วิทยากร: ตลอดหลักสูตร
เราได้เรียนรู้หลายวิธีเพื่อค้นหาจุดบกพร่องและช่องโหว่ในซอฟต์แวร์และโครงสร้างพื้นฐานประเภทต่างๆ
โดยปกติ เมื่อสิ้นสุดช่วงเพนเทสต์
คุณจะต้องแจ้งให้ลูกค้าทราบถึงช่องโหว่ทั้งหมดที่คุณพบหรือสิ่งที่ค้นพบทั้งหมด ซึ่งทำได้โดยใช้รายงานที่เพิกถอน
โดยพื้นฐานแล้วสิ่งที่เราหมายถึงโดยรายงานที่ถูกระงับ
เป็นเพียงเอกสารที่รวมทุกสิ่งที่คุณพบผ่านการมีส่วนร่วมของคุณ เพื่อให้ลูกค้าหรือผู้ดูแลระบบสามารถดำเนินการแก้ไขจุดอ่อนและจุดอ่อนทั้งหมดที่คุณพบได้
รายงานเหล่านี้มักถูกอ่านโดยผู้บริหารบ่อยครั้ง
ดังนั้น คุณจะต้องพิจารณาด้วย
ดังนั้นรายงานที่ดีควรจะง่ายพอ
แต่ก็เข้าใจได้ง่ายเช่นกัน
ตอนนี้ ถ้าคุณทำงานเป็นเพนเทสเตอร์
บริษัทที่คุณทำงานด้วยอาจมีแม่แบบและมาตรฐานของตนเองที่คุณต้องปฏิบัติตามเมื่อเขียนรายงาน
และในหลายกรณี คุณจะไม่ทำอย่างนั้นด้วยซ้ำ
คุณเพียงแค่ส่งต่อสิ่งที่ค้นพบของคุณไปยังสมาชิกคนอื่นในทีมของคุณเอง
และพวกเขาจะกรอกข้อมูลในช่องว่างให้ถูกต้องในรายงาน
ดังนั้น คุณอาจไม่จำเป็นต้องเขียนใหม่ทั้งหมด
และในหลายกรณี คุณจะไม่แม้แต่จะเขียนรายงานจริงที่ลูกค้าเห็นด้วยซ้ำ
จากที่กล่าวมา ฉันยังต้องการแสดงให้คุณเห็นถึงวิธีการดำเนินการนี้
เพียงเพื่อให้คุณได้ทราบว่ารายงานเพนเทสต์หน้าตาเป็นอย่างไร
อย่างแรกเลย ก่อนที่ฉันจะให้คุณดูตัวอย่างที่ฉันมี
ฉันจะรวมที่เก็บนี้ ซึ่งโดยพื้นฐานแล้วจะมีรายงานเพนเทสจำนวนมาก
ดังนั้น คุณจึงสามารถมองผ่านสิ่งเหล่านี้เพื่อเป็นแรงบันดาลใจ
และเพียงเพื่อดูสไตล์ต่างๆ ที่บริษัทต่างๆ
ปฏิบัติตามเมื่อทำรายงานที่ผ่านการทดสอบแล้ว
ดังนั้น คุณสามารถคลิกที่รายการใดๆ เหล่านี้และคุณจะพบรายงาน
และคุณสามารถเรียนรู้วิธีที่บริษัทเฉพาะนี้เขียนรายงานของพวกเขา และบางทีคุณอาจพบสิ่งที่คุณชอบที่จะเริ่มต้นรวมไว้ในรายงานของคุณเอง
.
