資安入門

資安⼊入⾨門
JYNY @ FISA 9/25 2015

聽說今天第⼀一堂社課

分享⼀一些資安⼊入⾨門
(駭客)

About
即將延畢的⼤大學⽣生⼀一枚
資安愛好者
資訊安全策進會前社⻑⾧長
TDOH 中區活動⻑⾧長
Forx team core member

About
本名 JYNY
綽號陳俊佑
jyny.tw
fb.me/jynychen
telegram.me/jynychen

認為⿊黑客技能⼤大概是

駭客技能s
Reserve Engineering
Forensic
Web Sec
Crypto
PWN

Reserve Engineering
逆向⼯工程
拆遊戲
拆程式
把組合語⾔言變回C

Reserve Engineering
拆⼿手機APP
破解
繞過驗證

Forensic
數位鑑識
看Log
看封包
各種奇特的找⾜足跡技能

Web Sec
網⾴頁應⽤用程式安全
打網站
⼿手法都很猥瑣
SQLinj (吸摳注⼊入)
XSS

Crypto
通常是講如何加密拉...
RSA破解
各種數學，各種神奇算法

PWN
PWN 獲得權限
Exploit
找洞利⽤用漏洞
很硬很好玩
把組合語⾔言當開⽔水灌

Conf’s
台灣駭客年會 Hitcon
吃
拜⼤大神
聽各路⼤大⿊黑⿊黑演講
台灣駭客們年度⼤大盛事

駭客遊戲
CTF’s (wargame)
拿key，盡全⼒力找ﬂag
很多種形式
解題，多對多，多對⼀一

CTF’s
應⽤用各種駭客技
找漏洞技術還有速度
團隊合作
PWN

資訊越多，⼊入侵的機會越多
服務越多，⼊入侵的機會越多

伺服器端的服務 
Apache、nginx、IIS (http) 
3389、vnc (remote destop)

伺服器端上的服務的服務 
(HTTP > web framework) 
Struts2、.NET、ThinkPHP、 Ruby on Rails

伺服器端上的服務的服務 
…的服務 
HTTP > Web framework > web app 
Oswasp Top10 (SQL injection、XSS)

發⽣生在本地端的漏洞

瀏覽器上的外掛 
Flash、Java、ActiveX

本地惡意⽂文件 
PDF、.doc、OFFICE

還有 … 
bad user habits、那些不⼩小⼼心的點兩下

⽊木⾺馬 Trojan
⼊入侵後維持存取
開後⾨門讓駭客任意控制
怎麼藏是另⼀一個故事了
Web App 也有

蠕蟲 Worm
⾃自動化攻擊程式
平⾏行感染
⾃自我複製
Web App 也有

真實世界
病毒不⼀一定要讓電腦變慢
惡意程式可以有很多功能
只防得了已知，防不了未知
被⿊黑從來不是在你知道的那個點上
拔了網路線吧

惡意程式在被執⾏行之前

執⾏行是⼀一個什麼動作
(跟點兩下差不多)

駭客要做的事
要想辦法塞惡意程式給你
要想辦法讓惡意程式執⾏行

駭客也只是
努⼒力想塞檔案給你
想盡辦法騙你點兩下
開⼤大絕，在你不知道時下載
開⼤大絕，在你不知道的情況下執⾏行
找弱點，漏洞，利⽤用，達到⺫⽬目的

新⼿手Q&A
(⾃自問⾃自答)

A:我打下第⼀一個網站時
我還不會寫程式

A:所謂漏洞
就是可以讓攻擊者
操控程式的執⾏行流程

A:⼀一顆⿊黑⿊黑的⼼心

A:敬請參考
https://gotyour.pw/

以後在社團聽到的
學校⼤大多不會教
聽到忘記⽐比較好
記住了也當作忘記⽐比較好
可以先讀熟刑法 358 ~ 368 電腦妨礙使⽤用罪

不會像今天⼀一樣⼀一直講
(嘴砲)

歡迎⼤大家⼀一起玩資安 : )

Empfohlen