Cyber 101 · บทที่ 9
เส้นทางสู่ระดับโปร: CTF ใบรับรอง และอาชีพ
จากผู้เรียนสู่มืออาชีพ: แผนที่เส้นทางทั้งเส้น
ถ้าคุณเดินทางมาถึงบทนี้ แปลว่าคุณผ่านพื้นฐานมาครบแล้ว ทั้งจริยธรรม เครือข่าย เว็บ ช่องโหว่ เครื่องมือ การเขียนโปรแกรมสายป้องกัน การเข้ารหัส และการทำ hardening บทสุดท้ายนี้ไม่ได้สอนเทคนิคใหม่ แต่จะช่วยตอบคำถามว่า "แล้วต่อจากนี้ไปทางไหน" คำตอบสั้น ๆ คือ ฝึกให้เยอะในสนามที่ถูกกฎหมาย สะสมหลักฐานความสามารถ แล้วค่อย ๆ ขยับเข้าสู่โจทย์จริงที่มีคนยินยอม ทั้งหมดนี้ทำได้โดยไม่ต้องแตะระบบของใครเลยแม้แต่ครั้งเดียว
ความจริงที่ต้องรู้ก่อนออกเดินทาง
วงการนี้ไม่มีทางลัดแบบ "เก่งใน 30 วัน" คนที่ไปได้ไกลคือคนที่ฝึกสม่ำเสมอเป็นปี ๆ และสนุกกับการเรียนรู้มากกว่าการอวด สิ่งที่ทำให้คุณได้งานไม่ใช่คำพูดว่าเก่ง แต่คือหลักฐานที่จับต้องได้ เช่น โจทย์ CTF ที่แก้ได้ บันทึกวิธีคิดที่เขียนไว้ดี ๆ หรือช่องโหว่ที่รายงานอย่างมีมารยาทผ่านโครงการที่เปิดรับ ที่สำคัญที่สุด ทุกก้าวบนเส้นทางนี้เดินได้อย่างสุจริตและถูกกฎหมาย ถ้าใครบอกให้คุณ "ลองยิงเว็บจริงดูสักหน่อยจะได้เก่งเร็ว" นั่นคือคำแนะนำที่ผิดทั้งด้านกฎหมายและด้านอาชีพ
ขั้นฝึกฝน
เก็บชั่วโมงบินในแพลตฟอร์มฝึกที่ออกแบบมาให้ลองได้อย่างถูกกฎหมาย ทำซ้ำจนพื้นฐานแน่น
ขั้นแข่งขัน
ลงแข่ง CTF เพื่อฝึกแก้โจทย์ภายใต้เวลา และเจอแนวคิดหลากหลายที่ห้องเรียนไม่มี
ขั้นโจทย์จริง
เข้าโครงการ bug bounty ที่มีขอบเขตชัดและได้รับอนุญาตอย่างเป็นทางการ ฝึกรายงานอย่างมืออาชีพ
⚠️ จริยธรรมและกฎหมาย: เส้นแบ่งที่ต้องท่องให้ขึ้นใจ
ทุกกิจกรรมในบทนี้ตั้งอยู่บนหลักเดิมของคอร์ส คือฝึกได้เฉพาะระบบที่เป็นของเรา หรือเป้าหมายที่เจ้าของอนุญาตเป็นลายลักษณ์อักษรพร้อมขอบเขตชัดเจน เช่น แล็บของเราเอง แพลตฟอร์มฝึกที่จัดเป้าให้ หรือโครงการ bug bounty ที่ประกาศขอบเขตไว้ การเข้าถึง สแกน หรือทดสอบระบบของผู้อื่นโดยไม่ได้รับอนุญาต แม้จะอ้างว่าหวังดีหรือแค่อยากฝึก ก็เข้าข่ายความผิดตาม พ.ร.บ.ว่าด้วยการกระทำผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ.2560 ซึ่งมีทั้งโทษปรับและจำคุก ข้อความนี้เป็นความรู้ทั่วไปเพื่อเตือนสติ ไม่ใช่คำแนะนำทางกฎหมาย เมื่อไม่แน่ใจว่าได้รับอนุญาตแล้วหรือยัง คำตอบที่ปลอดภัยเสมอคือ "อย่าเพิ่ง"
แพลตฟอร์มฝึกที่ถูกกฎหมาย: สนามซ้อมของเรา