ฉันจะรวมสิ่งนี้ไว้ในแหล่งข้อมูลของการบรรยายเพื่อให้คุณกลับมาหาแรงบันดาลใจได้
แต่สิ่งที่ผมอยากทำจริงๆ
คือ แนะนำคุณผ่านตัวอย่างรายงานที่เราใช้ใน
ZSecurity เพื่อให้คุณได้ทราบถึงส่วนหลักๆ ที่รายงานส่วนใหญ่มี
ฉันจะรวมสิ่งนี้ไว้ในแหล่งข้อมูลด้วย ดังนั้นอย่าลังเลที่จะแก้ไขและใช้งาน
หรือนำองค์ประกอบบางอย่างของมันไปใช้หากต้องการ
ดังนั้นคุณจะสังเกตได้จากคลังข้อมูลในที่นี้
แต่ละบริษัทมีรูปแบบการเขียนรายงานเป็นของตัวเอง
แต่โดยทั่วไปแล้ว จะมีส่วนหลักสองสามส่วนที่คุณพบในทุกรายงานเสมอ
เริ่มจากหน้าแรกตรงนี้
เรามีหน้าปก
อีกครั้ง คุณสามารถขายสิ่งนี้ได้ตามต้องการ
โดยปกติแล้ว คุณจะมีโลโก้บริษัท คุณมีชื่องาน จากนั้นคุณก็จะมีวันที่ของรายงานและเวอร์ชัน ซึ่งสำคัญมาก
แล้ว เรามีบริษัท ข้อมูลบริษัทของเรา ดังนั้นรายงานนี้เขียนโดยเรา
นี่คือข้อมูลบริษัทของเรา
แล้วคุณอยู่ในฟิลด์สำหรับ คุณมีบริษัทที่คุณเขียนรายงานนี้ให้
ดังนั้น คุณจะมีชื่อบริษัท
คุณจะมีรหัสเฉพาะสำหรับบริษัทนี้
นี่คือรหัสที่คุณระบุบริษัทนี้ภายในบันทึกของคุณเอง
อีกครั้ง นี่อาจไม่ใช่สิ่งที่คุณจะทำด้วยตัวเอง
คุณจะได้รับ ID นี้จากบริษัทของคุณเอง
แล้วเราก็มีข้อมูลการติดต่อของทั้งสองบริษัท
คุณจะเห็นได้ว่าในบริษัทนี้ เรามี Pentaster
1 และ Pentaster 2 พร้อมที่อยู่อีเมลของพวกเขา
เห็นได้ชัดว่านี่อาจเป็นรายชื่อที่ใหญ่กว่าสำหรับทีมทั้งหมดที่กำลังทำการทดสอบ และคล้ายกับบริษัทที่คุณทำการทดสอบ
สำหรับ อีกครั้ง คุณมีชื่อ ตำแหน่งในบริษัท
และข้อมูลติดต่อของพวกเขา
อีกครั้ง จำไว้เสมอว่า
คุณไม่จำเป็นต้องจัดรูปแบบหน้าแรกแบบนี้เสมอไป แต่จะมากหรือน้อย
โดยปกติในหน้าแรก คุณจะมีชื่อเรื่อง วันที่
เวอร์ชัน และข้อมูลติดต่อ นี่คือวิธีที่เราทำ แต่อีกครั้ง คุณสามารถทำมันได้ในแบบที่คุณต้องการ และคุณสามารถดึงแรงบันดาลใจจากแหล่งข้อมูลที่ฉันจะรวมไว้ที่นี่
ต่อไปเรามักจะมีสารบัญ
อีกครั้ง อย่างที่คุณเห็น
เรื่องง่ายๆ โดยปกติเราจะมีอยู่ในเอกสารประเภทใดก็ได้
ซึ่งจะช่วยให้คุณสำรวจเอกสารทั้งหมดนี้ได้
และอย่างที่บอก ในนี้
เราสามารถเห็นส่วนหลักของรายงานเพ็นเทส
ดังนั้นจึงเป็นเรื่องสำคัญมากที่จะต้องมีบทสรุปสำหรับผู้บริหาร
นี่คือบทสรุปของการมีส่วนร่วมทั้งหมดที่ออกแบบมาสำหรับคนที่ไม่ค่อยมีความรู้
ดังนั้นจึงควรให้แนวคิดเกี่ยวกับสิ่งที่คุณค้นพบโดยไม่ต้องลงลึกในรายละเอียดทางเทคนิคมากเกินไป
