[0].getDate().getTime(); // เวลาที่อีเมลเข้ามา
var d2= messages[1].getDate().getTime(); // เวลาที่ตอบกลับฉบับแรก
var diff = (d2-d1)/(1000*60*60); // ระยะเวลาหน่วยเป็น ชั่วโมง

// เขียนต่อท้าย Sheet ที่กำลังใช้งาน
SpreadsheetApp.getActiveSheet().appendRow([messages[0].getSubject(), messages[0].getDate(), messages[1].getDate(), diff])
}
}
}

5. คลิก Run > reportResponseTime
(หากมีหน้าจอ Consense ต่างๆขึ้นมาให้ Allow ไป)
6. ผลจะปรากฏใน Sheet ที่เปิดไว้

7. จากนั้นสามารถเอาผลไปคำนวนต่อ เช่น ร้อยละของอีเมลที่ตอบสนองภายใน 48 ชั่วโมงหรือ 2 วัน เป็นต้น และสามารถตอบคำถามได้ว่า ทำไมบางฉบับใช้เวลาเกิน 48 ชั่วโมง (อาจจะเป็นเพราะติดเสาร์อาทิตย์เป็นต้น)

*** กรุณาอ้างอิงด้วยนะครับ หากนำไปเผยแพร่ต่อ ***

August 4, 2016
วิธีตรวจสอบเว็บไซต์ที่โดน Hack #18

ได้รับแจ้งจาก ThaiCERT ว่ามีเว็บไซต์ภายในโดเมนของมหาวิทยาลัย เผยแพร่ Code อันตราย ดังต่อไปนี้

จึงเข้าทำการตรวจสอบในเครื่องเว็บเซิร์ฟเวอร์ดังกล่าว พบการวางไฟล์ Backdoor ไว้ดังที่อธิบายใน วิธีตรวจสอบเว็บไซต์ที่โดน Hack #17 แล้ว

แต่ที่เห็นผิดปรกติ ก็เป็นใน access.log ของ Apache ซึ่งพบว่า มีการเรียกใช้ xmlrpc.php เป็นจำนวนมาก ดังภาพ

จากการตรวจสอบ พบว่า xmlrpc.php เป็นช่องทางให้สามารถเรียกใช้ Function ต่างๆผ่านทาง HTTP และเป็นช่องทางให้ App ต่างๆสามารถติดต่อกับ WordPress ได้ แต่ก็เป็นช่องทางให้เกิดการเดารหัสผ่านจำนวนมากได้เช่นกัน (Brute Force Attack) โดยสามารถทดลอง ส่ง XML ที่มีโครงสร้าตามที่ API กำหนด เช่น wp.getUsersBlogs [1][2][3] สามารถดูจำนวน Blog ที่ User คนนั้นๆเขียนขึ้นมา แต่ ต้องระบุ username/password ซึ่งตรงนี้จะเป็นส่วนที่ทำให้เกิดการ Brute Force ได้ ด้วยคำสั่งต่อไปนี้ เป็นการเดารหัสผ่านไปยัง http://localhost/blog/xmlrpc.php

echo "<methodCall><methodName>wp.getUsersBlogs</methodName><params><param><value> <string>admin</string></value></param> <param><value><string>password</string></value></param></params></methodCall>" | POST http://localhost/blog/xmlrpc.php

หากสำเร็จ จะได้คำตอบมาอย่างนี้

หากเป็น WordPress รุ่นต่ำกว่า 4.0 เปิดให้ใช้ system.multicall ซึ่งทำให้สามารถเดารหัสผ่านจำนวนมาก ใน 1 Request ทำให้ระบบตรวจจับได้ยาก ดังนั้น หากไม่จำเป็นต้องใช้ xmlrpc.php ก็สมควรปิดการใช้งานที่ระดับ Apache โดยสร้างไฟล์ /etc/apache2/conf-enabled/xmlrpc.conf มีข้อมูลเป็น

<FileMatch "xmlrpc\.php$"> Order Deny,Allow Deny from All </FileMatch>

จากนั้น Restart Apache ก็สามารถปิดการทำงานได้
Reference
[1] http://www.hackingsec.in/2014/08/wordpress-xml-rpc-brute-force-attack.html#
[2] http://blog.dewhurstsecurity.com/2012/12/11/introduction-to-the-wordpress-xml-rpc-api.html
[3] https://codex.wordpress.org/XML-RPC_WordPress_API

August 1, 2016
วิธีตรวจสอบเว็บไซต์ที่โดน Hack #17

ปัจจุบันพบว่า รูปแบบของ Backdoor เปลี่ยนไป จากเดิมเป็น Base64 ซึ่งสามารถตรวจจับได้จาก Pattern ของ eval และ base64_decode ไปเป็น การใช้ eval ร่วมกับการใช้เทคนิคที่เรียกว่า Obfuscate หรือ การทำให้ PHP Code ปรกติ แปลงไปเป็นรูปแบบที่ซับซ้อนยิ่งขึ้น ทำให้การตรวจสอบด้วยเทคนิคเดิมไม่เจอ