ข่าวดีที่สุดสำหรับคนอยากฝึกคือ เราไม่จำเป็นต้องไปแตะระบบของใครเลย เพราะมีแพลตฟอร์มมากมายที่จงใจสร้างเป้าหมายที่มีช่องโหว่ขึ้นมาให้เราลองได้อย่างสบายใจและถูกกฎหมาย เป้าเหล่านี้อยู่ในสภาพแวดล้อมที่ควบคุมแล้ว การเล่นกับมันจึงไม่กระทบใครและไม่ผิดกฎหมาย นี่คือที่ที่คุณควรใช้เวลาส่วนใหญ่ในช่วงสร้างพื้นฐาน
OverTheWire (Bandit)
เกม wargame สำหรับฝึกคอมมานด์ไลน์ Linux ตั้งแต่ศูนย์ เหมาะเป็นก้าวแรกสุดก่อนไปเรื่องอื่น
PortSwigger Web Security Academy
ห้องเรียนช่องโหว่เว็บที่ละเอียดและฟรี มีทั้งทฤษฎีและแล็บให้ลองจริงในเป้าที่เขาจัดให้ เหมาะกับสายเว็บมาก
picoCTF
สนาม CTF สำหรับผู้เริ่มต้นโดยเฉพาะ มีโจทย์ไล่ระดับและเปิดให้เล่นย้อนหลังได้ตลอด เป็นจุดเริ่มที่อบอุ่นที่สุด
TryHackMe
เรียนเป็นเส้นทาง (learning path) มีคำใบ้และเครื่องพร้อมใช้ในเบราว์เซอร์ เหมาะกับคนที่อยากมีมือจับนำทีละขั้น
HackTheBox
สนามที่ท้าทายขึ้น เน้นให้แก้เครื่องเป้าหมายด้วยตัวเองแบบไม่มีคำใบ้มาก เหมาะเมื่อพื้นฐานเริ่มแน่นแล้ว
OWASP Juice Shop / DVWA
เว็บที่จงใจมีช่องโหว่ ติดตั้งบนเครื่องเราเองแล้วฝึกได้ไม่จำกัด เป็นแล็บส่วนตัวที่ควบคุมได้ทั้งหมด
🧪 ลองในแล็บของคุณ
เลือกหนึ่งแพลตฟอร์มให้ตรงกับระดับตอนนี้ของคุณ แล้วทำจริง
1. ถ้าเพิ่งเริ่ม เปิด OverTheWire Bandit แล้วไล่ทำจากด่านศูนย์ จดคำสั่งที่ได้เรียนรู้ลงสมุดของตัวเอง
2. ถ้าสนใจสายเว็บ สมัคร PortSwigger Web Security Academy แล้วทำแล็บหมวด SQL injection หรือ XSS ในเป้าที่เขาจัดให้ ทบทวนกับบทช่องโหว่เว็บที่เราเรียนมา
3. ถ้าอยากลองบรรยากาศ CTF เปิด picoCTF แล้วเลือกโจทย์ระดับง่ายสักสองสามข้อ
เป้าทั้งหมดนี้อยู่บนแพลตฟอร์มที่อนุญาตให้ลองได้อยู่แล้ว ไม่ต้องขออนุญาตเพิ่ม และไม่มีทางไปกระทบระบบของใครนอกเหนือจากที่เขาจัดไว้ให้
CTF คืออะไร และเริ่มอย่างไร
CTF ย่อมาจาก Capture The Flag เป็นการแข่งขันแก้โจทย์ด้านความปลอดภัย เป้าหมายคือหา "ธง" ซึ่งเป็นข้อความลับที่ซ่อนอยู่ในโจทย์ เมื่อหาเจอก็ส่งเพื่อรับคะแนน เสน่ห์ของ CTF คือทุกโจทย์อยู่ในสภาพแวดล้อมที่จัดเตรียมมาให้เล่นโดยเฉพาะ เราจึงได้ฝึกคิดแบบผู้โจมตีเพื่อเข้าใจกลไก โดยไม่ต้องไปแตะระบบจริงของใครเลย มันคือวิธีเรียนรู้ที่สนุกและปลอดภัยที่สุดอย่างหนึ่ง
Web
โจทย์เกี่ยวกับช่องโหว่เว็บ เช่น การจัดการ input หรือสิทธิ์ ต่อยอดตรงจากบทช่องโหว่เว็บที่เราเรียนมา
