模擬實戰點閱綁架手法(Challenge to Clickjacking)

啥是點閱綁架(Clickjacking)呢？
用講的太慢啦...直接來親身體驗最快。
這裡有我們實作的體驗網站 （IE 已經可被利用）。畫面如下：


實戰點閱綁架，這網頁並無惡意攻擊，只是導向到另外一個 Blog 網頁，請放心。主要在於讓大家了解何謂「點閱綁架(Clickjacking)」，將滑鼠移到超連結處，檢查左下角落的連結網址，發現哪有不一樣嗎？明明是應該要連結到 google 網站的不是嗎？你連到哪了呢？目前已知可以成功的瀏覽器：
1.Firefox 3.0.5
2.Chrome 1.0.154.43
3.Safari 3.2.1 (for windows)
4.IE 7.0.6001

手法剖析：
1.如果瀏覽器有問題(上述瀏覽器)，該連結將不會連結至 google 網站，而是其他網站。
2.如果正常連結至 google 網站，表示不受影響。
3.有心人士可以利用此手法將惡意連結夾帶其中，偽裝成銀行或一般正常連結(URL)。

之前還有一篇文「模擬實戰釣魚網站」，都是希望大家能有些防禦觀念，了解攻擊、詐騙手法，自然就會多一分小心的。

本文同步張貼於「資安之我見」。

繼續閱讀全文...

阿碼團隊跟各位拜年，祝各位牛年大吉、牛運亨通！（另含2008年阿碼大事記）

今年是牛年，對阿碼來說，會是很好的一年，因為牛代表了台灣人努力耕耘的那股勤勞，那股韌性，那股一步一腳印的踏實，那股辛勞耕耘後，牛背飄來一陣涼風都是無比的快樂，很符合阿碼的文化，所以今年，會是阿碼的好年。

去年對阿碼來說，是指標性的一年，也是我們蓄勢待發的一年。回首去年，我們心中除了感謝，還是感謝，感謝產業、學術、政府各界的長官與前輩，給我們在各方面的支持與鼓勵，讓我們這麼一個年輕的團隊，能夠順利地突破許多難關，乘風破浪，創出了連我們自己也驚訝的成績。

我們的 R&D 全部都在台灣，連所有的外籍同事，領的也是台灣的薪水，付的是台灣的稅，看的是台灣的健保。可是台灣的軟體業並不像硬體業那麼發達，台灣的軟體公司，能夠做出產品，在國際上有好成績的，屈指可數。三年前公司成立時，雖然投資人不常提，但是我們知道他們都暗自憂心著，這樣一個高科技的軟體公司，是否真的能在台灣生根？這樣一個年輕的團隊，是否真的能做出成績？是否能支援全系列的 Web 語言？做出的產品，使否真的能讓美國、歐洲、印度、日本的大客戶買單？

去年九月，碰上了百年難見的金融危機，那時我們剛好去紐約參加 OWASP 美國年會，直接感受到了紐約的人心惶惶，我們也不禁憂心，我們的募資是否會受到影響？市場是否會突然萎縮？但是就是這個金融風暴，讓我看到了阿碼的團結與韌性。我想當時大家不說，但是心裡一定緊張，但是沒有人退縮，沒有人埋怨，大家只是更團結，拼了命的往前衝。業務團隊說，可能金融與製造業會受影響，但是沒有關係，我們會拼命從其他地方做業績來補。R&D 說，我們再想辦法讓 SDL 變得更 agile，一定即時滿足客戶的需求，只要客戶還有需求，還有預算，我們就能滿足他們。

就這樣到了年底，一方面我們產品目標：PHP、ASP、J2EE(Java)、.NET(ASP.NET、VB.NET、C#)等支援全部達成，一方面我們業務也竟然超過 forcast，在惡劣的環境中逆勢成長，不只投資人驚訝，說實在我們自己也很驚訝。今年放年假前，我們一算，光一月的業績，就達成了今年第一季 forcast 的九成！這麼好的成績，一方面感謝每一位阿碼同事的努力，一方面感謝台灣與全球行銷伙伴對我們的支持與信心，然後最重要的，就是我們的客戶--我們很榮幸成為各位選擇的 Web 資安廠商，各位對阿碼的支持，讓我們有用不完的精力，我們一定會更加努力，不論在我們的服務、產品的改進或技術的研發上，我們會精益求精，不斷努力，也會珍惜各位給我們的寶貴意見，讓阿碼一天比一天更好！