จากนั้น เรามีสรุปการมีส่วนร่วมซึ่งมีรายละเอียดเกี่ยวกับขอบเขต
ดังนั้นนี่คือสิ่งที่คุณทดสอบ
ส่วนใดของระบบที่คุณทดสอบ การจัดอันดับความเสี่ยงที่คุณใช้ และภาพรวมของทุกสิ่งที่คุณพบ
อีกครั้งที่เราไม่ได้เจาะลึกหรือพูดง่ายๆ
นี่เป็นเพียงบทสรุปของการสู้รบทั้งหมด
คุณจะเข้าใจสิ่งนี้ได้ดีขึ้นเมื่อฉันอ่านรายงาน
จากนั้นในส่วนรายละเอียดทางเทคนิค
นี่คือที่ที่คุณจะเจาะลึกทุกอย่างที่คุณพบ
ดังนั้นเราจึงมีส่วนสำหรับการค้นพบทุกครั้ง
อย่างที่คุณเห็น นี่เป็นเพียงตัวอย่างเท่านั้น
ฉันจึงค้นพบเพียงสามข้อ เรามีการฉีด
SQL การปลอมแปลงคำขอข้ามไซต์ CSRF และการเปิดเผยข้อมูล
ดังที่คุณเห็นในหัวข้อแรก
โดยพื้นฐานแล้ว เรามีเพียงบทสรุปของทุกสิ่งที่เราพบ
ในขณะที่ในรายละเอียดทางเทคนิค
เราจะแยกย่อยทุกการค้นพบ และเราจะพูดถึงวิธีที่เราพบมัน รายละเอียด วิธีการทำซ้ำ คุณจะต้องใส่ภาพหน้าจอถ้าทำได้ เพื่อให้ทีมเทคนิคสามารถเข้าใจถึงความร้ายแรงของช่องโหว่นี้และวิธีแก้ไข
คุณจะสังเกตเห็นว่าบริษัทอื่น ๆ จะรวมภาคผนวกไว้ในตอนท้าย
พวกเขาจะรวมคำแนะนำที่พวกเขาจะบอกคุณอย่างชัดเจนถึงวิธีแก้ไขช่องโหว่
อย่างที่ฉันบอกไป มันขึ้นอยู่กับบริษัทจริงๆ
ทุกบริษัทมีสไตล์เป็นของตัวเอง
และทุกบริษัทก็มีรูปแบบเป็นของตัวเอง
ที่ฉันกำลังแสดงให้คุณดูที่นี่เป็นเพียงตัวอย่างวิธีที่เราทำ
คุณสามารถดึงแรงบันดาลใจจากแหล่งข้อมูล
และในหลายกรณี คุณจะต้องทำตามเทมเพลตที่บริษัทของคุณมีเนื่องจากไม่มี
ต้องการให้คุณทำในแบบของคุณเอง
ไปที่หน้าถัดไป และคุณจะเห็นในหน้านี้
เรามีข้อมูลทางกฎหมาย
และนั่นเป็นเหตุผลที่ฉันบอกจริงๆ
ว่า คุณอาจจะไม่ทำสิ่งนี้ด้วยตัวเอง
คุณไม่จำเป็นต้องทำสิ่งนี้ด้วยตัวเอง
เพราะคุณจะมีบางส่วนของรายงานแบบนี้ คุณจะไม่ต้องแก้ไข และมันจะเป็น เขียนโดยทีมกฎหมายในบริษัทของคุณ
ดังนั้นพวกเขาจะรับผิดชอบทุกอย่างที่ควบคุมไม่ได้เพื่อให้แน่ใจว่าคุณจะไม่ถูกฟ้องร้องหากมีสิ่งใดผิดพลาด
จะมีเนื้อหาต่างๆ เช่น คำปฏิเสธความรับผิดชอบ GDPR ความเป็นส่วนตัว
เนื้อหาทางกฎหมาย และทุกสิ่งที่เราทำ
ไม่ค่อยรู้ดีนักอย่างที่นักเพนต์สเตอร์และนักกฎหมายมักเขียน
แล้วเราก็มีบันทึกการเปลี่ยนแปลงของเอกสาร
ดังนั้นทุกครั้งที่มีการเปลี่ยนแปลงในเอกสาร คุณจะเห็นว่า
เรามีวันที่ เรามีเวอร์ชัน และเรามีความคิดเห็น
ทำไมเราถึงทำการเปลี่ยนแปลงนี้
หรืออะไรที่สำคัญมากเกี่ยวกับการเปลี่ยนแปลงนี้?