Crypto
โจทย์ถอดหรือวิเคราะห์การเข้ารหัสที่ตั้งใจทำให้อ่อน เพื่อเข้าใจว่าทำไมเราถึงไม่ควรเขียน crypto เอง
Forensics
สืบหาหลักฐานจากไฟล์ ภาพ หรือ log ฝึกสายตาแบบนักสืบดิจิทัล เชื่อมกับงาน blue team โดยตรง
Pwn (Binary)
วิเคราะห์โปรแกรมระดับหน่วยความจำ เป็นสายที่ลึกและต้องใช้พื้นฐานระบบมาก มักเริ่มทีหลัง
Reversing
แกะการทำงานของโปรแกรมที่คอมไพล์แล้ว เพื่อเข้าใจว่าข้างในทำอะไร ฝึกความอดทนและความช่างสังเกต
Misc / OSINT
โจทย์เบ็ดเตล็ดและการหาข้อมูลจากแหล่งเปิด สนุกและมักเป็นประตูให้มือใหม่เก็บคะแนนแรก
วิธีเริ่มแบบไม่ท้อ
เคล็ดลับของมือใหม่คือ อย่าเริ่มจากโจทย์ยาก เลือกงานแข่งหรือชุดโจทย์ที่ระบุว่าเหมาะกับผู้เริ่มต้น เช่น picoCTF แล้วตั้งเป้าแค่แก้ให้ได้วันละหนึ่งข้อ เมื่อแก้ได้หรือแก้ไม่ได้ก็ตาม ให้เขียน writeup คือบันทึกว่าเราคิดอย่างไร ลองอะไรไปบ้าง และสุดท้ายเฉลยคืออะไร การเขียน writeup ทำสองอย่างพร้อมกัน คือช่วยให้เราเข้าใจลึกขึ้น และค่อย ๆ กลายเป็นพอร์ตโฟลิโอที่พิสูจน์ความสามารถของเราได้จริง การเล่นเป็นทีมก็ช่วยได้มาก เพราะแต่ละคนถนัดคนละสาย
🧪 ลองในแล็บของคุณ
1. สมัคร picoCTF แล้วเลือกโจทย์หมวด General Skills หรือ Web ระดับง่ายมาหนึ่งข้อ
2. ตั้งเวลาให้ตัวเองลองด้วยตัวเองก่อนอย่างน้อยยี่สิบนาที ก่อนเปิดคำใบ้
3. ไม่ว่าจะแก้ได้หรือไม่ ให้เขียน writeup สั้น ๆ เก็บไว้ในโฟลเดอร์ของตัวเอง บันทึกสิ่งที่ได้เรียนรู้
ทุกอย่างเกิดขึ้นในสนามที่แพลตฟอร์มจัดให้ ไม่มีการแตะระบบภายนอกใด ๆ
Bug bounty และ responsible disclosure: โจทย์จริงที่ยินยอม
เมื่อพื้นฐานแน่นแล้ว หลายคนอยากลองกับระบบจริง คำตอบที่ถูกต้องไม่ใช่การแอบไปทดสอบเว็บที่เราชอบ แต่คือการเข้าโครงการ bug bounty ซึ่งเป็นข้อตกลงที่องค์กรเปิดออกมาบอกว่า "ยินดีให้ทดสอบภายในขอบเขตนี้ และถ้าเจอช่องโหว่แล้วรายงานอย่างถูกต้อง เรามีรางวัลให้" นี่คือสะพานที่ถูกกฎหมายและได้รับการยินยอมอย่างชัดเจน เชื่อมโลกของการฝึกกับโลกของงานจริงเข้าด้วยกัน
ขอบเขต (scope) คือหัวใจของความถูกต้อง