去年的尾牙上，團隊成員接二連三的上台說了你們的感想，讓我很欣慰，阿碼真的建立了非常不一樣，非常優良的文化，每一個人都這麼在意自己的進步，自己的學習，自己在團隊中的貢獻。很多同事過年前打電話跟我再三的說，真的很高興有機會加入阿碼，阿碼的文化真的很好，這幾年下來學了好多。我聽了當然也很高興，我能說的尾牙上都說了，對我來說，很榮幸能夠跟各位共事，阿碼是大家共同建立起來的，我很高興，也很榮幸我是其中的一份子，跟各位工作，真的非常愉快，也從各位身上，學了很多，真的很謝謝各位。

阿碼準備了很久，從 2001 年我在中研院跟 Walter 開始研究黑箱技術 WAVES，到 2002 年 Chris 從德國加入，到後來我們一起投論文... 到後來 Matt 加入，我們募資，在董事長沙正治先生的領軍下我們成立了公司，後來 R&D 的各位加入，為我們的產品開發注入了能量。去年，產品日趨成熟，Jordan 率領的老外國際業務團隊日有斬獲，在各國都拿下了指標性的客戶，也一步一步把經銷代理伙伴訓練了起來。實力堅強的 X-Solve 團隊的加入，為我們帶來了新的產品線：HackAlert，也為我們帶來了專業的業務團隊。多位資安界的資深朋友的加入，讓我們得以成立了 ASF (Armorize Special Forces) 資安團隊。國內資深的業務前輩，Vincent、Sunrise、Eric 等人願意放棄原本的好工作，加入阿碼跟我們一起打拼，帶來了他們寶貴的經驗，讓我們更有信心，我們一定能提供好的服務給客戶，把支持我們的客戶照顧好。在這邊我也特別感謝阿碼的另外三位創辦人--技術長 Walter、研發總監 Chris、營運長兼財務長 Matt。Walter 還在唸書時就跟我一起做研究寫論文了，是整個團隊跟我最久的一位，能力非常好，但是一路上配合我，在後面當我隱形的伙伴，讓我在前面衝，自己則在後面支援。Chris 是德國人，願意為了阿碼放棄微軟的好工作，不但搬來台北，也把好朋友一起從歐洲挖過來，離鄉背井，幫我們帶著 R&D 打拼；新年期間，看到他們都在線上，知道他們沒地方去，心裡很過意不去。Matt 是我弟弟，能力不比我差，擁有 Stanford 企管系的MBA，待過麥肯錫顧問公司，擁有各種的好履歷，但是一樣，總是站在我後面，給我一切的支援，這次金融風暴，Matt一個人胸膛一挺，一面扛起整個募資的責任，一面繼續擔任營運長，打點公司大小事物與跑國外的大客戶，沒有一點怨言。三位，我想如果沒有來阿碼，三位現在成就可能都超過我，但是每當掌聲響起，我從沒有忘記三位為阿碼的犧牲；其實我從沒忘記阿碼任何一位同事的努力，阿碼是大家一起做出來的，謝謝你們，謝謝大家！

年後將有更多新同事加入阿碼，去年是阿碼蓄勢待發的一年--經過了這麼多年的努力，今年我們將要起飛，我們會讓世界看到，在 Web 資安界，台灣有頂尖的技術能量，有來自各國的菁英團隊，台灣不是只有硬體製造代工業，我們能夠做出符合潮流的的頂尖軟體技術，我們有自己的品牌，我們有一流的軟體人才，我們有國際化的行銷團隊。