ดังนั้นนี่คือรายงานเบื้องต้นเมื่อเราสร้างมันขึ้นมาในวันที่
1 มกราคม และในวันที่ 10 มกราคม เราได้สร้างเวอร์ชันที่สองซึ่งเราเสร็จสิ้นด้วย
Recon Stage
อีกครั้ง นี่เป็นเพียงตัวอย่าง
แต่เพื่อให้คุณมีแนวคิดว่าการเก็บบันทึกการเปลี่ยนแปลงของการเปลี่ยนแปลงทั้งหมดที่เอกสารนี้ดำเนินการนั้นสำคัญมาก
ไม่ใช่ทุกบริษัทที่ทำเช่นนั้น
แต่อีกครั้ง นั่นเป็นเพียงตัวเลือกของเราเองที่จะเพิ่มลงในรายงานของเรา
ฉันพูดแบบนี้ไปเรื่อยๆ เพื่อให้คุณได้แนวคิดว่าไม่มีกฎเกณฑ์ที่กำหนดไว้สำหรับการสร้างเอกสารประเภทนี้
คุณสามารถเพิ่มหรือลบอะไรก็ได้ที่คุณต้องการ
แต่ส่วนหลักจะเป็นส่วนทางกฎหมาย ข้อมูลสรุปสำหรับผู้บริหาร
และส่วนด้านเทคนิค ซึ่งจะเป็นส่วนหลักของรายงาน
ตอนนี้เรามีบทสรุปสำหรับผู้บริหารแล้ว และคุณสามารถอ่านข้อมูลนี้ได้
ไม่ควรยาวเกินไป ดังนั้นในความคิดของฉัน
มันต้องเป็นหน้าเดียว ไม่เกินสองหน้าถ้าคุณต้องการจริงๆ
และโดยพื้นฐานแล้วมันบอกว่า
เราได้รับคำสั่งให้ทดสอบระบบ X มันจะอธิบายว่าเอกสารนี้มีการจัดระเบียบอย่างไร
โดยที่ส่วนแรกมีรายละเอียดน้อยกว่า เพียงเพื่อให้คุณได้ทราบถึงความเสี่ยง จากนั้นส่วนที่สองจะมีรายละเอียดสำหรับ
บุคลากรทางเทคนิคเพื่อทำความเข้าใจความเสี่ยงเหล่านี้และแก้ไข
จากนั้นเราได้รับการจัดอันดับความเสี่ยง
ดังนั้นเราจึงถือว่ามีความเสี่ยงสูง
โดยพิจารณาจากช่องโหว่ที่เราพบ ซึ่งจะให้รายละเอียดเกี่ยวกับวิธีการที่เราปฏิบัติตาม
จากนั้น เรามีแผนภูมิอยู่ที่นี่
โปรดจำไว้ว่า ผู้บริหารอ่านส่วนนี้แล้ว
พวกเขาเป็นคนที่ไม่ค่อยมีเทคนิคมากนัก
และพวกเขาก็ไม่มีเวลามากเช่นกัน
เราจึงรวมกราฟไว้ที่นี่เพื่อแสดงจำนวนช่องโหว่ที่เราพบ
ดังนั้นเราจะเห็นได้ว่า เรามีช่องโหว่ 5 ช่องโหว่ที่สูง
เรามี 10 ช่องโหว่ที่ระดับปานกลาง และ 8 ช่องโหว่ที่ต่ำ
ดังนั้นสิ่งนี้จะช่วยให้พวกเขาเข้าใจถึงภัยคุกคามที่พวกเขาเผชิญเป็นอย่างดี
แล้วเราจะเข้าสู่บทสรุป
อีกครั้ง นี้จะยังคงถูกอ่านโดยผู้ที่มีเทคนิคน้อย
อย่างแรกเลย เรากำลังลงรายละเอียดขอบเขตเพื่อให้แน่ใจว่าเราบอกพวกเขาว่าเราทดสอบอะไร
แม้ว่าพวกเขาจะบอกเราแล้วว่าต้องทดสอบอะไร
เพียงเพื่อในกรณีที่ในอนาคตหากบางสิ่งถูกค้นพบนอกขอบเขตของเรา
และพวกเขากลับมาหาเรา เราสามารถพูดได้ว่า นี่อยู่นอกขอบเขต
เราไม่ได้ทดสอบสิ่งนี้
ต่อไป เราจะรวมการจัดอันดับความเสี่ยง