ทุกโครงการ bug bounty จะมีหน้าที่เรียกว่า policy หรือ program page ระบุชัดว่าโดเมนหรือแอปใดบ้างที่อยู่ในขอบเขตให้ทดสอบได้ (in scope) และอะไรที่ห้ามแตะ (out of scope) รวมถึงเทคนิคที่ห้ามใช้ เช่น การทดสอบที่อาจทำให้ระบบล่ม หรือการเข้าถึงข้อมูลผู้ใช้จริง หน้าที่แรกและสำคัญที่สุดของนักล่าช่องโหว่คือ อ่านและเคารพขอบเขตนี้อย่างเคร่งครัด การทดสอบนอกขอบเขต แม้จะอยู่ภายใต้ชื่อโครงการเดียวกัน ก็ถือว่าไม่ได้รับอนุญาตและอาจผิดกฎหมายทันที แพลตฟอร์มหลักที่รวบรวมโครงการเหล่านี้ไว้คือ HackerOne และ Bugcrowd
responsible disclosure: เจอแล้วทำอย่างไรให้ถูก
responsible disclosure หรือการเปิดเผยช่องโหว่อย่างรับผิดชอบ คือกระบวนการที่เมื่อพบช่องโหว่ เราจะแจ้งเจ้าของระบบเป็นการภายในก่อน ให้เวลาเขาแก้ไข แล้วจึงค่อยเปิดเผยต่อสาธารณะเมื่อเหมาะสม โดยตลอดกระบวนการ เราจะไม่ใช้ช่องโหว่นั้นทำอันตราย ไม่ขโมยหรือทำลายข้อมูล และไม่เรียกร้องเงินแบบข่มขู่ หลักคิดคือ เราพบปัญหาเพื่อช่วยให้เขาปลอดภัยขึ้น ไม่ใช่เพื่อฉวยโอกาส การรายงานที่ดีจะอธิบายว่าช่องโหว่คืออะไร ทำซ้ำได้อย่างไร และกระทบอะไร พร้อมข้อเสนอแนะการแก้ไข เขียนให้สุภาพ ชัดเจน และตรงประเด็น
🛡️ วิธีป้องกัน
มองจากฝั่งองค์กร การมีช่องทางรับรายงานช่องโหว่คือเกราะป้องกันชั้นดี เพราะทำให้คนที่หวังดีมีที่ให้แจ้งแทนที่จะเงียบหรือเผยแพร่มั่ว
• จัดทำนโยบายเปิดเผยช่องโหว่ (vulnerability disclosure policy) และหน้า security.txt ให้คนภายนอกรู้ว่าจะรายงานได้ทางไหน
• กำหนดขอบเขตและกติกาที่ชัดเจน พร้อมสัญญาว่าจะไม่ดำเนินคดีกับผู้ที่รายงานโดยสุจริตภายในขอบเขต (safe harbor)
• มีกระบวนการรับ ยืนยัน และแก้ไขที่รวดเร็ว พร้อมแจ้งผลกลับให้ผู้รายงาน
• เก็บสถิติช่องโหว่ที่ได้รับ เพื่อนำไปปรับปรุงกระบวนการพัฒนาให้ปลอดภัยตั้งแต่ต้นน้ำ
⚠️ จริยธรรมและกฎหมาย
bug bounty ปลอดภัยทางกฎหมายก็ต่อเมื่อเราอยู่ใน "ขอบเขตที่ประกาศไว้" เท่านั้น การอ้างว่า "เว็บนี้ไม่มีโครงการ แต่ฉันเจอช่องโหว่เลยอยากช่วย" แล้วลงมือทดสอบเอง ยังคงเข้าข่ายการเข้าถึงระบบโดยมิชอบตาม พ.ร.บ.คอมพิวเตอร์ เพราะไม่มีการยินยอมล่วงหน้า ถ้าอยากช่วยเว็บที่ไม่มีโครงการ ให้ติดต่อเจ้าของผ่านช่องทางทางการเพื่อขออนุญาตก่อน อย่าทดสอบก่อนแล้วค่อยแจ้ง และห้ามเรียกเงินแลกกับการปิดปากเรื่องช่องโหว่โดยเด็ดขาด เพราะนั่นเข้าข่ายข่มขู่กรรโชกซึ่งเป็นคนละเรื่องกับ responsible disclosure โดยสิ้นเชิง
ใบรับรองสายความปลอดภัย เหมาะกับใคร