最後我們要感謝阿碼的個人與法人投資人，特別是董事長沙正治先生。當初我們一無所有，只有幾篇得獎的論文，是你們給了我們機會，並一路給我們建議、輔導與幫助，我們才能有今天的成績。在金融風暴周遭公司裁員倒閉的情況下，你們繼續支持我們，並以實質股價的成長來肯定我們的成果，給了整個團隊無比的信心，今年我們氣勢如虹，我們一定做出好成績，對於支持我們的投資人，各界前輩，經銷伙伴，還有我們的客戶，我們不會讓各位失望的！我們希望成長，但是我們不想做搶錢的公司，我們想一步一腳印做出我們的成績來，做出我們的價值給客戶，並賺取我們該得的。我們去年不就是這個精神嗎？結果證明我們業績超乎預期的成長。現在資訊發達，客戶都很聰明，懷有僥倖想法的業務團隊，很快會被客戶唾棄。我們慶祝去年的好成績，但是我們絕對不會因此而驕傲，是否是台灣第一，亞洲第一，並不重要，重要的是我們每個人都會虛心學習，不斷提升。我深切體會過自視第一的同行的那種傲氣，那種把同業當笨蛋，把客戶當凱子的不成熟的文化，阿碼絕對不容許有那種文化。我們的策略很簡單，就是我在尾牙上說的，我們很清楚，我們必須謹守我們最有價值的兩項：技術與服務，我們的研發團隊會馬不停蹄地提昇技術與產品的功能，ASF 資安團隊會不斷研究、分析新的攻擊趨勢，充分掌握新的威脅與各種解決方法，業務團隊會無時無刻想著我們還能如何為客戶提供更好的服務，更低的價錢，與更節省成本的產品。技術與服務是阿碼這個年輕團隊僅有的，我們很清楚，我們會盡一切努力提升。謝謝大家一直以來對我們的支持，也希望大家能繼續支持我們，給我們意見，讓阿碼能夠陪伴各位一起耕耘，一起前進！

阿碼全體在這邊跟各位拜年，祝各位新年快樂，牛年大吉，翠柳迎春千里綠，黃牛耕地萬山金！

黃耀文 代表阿碼科技團隊 敬賀

阿碼去年大事記：

1. 完成 CodeSecure 源碼檢測系統於 J2EE 語言支援，ASP支援與全 .NET 系列語言支援（ASP.NET、VB.NET、C#）


2. 推出能與源碼檢測整合之 SmartWAF Web 防火牆


3. 完成 HackAlert 產品開發，並推出含網頁爬行與竄改監控等功能之企業版


4. 獲選新創公司最大獎，Red Herring Global 2008 Innovator's Pit，並於西雅圖發表演講


5. 獲選道瓊 Dow Jones VentureWire 2008 Technology Showcase 技術大展，並於 Redwood City 發表演講


6. 於全球贏得超過五十個指標性大客戶，包含：
   
   
   
   • PriceGrabber（美），全球最大比價網站
   
   
   • MyYearBook（美），全球前三大社群網站
   
   
   • GMO（日），日本最大上市之 hosting 集團
   
   
   • HDB（新），東南亞在資安界最具指標性之客戶
   
   
   • POSCO（韓），韓國最大鋼鐵集團
   
   
   • Innotronic（德），歐洲領先之 ISP
   
   
   • Bank of India（印），印度最大公有銀行
   
   
   • 台灣大哥大，台灣電信業重要指標客戶
   
   


7. 在全球挑選並訓練起超過十家之專業 Web 資安經銷伙伴


8. 參展世貿資安展（台北）、OWASP US（紐約）、OWASP Asia（台北），OWASP India（印度），RSA Conference（美國）


9. 與 COSEINC 共同舉辦 SySCAN Taipei


10. 被 Forrester 與 Aberdeen 等重要分析集團報導為重要 Web 資安廠商

（台灣世貿資安展 2008）

（美國 RSA 2008）

（美國 OWASP AppSec US 2008）

（台灣 SySCAN 2008）

（印度 OWASP AppSec India 2008）

繼續閱讀全文...

雅虎搜尋引擎遭掛馬利用

平常用 Yahoo 搜尋引擎的人要特別注意了。搜尋結果會出現帶有 XSS 攻擊的連結，若是連結目標網站存在 XSS 漏洞，會導致網頁掛馬的攻擊手法，瀏覽者的瀏覽器軟體會遭受攻擊，系統有被植入惡意程式的風險。這可能是網頁掛馬手法的翻新利用，或者是 Mass SQL Injection 攻擊的後遺症。該惡意連結與先前<駭客集團於新年假期展開罕見之大規模SQL Injection攻擊>一文的惡意連結相同。
下圖可以看到"84."的搜尋連結明顯夾帶異常字串。


詳細分析"36."的搜尋連結：


直接搜尋"inurl:daxia123"，可以找到很多有問題的連結：

可以看到很多搜尋連結夾帶攻擊碼，如果點選連結，配合 XSS 漏洞，會導致瀏覽者遭受攻擊。

直接搜尋"inurl:jxmmtv"的連結也是：

手法跟 daxia123 幾乎是一樣的，當然，因為是一夥的。

研判可能原因有兩個：
1.大量掛馬的網頁，造成雅虎搜尋引擎抓到網頁連結時，就是已經被掛馬的連結，導致搜尋連結帶有惡意網址。
2.有人大量餵給雅虎搜尋引擎掛馬連結，導致搜尋結果的連結，帶有惡意網址。

先前 google 也有遭利用，被用來進行掛馬攻擊，可以參考鳥毅-<Googlt Bot會找漏洞>一文。

繼續閱讀全文...