ดังนั้น คุณจะมีสิ่งนี้ในทุกเอกสารที่คุณต้องการให้ฉันแก้ไข
โดยพื้นฐานแล้วเราแค่บอกว่าเราจะจำแนกช่องโหว่บางอย่างเป็นต่ำ
ปานกลาง สูง หรือวิกฤตได้อย่างไร
และเรากำลังบอกว่า ในความเห็นของเรา
คุณควรจัดการกับช่องโหว่ที่ต่ำ ปานกลาง
สูง และวิกฤตอย่างไร
คุณสามารถเห็นจุดวิกฤตได้
เรากำลังบอกว่าคุณต้องแก้ไขทันที
ในขณะที่จุดต่ำ คุณต้องแก้ไขในรอบการอัปเดตถัดไป
นี่เป็นเพียงความคิดเห็นของเราเองเท่านั้น
ต่อไป เรามีภาพรวมผลการวิจัย
เรายังอยู่ในหัวข้อที่
1 นี้สำหรับผู้บริหาร เราไม่จำเป็นต้องเจาะลึกเกินไป
ดังนั้นเราจึงได้รับรหัสช่องโหว่
และคุณจะเห็นได้ว่า สำหรับช่องโหว่แรกนั้น มันสำคัญมาก
มันคือการฉีด SQL
และในหลายกรณี ในรายงานจำนวนมาก
พวกเขาจะหยุดพูดจริงๆ ว่าเป็นเพียงการฉีด SQL
เราชอบที่จะแสดงผลกระทบในส่วนนี้จริงๆ เพราะอย่างที่ฉันพูด
คนเหล่านี้ไม่ใช่ด้านเทคนิค ดังนั้นหากพวกเขาอ่านการแทรก SQL
พวกเขาอาจไม่รู้ว่าการฉีด SQL คืออะไร สิ่งที่พวกเขาสนใจคือผลกระทบของช่องโหว่นี้
อีกครั้ง พวกเขาไม่มีเวลามากนัก
ดังนั้นคุณต้องพูดให้ตรงประเด็น สิ่งที่เรากำลังทำคือเรากำลังบอกว่าเป็นการฉีด
SQL ที่อาจนำไปสู่การเข้าถึงฐานข้อมูลที่ได้รับอนุญาต
ดังนั้นตอนนี้พวกเขาจึงรู้ด้วยช่องโหว่นี้
แฮ็กเกอร์สามารถเข้าถึงฐานข้อมูลของตนได้
ซึ่งถือว่าค่อนข้างแย่
ช่องโหว่อีกประการหนึ่งที่เราพบคือระดับปานกลาง
และ CSRF อีกครั้ง รายงานจำนวนมากจะหยุดที่นี่ ไม่ได้อธิบายอะไรให้คนที่ไม่เชี่ยวชาญด้านเทคนิค
เรากำลังบอกว่าลูกค้าสามารถบังคับให้ส่งคำขอที่ไม่สำคัญบางอย่างได้
นั่นคือสาเหตุที่เป็นสื่อ ไม่ใช่คำขอที่ไม่สำคัญ แต่พวกเขาสามารถบังคับให้ส่งสิ่งของได้
แล้วเรามีช่องโหว่ต่ำหนึ่งจุดที่มีการเปิดเผยเวอร์ชัน
PHP ดังนั้นจึงไม่สำคัญมากเพราะไม่ใช่ช่องโหว่ที่แท้จริงที่สามารถใช้ประโยชน์เพื่อเข้าถึงหรือเปิดเผยข้อมูลผู้ใช้
แต่ข้อมูลนี้อาจเป็นประโยชน์สำหรับแฮกเกอร์ที่จะเชื่อมโยงกับ การโจมตีอื่น ๆ หรือค้นพบช่องโหว่สำหรับเวอร์ชัน PHP นี้โดยเฉพาะ และนั่นเป็นสาเหตุที่อนุญาต
นั่นคือสาเหตุที่ไม่จำเป็นต้องได้รับการดูแลอย่างเร่งด่วนเช่นเดียวกับช่องโหว่ที่สำคัญดังที่เรากล่าวไว้ข้างต้นในที่นี้
และโปรดอ่านข้อความในนี้ตามสบาย
คุณจะเห็นว่าโดยพื้นฐานแล้วส่วนใหญ่เป็นเพียงการขจัดข้อบกพร่องของเรา
และตรวจสอบให้แน่ใจว่าพวกเขาเข้าใจทุกอย่างที่อยู่ในรายงาน