ใบรับรองไม่ใช่ทุกอย่าง และไม่ใช่เงื่อนไขบังคับก่อนเริ่มเรียนรู้ แต่ในโลกการทำงานจริง มันช่วยสองอย่าง คือเป็นแผนที่การเรียนที่มีโครงสร้าง และเป็นภาษากลางที่ฝ่ายบุคคลใช้คัดกรอง หัวใจคือเลือกให้ตรงกับเป้าหมายอาชีพและระดับของตัวเอง ไม่ใช่สะสมให้ครบทุกใบ ค่อย ๆ ลงทุนตามจังหวะที่พร้อม และจำไว้ว่าประสบการณ์จริงกับพอร์ตโฟลิโอมักมีน้ำหนักไม่แพ้ใบรับรอง
CompTIA Security+
ใบพื้นฐานที่ครอบคลุมแนวคิดกว้าง เหมาะกับคนเพิ่งเริ่มต้นสายความปลอดภัยโดยรวม เป็นบันไดขั้นแรกที่นายจ้างหลายแห่งรู้จัก
eJPT
เน้นภาคปฏิบัติระดับเริ่มต้นสาย pentest ราคาเข้าถึงได้ เหมาะกับคนที่อยากพิสูจน์ว่าลงมือทำเป็น ไม่ใช่แค่ท่องทฤษฎี
OSCP
ใบภาคปฏิบัติที่ท้าทายและได้รับการยอมรับสูงในสาย offensive ต้องสอบแบบลงมือแก้เครื่องจริงในเวลาจำกัด เหมาะกับคนที่พื้นฐานแน่นและตั้งใจไปสาย pentest จริงจัง
CEH
เน้นความรู้เชิงกว้างเกี่ยวกับเทคนิคและเครื่องมือ องค์กรบางแห่งระบุเป็นคุณสมบัติ เหมาะกับคนที่ต้องการใบที่ตรงชื่อกับประกาศรับสมัครงาน
เลือกอย่างไรไม่ให้เสียเวลาและเงิน
ถ้าเพิ่งเริ่มและยังไม่แน่ใจว่าชอบสายไหน เริ่มที่ Security+ เพื่อปูภาพรวมก่อน ถ้ารู้ตัวว่าชอบการลงมือแก้โจทย์ ให้ลอง eJPT ที่เน้นปฏิบัติแต่ยังไม่โหดเกินไป เมื่อพร้อมและตั้งใจไปสาย pentest จริง ค่อยขยับสู่ OSCP ซึ่งใช้เวลาเตรียมตัวหลายเดือน ระหว่างทางอย่าลืมว่าความรู้ที่ใช้สอบ คือความรู้ชุดเดียวกับที่เราฝึกในแพลตฟอร์มถูกกฎหมายและ CTF อยู่แล้ว การฝึกกับการเตรียมสอบจึงเสริมกัน ไม่ใช่คนละเรื่อง
เส้นทางอาชีพ และการสร้างพอร์ตอย่างถูกกฎหมาย
คำว่า "ทำงานสายความปลอดภัย" ครอบคลุมหลายอาชีพที่ต่างกันมาก บางคนชอบเจาะเพื่อหาช่อง บางคนชอบเฝ้าและป้องกัน บางคนชอบออกแบบระบบให้แข็งแรงตั้งแต่ต้น การรู้จักแต่ละเส้นทางช่วยให้เราลงแรงฝึกได้ตรงจุด และไม่ว่าจะเลือกทางไหน สิ่งที่ทำให้คุณโดดเด่นคือพอร์ตโฟลิโอที่สร้างขึ้นอย่างสุจริตและถูกกฎหมาย
Penetration Tester
สาย red team ที่ทดสอบเจาะระบบตามสัญญาว่าจ้างที่มีขอบเขตชัด เพื่อรายงานช่องโหว่ให้ลูกค้าอุด ทำงานภายใต้การยินยอมเสมอ
Blue Team / SOC
สายเฝ้าระวังและตอบสนอง อ่าน log จับความผิดปกติ และรับมือเหตุการณ์ ต่อยอดตรงจากบท hardening ที่เราเรียนมา
Security Engineer
ออกแบบและสร้างระบบให้ปลอดภัยตั้งแต่ต้น ฝัง secure coding, security headers และ pipeline ที่ปลอดภัยเข้าไปในงานพัฒนา
DFIR
นิติวิทยาศาสตร์ดิจิทัลและการตอบสนองเหตุ สืบสวนหลังเกิดเหตุว่าเกิดอะไร อย่างไร และจะป้องกันซ้ำอย่างไร เชื่อมกับสาย forensics