SmartWAF v3 的釋出與新功能介紹

產品前進的腳步是不停歇的，三個月前還在 SmartWAF v2.5 的階段，轉眼間 SmartWAF 已經釋出第3版啦！

如果說 SmartWAF v2.5 是 SmartWAF 2 的強化版，不如說是 SmartWAF v3 的嘗鮮版。 SmartWAF v3 可以說是總合 SmartWAF v2 時代許多客戶的需求以及 SmartWAF v2.5 上的一些實驗性新功能，所推出來的新版本。 SmartWAF v3 整體介面風格並沒有多少改變(預計3.5版會改頭換面)，但是有幾項主要改變與新增功能特色：

1.集中更新派送
其實 SmartWAF 的更新已經很簡單了，有安裝過的人都知道，只是 Web Server 一多，一台台連進去更新總是不夠方便。集中更新派送的功能主要提供給大量使用 SmartWAF 的客戶，透過管理介面就可以遠端更新各台 Web Server 上的 SmartWAF ，就像是企業防毒軟體的中控台一樣，這樣一來，無需一台一台 Web Server 遠端登入然後手動進行更新，版本更新也變得更加方便，另外也可以遠端停止 SmartWAF 運行或是重新啟動。
之前總是會有人會把 SmartWAF 與免費產品拿來比較，這個功能應該在免費的 WAF 產品上找不到吧。

2.支援多處理器
支援多處理器是 SmartWAF3 的一個重要里程碑。過去 SmartWAF 啟動時會同時生出多個 process ，但是並不支援多處理器模式，在多處理器環境下只能為每個 process 分配處理器來利用 CPU 資源。現在 SmartWAF v3 已經支援多處理器模式，甚至還可以指定要使用幾個處理器，一些比較繁重的工作如統計、過濾 response body 等就可以分散給多個處理器同時處理，不再只是佔用特定的處理器，其他處理器卻是閒得發慌。
相較之下，許多免費產品使用單一 process ，也不能充分利用 CPU 資源， process 一旦異常就整組報銷，而流量大一忙碌時，也沒辦法有效運用系統資源。

3.偵測模式與保護模式
在 SmartWAF v3 以前，如果想先觀察規則的嚴密程度，是否有誤擋情形，都必須使用 SHADOW Rules 。許多客戶在試用階段僅需要使用 SHADOW Rules ，另外有些客戶則是把 SmartWAF 當成 WebIDS 來用，一般用戶則在上線前都需要觀察一陣子，因此從 SmartWAF3 開始，提供了兩種模式，分別為偵測模式(Detection Mode)與保護模式(Protection Mode)，用以提供使用者更直觀的操作體驗。
細部的實際操作與過去的 SHADOW Rules 與 ACTIVE Rules 相差不大，只是現在預設都處於偵測模式，相關規則設定、學習、匯入完成並觀察運行一陣子並微調完畢後，只需要切換到保護模式即可上線提供保護，攔阻違規的網頁存取行為。

4.異常警示
異常警示功能在 SmartWAF v2.5 就有了，到了 SmartWAF v3 又有了強化。過去僅能做到系統級別的警示，例如 SmartWAF 總存取量異常增加等，現在可以進一步到 Application 級別的警示，也就是說當某個 Application 內所保護網站的總存取量異常增加時，一樣可以發出示警。另外，現在示警的方式也增加了 SNMPTrap 這種方法，許多有使用用網管系統，或是有 NOC 或 SOC 的單位都可以接收 SNMP Trap。
目前系統層級的警示類型包含：
a. Cluster State - 例如叢集成員斷線或是系統異常無法回應
b. Requests Per Minute - 例如 DoS 或是弱點掃描
c. Denied Requests Per Minute - 例如弱點掃描
而 Application 級別的警示類型包含：
a. Requests Per Minute Per Application
b. Denied Requests Per Minute Per Application
c. New Sessions Per Minute Per Application - 例如弱點掃描或是 Session 猜測