และนั่นก็เป็นจุดสิ้นสุดของบทสรุป และตอนนี้เราก็เข้าสู่รายละเอียดทางเทคนิคแล้ว
ดังนั้น ในส่วนนี้ โดยพื้นฐานแล้ว เรามีส่วนย่อยสำหรับการค้นพบทุกๆ
อย่างที่เรามี และเรากำลังเจาะลึกลงไปในรายละเอียดของการค้นพบนี้
คุณจะเห็นได้ว่านี่คือการฉีด
SQL ที่เรากล่าวถึงก่อนหน้านี้ในการสรุป
แต่คราวนี้ เรากำลังให้ URL ที่มีช่องโหว่แก่พวกเขา
เรากำลังให้พารามิเตอร์ที่มีช่องโหว่แก่พวกเขา
เราให้การอ้างอิงถึงพวกเขาเพื่อทำความเข้าใจว่า
การฉีด SQL เกิดขึ้นในกรณีที่พวกเขาไม่เข้าใจ เรากำลังให้คำขอที่แน่นอนและการตอบสนองที่เราได้รับ ซึ่งทำให้เราพิจารณาว่าหน้าเฉพาะนี้มีความเสี่ยงที่จะถูกฉีด SQL
จากนั้นเราจะให้รายละเอียดเกี่ยวกับผลกระทบที่นี่
ไม่ใช่แค่บอกว่าพวกเขาสามารถเข้าถึงฐานข้อมูลได้
ดังนั้นเรากำลังบอกว่าพวกเขาสามารถเข้าถึงฐานข้อมูล พวกเขาสามารถดึงข้อมูล
เราเข้าถึงตารางของผู้ใช้ได้ ดังนั้นคุณ จะเจาะลึกรายละเอียดและคุณควรจะรวมภาพหน้าจอไว้ที่นี่หากคุณคิดว่าจะมีประโยชน์
ในส่วนการบรรเทาผลกระทบ
เราแค่ให้คำแนะนำสั้นๆ แก่พวกเขา
เช่นที่ฉันพูด บางบริษัทให้คำแนะนำโดยละเอียด ซึ่งขึ้นอยู่กับการมีส่วนร่วมด้วยเช่นกัน
ในตัวอย่างนี้ เราแค่พูดว่า ใช้ข้อความสั่งที่เตรียมไว้พร้อมข้อความค้นหาแบบกำหนดพารามิเตอร์
และเราให้การอ้างอิงถึงพวกเขาเพื่อเรียนรู้วิธีทำเช่นนั้นหรือเพื่อทำความเข้าใจวิธีการทำงาน
และนั่นก็ค่อนข้างมาก
ดังนั้นคุณจะพูดซ้ำกับทุกช่องโหว่ที่คุณพบ
ฉันจะปล่อยให้ที่เหลือว่างไว้เพราะนี่เป็นเพียงตัวอย่าง
แต่คุณก็เข้าใจแล้ว
ดังนั้นคุณจะมีส่วนย่อยสำหรับทุกสิ่งที่คุณค้นพบ
อธิบายทุกอย่างโดยละเอียดเพื่อทำความเข้าใจช่องโหว่
จากนั้นพวกเขาสามารถดำเนินการแก้ไขได้
ในตอนท้าย หลายบริษัทจะมีภาคผนวกและพวกเขาอาจมีส่วนคำแนะนำที่ใหญ่กว่า
อย่างที่ฉันพูด นี่คือรูปแบบการเขียนรายงานของเรา แต่แต่ละบริษัทมีสไตล์ของตนเอง
หากคุณชอบสิ่งนี้ อาจใช้เวลาในการอ่านรายงานตัวอย่างที่เรามีในที่เก็บนี้
เห็นได้ชัดว่าฉันจะรวมลิงก์สำหรับตัวอย่างของฉันและสำหรับตัวอย่างอื่นๆ
ในแหล่งข้อมูล เพื่อให้คุณสามารถอ่านได้ด้วยตนเองและได้แนวคิดว่ารายงานของ
Pentest เป็นอย่างไร
แต่อย่างที่ฉันบอก ในหลาย
ๆ กรณี คุณจะเพียงแค่กรอกตัวอย่างที่คล้ายกับที่เรามีอยู่
ดังนั้นคุณจะไม่ถูกขอให้คิดขึ้นมาใหม่เลย