จาก วิธีตรวจสอบเว็บไซต์ที่โดน Hack #2 แสดงให้เห็นรูปแบบเดิม ดังภาพ

จะเปลี่ยนมาเป็นแบบนี้

ดังนั้น อาจจะต้องปรับเปลี่ยนคำสั่งในการค้นหาเป็น

find /var/www -name "*.php" -user www-data -type f | xargs grep GLOBAL

แต่ก็พบว่า มีการซ่อน base64_decode ในรูปแบบนี้ก็มี

ถึงแม้จะเลี่ยงการใช้ base64_decode ตรงๆแต่ก็ยังต้องใช้ eval อยู่ดี ดังนั้น จึงต้องใช้คำสั่งต่อไปนี้ในการค้นหา

find /var/www -name "*.php" -user www-data -type f | xargs grep eval > eval.txt

ซึ่งอาจจะได้ไฟล์มาจำนวนมาก ทั้งทีใช่และไม่ใช่ Backdoor เก็บไว้ในไฟล์ eval.txt ดังภาพ

จึงต้องใช้วิธี แก้ไขไฟล์ eval.txt ดังกล่าว โดยลบบรรทัดที่ไม่ใช่ Backdoor ออก ให้เหลือแต่บรรทัดที่น่าสงสัยว่าจะเป็น Backdoor ไว้ แล้ว Save จากนั้นใช้คำสั่งต่อไปนี้เพื่อเก็บไฟล์ทั้งหมดไว้ก่อน ในไฟล์ suspect.tar.gz

cut -d: -f1 eval.txt | xargs tar -zcvf suspect.tar.gz

จากนั้น ทำ List ของไฟล์ที่ต้องเข้าตรวจสอบจริงๆ เก็บในไฟล์ชื่อ eval2.txt ด้วยคำสั่ง

cut -d: -f1 eval.txt > eval2.txt

แล้วจึงแก้ไขไฟล์ หรือ ลบทิ้งต่อไป

July 29, 2016
Spam 2016-07-05

หากท่านได้รับ Email ลักษณะเช่นนี้

เมื่อคลิก Link อาจจะได้หน้าตาอย่างนี้

นี่เป็น Email หลอกลวงครับ

July 5, 2016
วิธีทำให้อีเมลของ psu.ac.th ไม่ไปอยู่ใน Spam ของ Gmail
ปัญหา: ผู้ใช้แจ้งว่าอีเมลจาก PSU ไม่ว่าจะเป็นส่วนบุคคลหรือ จาก group mail มักจะหลุดไปอยู่ใน Spam ของ Gmail

วิธีการแก้ไข:
1. ในช่อง Search ของ Gmail จะมี Search Options ให้คลิกตามภาพ
2. ในช่อง From ใส่คำว่า psu.ac.th แล้วคลิก Create filter with this search

3. คลิก Never send it to Spam แล้วคลิก Create Filter
June 23, 2016
วิธีการเปิด Audit Log ของ Windows 2012 เพื่อให้บันทึกการเปลี่ยนแปลงเกี่ยวกับ Account Management ต่างๆ
บน Microsoft Windows 2012 โดยปรกติจะไม่ทำการบันทึกการเปลี่ยนแปลงต่างๆเกี่ยวกับ Account ขั้นตอนต่อไปนี้จะทำให้เกิดการบันทึกใน Event Log เพื่อให้ Administrator ทราบว่า ใคร เปลี่ยนแปลงอะไร เมื่อไหร่
1. ไปที่ Start Menu ค้นหา Group Policy Management
2. เลือก
  Computer Configuration
  Policies
  Windows Settings
  Security Settings
  Local Policies
  Audit Policy
  จากนั้น Double Click “Audit account management”
3. คลิกที่
  Define these policy settings
  และเลือก Success
  แล้วคลิกปุ่ม OK
4. จะได้ผลดังนี้
5. เมื่อเปิด Event Viewer > Security Log จะได้ผลดังนี้ เมื่อมีการเปลี่ยนแปลงเกี่ยวกับ Account จะเกิด Task Category “User Account Management” มี Event ID 4738 ดังภาพ
6. จะเห็นรายละเอียดว่า ใคร แก้ไข Account Name ใด เมื่อไหร่
7. และแก้ไข Attribute ใด เป็นอะไร
หวังว่าจะเป็นประโยชน์ครับ

Reference:
1. https://technet.microsoft.com/en-us/library/cc731607(v=ws.10).aspx
2. https://support.microsoft.com/en-us/kb/977519
June 3, 2016
Case Study: ภัยจากสำเนาบัตรประชาชน Social Network ไปจนถึงการตั้งรหัสผ่านของโลก IT
ก่อนอื่นขอออกตัวว่า บทความนี้มีจุดประสงค์เพื่อตระหนักถึงความสำคัญของการเก็บรักษาความลับของตนเอง โดยเฉพาะอย่างยิ่งสำเนาบัตรประชาชนของทุกท่าน อาจจะนำไปสู่การฟ้องร้องได้ อย่างที่เกิดขึ้นกับเพื่อนผมครับ