目前發出警示的方法則包括：
a. Mail - 寄送警示至相關信箱
b. Post - 傳送警示至特定網頁
c. LogFile - 儲存警示至特定紀錄檔
d. SNMPTrap - 透過 SNMP Trap 送出警示

預計下個版本還會增加更多的警示類型與方式。

另外還有許多改進如新增的 Preconditions 、新增的 Handlers 、許多 Handlers 內的新增參數、每週及每月 PDF 統計報告、叢集成員系統狀態統計與特定 Handler 狀態統計等，功能強化不少，我就不一一列出了，有興趣試試看的，歡迎進一步連繫囉。

作者 Wisely 為 阿碼科技 產品經理

繼續閱讀全文...

駭客集團於新年假期展開罕見之大規模SQL Injection攻擊

阿碼科技新聞稿 2009年1月5日

此次罕見之大規模資料隱碼(SQL Injection) 掛馬攻擊，於2008年12月24日開始展開，許多知名企業網站均受其害。犯罪集團趁著民眾休假時上網時間增加，以及網管人員可能無法立即處理，本次攻擊從12月24日持續至今，根據本公司SmartWAF所攔截的記錄顯示，此波攻擊中單一網站就遭受來自179個不同攻擊來源，高達500多次的攻擊記錄。相較於先前2008年五月之大規模掛馬攻擊，只有不到 20 個攻擊來源相比，此次規模相對龐大。

此外，此波攻擊之網站掛馬已經含有先前本團隊公布之微軟 IE 7 0-day 漏洞 (微軟已經緊急修補)，故不排出此次大規模攻擊，目的之一為散播此一新 IE 7 掛馬。本次攻擊手法仍然針對後端資料庫使用微軟 SQL Server 的網站為主，透過Google抓出 ”id”、”msgid” 或 “classid” 等關鍵字做為攻擊點，再進行資料隱碼攻擊。本公司估計此波攻擊至少造成百萬以上網頁受害。



攻擊特徵：
(1) 罕見之大規模 SQL Injection 攻擊，單一網站遭受來自179個不同攻擊來源，高達500多次的攻擊記錄。
(2) 掛馬中含有最新的 IE7 0-day 攻擊碼。
(3) 標準假日型攻擊，於2008年12月24日持續至今。
(4) 目標以大中華區的網站為主。
(5) 攻擊來源5筆來自台灣IP，137筆來自於南韓，31筆來自於中國大陸。

攻擊碼：
樣本一：

解碼後為：



樣本二：


解碼後為：



建議處理方式：
A、網站網管人員：
(1)是否遭受攻擊？以攻擊字串中的關鍵字 (例如 “dEcLaRe” 或 “0x4445434C”) 搜尋 Web 伺服器的 log記錄，看看是否遭受類似攻擊。

(2) 是否遭受攻擊成功？以惡意網址中的關鍵字 (例如 “daxia123” 或 “jxmmtv”) 搜尋網頁內容以及資料庫。

(3) 如何預防攻擊？網站遭受攻擊，是因為有 SQL Injection 漏洞。採用CodeSecure源碼檢測，找出漏洞並修補之。如果沒有資源或時間修補，可以使用SmartWAF網站防火牆來阻擋攻擊。

(4) 如何監控網站是否被掛馬？可以使用免費 HackAlert 24小時網頁掛馬監控服務，網址：http://hackalert.armorize.com

B、ISP 網管人員：
(1) 保護一般民眾 – 對於 outbound HTTP 流量，封鎖目標為此次掛馬之惡意網域之流量。本次攻擊所使用的相關網域名稱如下：daxia123、jxmmtv.com、lhaham.cn、daxia123.cn、ghahah.cn、dayoo.com、hhahai.cn、 ihahaj.cn。
(2) 保護網站遭受攻擊 – 對於 inbound HTTP 流量，封鎖來源為此次179個攻擊來源 (IP) 之流量。可來信向本公司索取此次惡意 IP 清單：pr小老鼠armorize.com。


繼續閱讀全文...

開放源碼 World Recipe 2.11 存在多個 XSS 弱點

阿碼科技的資安團隊於本月 12 號發現一套叫作 World Recipe 〈世界食譜〉的開放源碼〈註一〉套件存在有多個跨站腳本攻擊〈Cross-site Scripting, XSS〉問題. 此套件是以 ASP.NET 2.0 C# 所撰寫的, 其具備快速建置, 完整的網站功能頁面與 SQL 資料庫等特色, 獲得不少的口耳相傳與採用.