พอร์ตโฟลิโอที่พูดแทนเราได้
สิ่งที่นายจ้างอยากเห็นไม่ใช่คำว่าเก่ง แต่คือหลักฐาน วิธีสร้างพอร์ตที่ปลอดภัยและน่าเชื่อถือมีหลายแบบ เช่น รวบรวม writeup ของโจทย์ CTF ที่เราแก้ได้ เขียนบล็อกอธิบายแนวคิดช่องโหว่ที่เราเข้าใจ ทำโปรเจกต์เครื่องมือสายป้องกันด้วยตัวเอง (เช่น ตัวตรวจความแข็งแรงรหัสผ่านหรือตัวอ่าน log จากบทเขียนโปรแกรม) มีส่วนร่วมในโครงการโอเพนซอร์ส หรือรายงานช่องโหว่ผ่านโครงการ bug bounty ที่ถูกต้อง ทุกชิ้นล้วนเกิดจากการทำงานในสนามที่ได้รับอนุญาต จึงเป็นพอร์ตที่ยิ่งโชว์ยิ่งได้เปรียบ ไม่ใช่ระเบิดเวลาที่ซ่อนอยู่
🧪 ลองในแล็บของคุณ
1. สร้างที่เก็บพอร์ตของตัวเอง เช่น repository สาธารณะหรือบล็อกส่วนตัว แล้วตั้งชื่อให้เป็นระเบียบ
2. หยิบสิ่งที่เคยทำในคอร์สนี้มาเรียบเรียงเป็นชิ้นงาน เช่น สรุปสิ่งที่ได้จากแล็บ Juice Shop ของเราเอง หรือเครื่องมือ Python สายตรวจสอบที่เขียนไว้
3. เขียน writeup ของโจทย์ CTF ที่แก้ได้อย่างน้อยหนึ่งข้อ ให้คนอื่นอ่านตามได้
ทุกชิ้นงานต้องมาจากแล็บของเราเอง แพลตฟอร์มฝึก หรือโจทย์ที่เปิดให้เล่นเท่านั้น อย่านำภาพหน้าจอหรือข้อมูลจากระบบผู้อื่นที่เราไม่ได้รับอนุญาตมาใส่ในพอร์ตเด็ดขาด เพราะนั่นเปลี่ยนพอร์ตให้กลายเป็นหลักฐานมัดตัวทันที
⚠️ จริยธรรมและกฎหมาย
อาชีพสายความปลอดภัยทุกสาขา ตั้งอยู่บนความไว้วางใจ นายจ้างและลูกค้ามอบกุญแจบ้านให้เรา เพราะเชื่อว่าเราจะไม่เอาไปใช้ในทางที่ผิด ประวัติการทำผิดกฎหมาย แม้จะอ้างว่าทำเพื่อฝึกฝน มักปิดประตูอาชีพนี้มากกว่าจะเปิด การสร้างชื่อเสียงที่ดีจึงเริ่มตั้งแต่วันนี้ ด้วยการฝึกอย่างถูกกฎหมายทุกครั้ง เคารพขอบเขตเสมอ และปฏิบัติต่อข้อมูลของผู้อื่นอย่างที่เราอยากให้คนอื่นปฏิบัติต่อข้อมูลของเรา นี่คือสินทรัพย์ที่มีค่าที่สุดในสายงานนี้
สรุปบทและคำถามทบทวน
เส้นทางสู่ระดับโปรไม่ใช่การกระโดดข้ามขั้น แต่คือการฝึกในสนามที่ถูกกฎหมายจนพื้นฐานแน่น ลองแข่ง CTF เพื่อฝึกคิดใต้เวลา ขยับสู่โจทย์จริงผ่าน bug bounty ที่มีขอบเขตและได้รับอนุญาต เลือกใบรับรองให้ตรงเป้าหมาย และค่อย ๆ สร้างพอร์ตที่สุจริตจนพูดแทนเราได้ ตลอดทั้งเส้นทางมีหลักเดียวที่ไม่เคยเปลี่ยน คือแตะได้เฉพาะสิ่งที่เป็นของเราหรือได้รับอนุญาตชัดเจนเท่านั้น และนั่นคือสิ่งที่แยกมืออาชีพที่ยั่งยืนออกจากคนที่หมดอนาคตตั้งแต่ยังไม่ทันเริ่ม