เรื่องมีอยู่ว่า … นางสาว A อยู่มาวันหนึ่ง ก็ได้รับหมายเรียกจากตำรวจ ว่ามีคนแจ้งความว่า
1. ทำการส่ง SMS ไปด่าว่า นางสาว B จึงแจ้งความหมิ่นประมาท (A กับ B ไม่รู้จักกันเลย)
2. ใช้ Facebook ที่มีชื่อจริง นามสกุลจริงของนางสาว A เข้าไปป่วน Facebook นางสาว B สร้างความเสื่อมเสียต่อการงานของนางสาว B
นางสาว A จึงไปตามหมายเรียก พร้อมแสดงความบริสุทธิ์ใจ จากนั้น ได้เริ่มทำการสืบสวน พบว่า
1. ที่นางสาว B แจ้งความนางสาว A เพราะว่า เอาเลขหมายโทรศัพท์ที่ส่ง SMS มานั้นไปตรวจสอบ พบว่าเป็นของ Operator รายหนึ่ง จึงให้ทราบเลขที่บัตรประชาชน และตำรวจเอาตรวจสอบในทะเบียนราษฏร์ พบเป็นชื่อ นามสกุล ของนางสาว A
2. ทาง Operator ที่ให้บริการ SMS ที่อ้างว่ามาจากนางสาว A แจ้งให้ทราบว่า ได้มีการนำ “หมายเลขบัตรประชาชน” ของนางสาว A ไปเปิดบริการ “SIM เติมเงิน” ผ่านบริการที่เรียกว่า “2 แชะ” โดยทางผู้รับลงทะเบียน ไม่ได้ระบุชื่อ นามสกุลของผู้ลงทะเบียน เพียงแต่ระบุว่า เป็น “เพศชาย” และเป็นการลงทะเบียนจากคนละจังหวัดกับนางสาว A ด้วย (แล้วทำไมยังลงทะเบียนได้ งงจัง)
3. Facebook ของ นางสาว A จริงๆนั้น แทบไม่ได้ใช้งาน มีไว้แค่ให้คนรู้จักติดต่อทักเข้ามาเล็กๆน้อยๆ จากการตรวจสอบเบื้องต้น ไม่พบประวัติการเข้าไป Comment ใน Facebook ของนางสาว B แต่ประการใด
ปัญหาอยู่ที่ว่า
1. จากการสอบถาม พบว่า นางสาว A ตั้งรหัสผ่านของ Facebook แบบง่ายมาก โดยใช้ “ชื่อภาษาอังกฤษ และวันเดือนปีเกิด” เป็นรหัสผ่าน เช่น somying01122520 อะไรทำนองนั้น ตรงนี้ไม่แน่ใจว่า ถ้าไปรู้ email address ของนางสาว A ที่ใช้เปิด Facebook ก็อาจจะนำไปใช้ทดสอบ Login ได้ก็เป็นไปได้
2. หรือเป็นไปได้ว่า ผู้ร้ายที่นำสำเนาบัตรประชาชนของนางสาว A ไปเปิดเบอร์ คงจะค้นหาใน Facebook ด้วยชื่อนามสกุลจริง ตามในบัตร แล้วพบ Profile แล้วเห็นข้อมูลที่เปิด Public จึง “อาจจะ” สร้าง Facebook อีกอันเลียนแบบขึ้นมา โดยใช้ชื่อและนามสกุลของนางสาว A แล้วเข้าไปใน Facebook ของ B เพื่อป่วนก็เป็นไปได้
3. และเป็นไปได้ว่า เคยเซ็นต์สำเนาบัตรประชาชน ไม่ได้ระบุ “จุดประสงค์” การใช้งาน กล่าวคือ เซ็นแค่ สำเนาถูกต้อง และเซ็นต์ชื่อ แล้วเกิดหลุดไป ทำให้เกิดการสวมสิทธิ์จดทะเบียน SIM ดังกล่าวได้
เรื่องนี้สอนให้รู้ว่า
1. เซ็นสำเนาบัตรประชาชนทุกครั้ง อย่าลืมเขียนทับกำกับไปเลยว่า ใช้เพื่อจุดประสงค์อะไร จะได้ไม่สามารถนำไปใช้ทำอย่างอื่นได้
2. เลขที่บัตรประชาชนมีความสำคัญ เป็นการระบุตัวตนได้จริง ควรเก็บเป็นความลับ หากใครรู้ และระบบจดทะเบียนที่อาจจะไม่รัดกุมพอ อาจจะนำไปสู่เหตุการณ์ดังที่กล่าวมาได้
3. อย่าตั้งรหัสผ่านที่มีข้อมูลที่อยู่ในบัตรประชาชนเด็ดขาด อย่างกรณีดังกล่าว ใช้ชื่อ และ วันเดือนปีเกิด เสี่ยงมาก
4. ข้อมูลส่วนตัวใน Social Media ควรปิดเป็นความลับ เปิดเผยเฉพาะ Friends หรือไม่ก็ไม่ควรเปิดเผยเลยยิ่งดี
หวังว่าจะเป็นประโยชน์ครับ
May 16, 2016