我們在發現之初即通知原始作者, 並在本月 15 號通知全球弱點公開揭露平台 SecurityFocus, 刊載為 BugTraq 499217: Multiple XSS Vulnerabilities in World Recipe 2.11, 唯目前官方仍沒有針對 2.11 版本的修補程式.

此次揭露的弱點類型都是可利用於跨站腳本攻擊〈XSS〉, 分別是位在建置後網站第一層根目錄

1. emailrecipe.aspx 的參數 n
(譬如http://xxx-website/emailrecipe.aspx?n=XSS)

2. recipedetail.aspx 的參數 id
(譬如http://xxx-website/recipedetail.aspx?id=XSS)

3. validatefieldlength.aspx 的參數 catid
(譬如http://xxx-website/validatefieldlength.aspx?catid=XSS)

等三支的 ASP.NET 網頁. 我們的工具所計算出來的受駭風險指數高達滿分 5 分 (在實務上 3 分以下的攻擊成功機會就非常之低).

validatefieldlength.aspx 這支程式使用到參數 catid, 但沒有正確地驗證與過濾, 因此攻擊方可利用於誤導受駭方執行任意的腳本程式, 請見下圖的概念證明〈Proof of Concept〉:





當然, ASP.NET Framework 不是省油的燈, 在 emailrecipe.aspx 與 recipedetail.aspx 可看到其基本保護, 當嘗試輸入可疑的字串時, 會被 ValidateRequest 攔下. 請見下圖的概念證明:



不過因為 ValidateRequest 是採用黑名單的方式, 多少會有規避的空間. 一旦當攻擊方發現繞過的方式, 剩下的最後一道防線就是瀏覽器本身了. 目前各家的瀏覽器對不同的跨站腳本攻擊〈XSS〉語法有不同的表現, 我們採用了一個對微軟 IE 有效的攻擊語法, 並成功地繞過 ValidateRequest 的攔阻, 目前僅有最新的 IE8 Beta 2 能夠偵測到此跨站腳本攻擊〈XSS〉.
請見下圖的概念證明:



註一: 開放源碼套件以可自由下載, 散佈, 使用, 且多半是免費提供等特色受廣大使用者所喜愛.但開放源碼這種草根性的社群開發模式, 通常沒有強制要求嚴謹的軟體測試或壓力測試, 其軟體品質, 尤其是資安品質, 是否符合使用者的期待, 是有待商榷的. 有一些使用者會認為開放源碼的原始碼是攤在陽光之下, 有比較多的機會被程式高手或資安專家看到錯誤或安全漏洞, 因此其軟體品質或資安風險應該有一定程度的"保證". 很明顯地, 光有這樣的期待是無法有效地量化資安風險, 除非有效地利用源碼檢測等白箱工具來驗證其資安品質, 否則即使諸多使用者或企業樂見開放源碼的多樣化選擇, 也不敢貿然採用.

作者 Dr. Benson Wu 為 阿碼科技 產品經理


繼續閱讀全文...

IE 7 零時差攻擊(Zero Day Attack) 重大威脅警訊

重大威脅警訊: 針對IE瀏覽器的零時差攻擊大量出現
12月9日下午，針對微軟IE 7.0的零時差(Zero Day Attack)攻擊程式碼由"知道安全(Knownsec Team)" 團隊成員貼上網，據 Knownsec 團隊表示在最近的網站掛馬案件中開始有此攻擊碼的出現，針對 Internet Explorer 7.0最新版(7.0.5730.13)進行零時差攻擊。目前已經發現針對Windows XP與Windows 2003 環境的攻擊碼，即使用戶已經更新到最新版(微軟本週更新12月9日IE7，版本7.0.5730.13)還是不能倖免，這就是零時差攻擊之所以危險的原因。阿碼科技ASF團隊立即對此一現象進行分析後，執行長黃耀文在接受 IDG 專訪 時表示，此攻擊方式已經出現大量生產的工具，可能會快速地散播再掛馬網站，而造成嚴重的災情。

1. 此 Exploit 的技術摘要
利用JavaScript產生包含攻擊碼的資料陣列，足以讓IE處理XML內嵌img src的資料時產生跳脫原執行路徑，而執行駭客的Downloader Shellcode，進而安裝木馬後門。

2. 修補程式
微軟定期於每月之第二個星期二，發布修補程式，用戶可透過 Windows Update 更新。雖然昨天(12月9日)之更新，各界已知將更新許多嚴重漏洞(包含 IE 7 漏洞)，然此更新並不會修復本新聞稿提及之 IE 7 零時差漏洞。此次更新之 IE 7 漏洞請見 MS08-073。

3. HackAlert 檢測畫面


4. 被成功攻擊的 demo畫面
https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjt_lOncfRAIpv-LkwATzm1VourQ4M-QFIeuDOFYGG4B6ipoVePzM23VqBozClRUrfbiK-DiIiY01tHOOPCEvaKgF2m7-rrLk_APXWtJB63TwvZwtHj_b_PjLs2_2dMdIfLK9YieP8IfBzT/s1600/TESTBED-2008-12-09-21-26-43.png

5. 相關新聞:
IDG: New Web attack exploits unpatched IE flaw

<防範建議>
1. 暫停使用IE 7.0，改用其他瀏覽器上網，如FireFox或 Opera等。
2. 檢查用戶端之惡意程式掃描記錄是否有異常現象。
3. 可採用阿碼科技所提供之Archon Scanner以行為模式檢查電腦中是否入侵且安裝惡意程式。申請信箱: info__at__armorize.com
4. 使用 HackAlert™ 針對企業網站進行安全監控，避免被掛馬植入零時差攻擊碼，損害客戶電腦與資料安全。申請網址: hackalert.armorize.com

繼續閱讀全文...

阿碼科技受邀至道瓊年度科技創業論壇發表源碼檢測與網站應用系統防火牆整合技術

阿碼科技受邀在11月18、19日兩天所舉辦的道瓊年度科技創業論壇（Dow Jones VentureWire Technology Showcase）中發表演講，該論壇於美國加州Redwood市舉辦，是美國年度科技新創企業最盛大的發表交流論壇，參與對象由VentureWire讀者與編輯群嚴格篩選最有創新與名聲的企業，總計今年全球有75家科技新創公司受邀，到場對潛在投資人、併購企業與合作夥伴發表其營運模式與科技創新。

阿碼科技將由創辦人暨營運長(COO)黃耀明出席並發表阿碼科技獨步全球之源碼檢測（CodeSecure™）與網站應用系統防火牆（SmartWAF™）之整合技術。此項整合技術可以利用最低的成本，確保網站應用程式不被駭客所攻陷，提供可信賴的線上安全營運平台。阿碼科技專精於網站應用系統之安全管理，透過靜態源碼檢測科技提供企業級的旗艦解決方案- CodeSecure™。CodeSecure™是一個網頁式隨插即用的系統，透過靜態原始碼分析與驗證(Static Source Code Analysis and Verification)辨識出網站原始碼中存在的弱點，提供不同風險等級的矯正建議，以取代繁重且高成本的人工程式碼審查(Code Review)，在系統開發生命週期中提供一個有效率、高成本效益，可轉移系統風險的解決方案。

網站應用系統安全是一個相當新的領域，尤其透過靜態源碼分析與驗證更是走在科技尖端的領導方案，再加上阿碼科技獨家研發成功之靜態源碼檢測與網站應用系統防火牆整合技術，此次發表將提供企業經營者一個主動防禦與持續經營商業網站安全的最佳選擇。阿碼科技將在11月18日14:35至15:20於商業營運科技議題中發表，亦歡迎參加者於19日07:00的亞洲區早餐會中蒞臨阿碼科技攤位交流指教。

阿碼科技全方位網站安全解決方案

除了CodeSecure™源碼檢測與分析之外，阿碼科技提供與CodeSecure™密切整合之動態網站應用系統防火牆(SmartWAF™)與持續的網站安全監控與惡意程式偵測服務(HackAlert™)，先掃描後立即阻擋尚未修補之網站安全弱點，提供客戶”立即”的網站安全防護。

關於Dow Jones VentureWire Technology Showcase 2008

Dow Jones VentureWire科技論壇針對最新、最深入的商業科技發展，邀集產業領導企業發表尖端的商業應用科技與營運模式，將全球最知名的投顧與新創企業匯集一堂，讓潛在投資人、併購企業與合作夥伴獲得最有效的投資合作機會。

道瓊年度科技創業論壇地點
Sofitel San Francisco Bay
223 Twin Dolphin Drive
Redwood City
CA 94065
Phone: 650-598-9000
Fax: 650-598-9383

阿碼科技演說發表時段
-11月18日14:35至15:20於Business Technologies Track(Salon 3)
-11月19日07:00 至08:30亞洲區早餐會(Asia Breakfast )

更多資訊請參考 Dow Jones VentureWire Technology Showcase 網站

關於阿碼科技

阿碼科技(Armorize Technologies)是全球領先的全方位軟體安全與網站安全服務供應商，致力於從根源解決Web資訊安全問題。公司總部設於北美矽谷Santa Clara市，全球研發中心於南港軟體園區。阿碼科技產品線包涵蓋完整Web資訊安全解決方案，包含CodeSecure™源碼檢測、HackAlert™網頁監控、SmartWAF™應用程式防火牆等。ASF™（Armorize Special Forces）資安團隊除提供專業服務外，並參與全球重要Web資安年會，發表領導性技術研究。阿碼科技成立以來獲榮獲多科技大獎，包含Red Herring 亞洲科技百強（Red Herring Asia 100）、Red Herring全球創意百強企業（Red Herring Global Innovator’s Pit）、經濟部傑出產品獎、新創事業獎、金根獎科技產業傑出貢獻獎及卓越SBIR研發成果獎項等多方肯定，並於2007年併購艾克索夫(X-Solve)為獨立資安研究實驗室，提供更完整的網站安全與惡意程式檢測服務。阿碼科技的客戶遍布全球金融、電信、政府與科技行業領域。 更多資訊請至阿碼科技網站： www.armorize.com。

新聞聯絡人
John Linehan
02-6616-0100 Ext 401
pr_at_armorize.com



繼續閱讀全文...

網站多久沒健檢，是不是該關心一下了

你有多久沒有好好看看你的網站了，沒出事就不關心了嗎？那...不出事才怪的勒！資安...心態最重要。
平常應該要多關心網站運作狀況，是否有任何入侵的蛛絲馬跡，而這些徵兆都不能輕忽之；否則，網站問題將會層出不窮，小則網頁竄改、資料庫被操弄，或植入惡意連結；大則資料庫個資外洩，被詐騙集團利用，甚至機敏資料外洩。這些問題，平常多少一定會有些徵兆的，注意這些徵兆將會是避免事態持續擴大的重要關鍵。

有很多入侵行為，是沒有任何網站內容的竄改的，也就是說，入侵這台主機只是當跳板，但是，可能其他相同網段的網站卻經常出問題，你卻始終找不到真正病因。就像很多疾病，帶原者本身並不發病的，但是接觸的人可就慘了，很多攻擊模式有異曲同工之妙。

如果有下列徵兆中的一個，幾乎代表網站被入侵了，多個那就肯定被入侵：
* 網站目錄下是否有多的莫名檔案
* 網站主機上是否有多的莫名帳號
* 資料庫中是否有奇怪字串或帳號
* Mass SQL Injection 攻擊遺跡
* 網站主機之防毒軟體是否有異常警訊
* 網頁目錄是否有網頁木馬後門程式
* 系統的後門或木馬程式(惡意程式)

1.網站目錄下是否有多的莫名檔案
這跟網站的版本控制 (Release Management) 有很大的關係，因為，這部份做的好，可以很輕易從網站目錄中，找出被竄改或植入的檔案，也就知道網站被入侵了。不管是比對檔案差異、大小或日期...等，都可以查覺網頁檔案被動過手腳的，這點是最容易發現網站被入侵的，也是最精確的方式之一。無奈，大多數網站的網頁檔案，多是雜亂無章、且龐大，有的還有資料庫檔案在其中...XD，根本沒人知道哪些網頁檔案是屬於正常的。所以，你需要一個乾淨無虞的原始網頁檔案，而不是備份的，因為，備份都是線上的，往往都已經被動過手腳了，備份回來正中入侵者下懷，導致再次的誤事哩。你有乾淨無虞的網頁原始程式嗎？100% 確定沒被動過手腳的喔。
這點我還要在強調一次，你有乾淨無虞的網頁原始程式嗎？並配合正確版本控制管理 (Release Management)，當網站出現問題時，它將會是非常重要的。

2.網站主機上是否有多的莫名帳號
如果主機被新增異常帳號，這也是被入侵很明顯的一個徵兆，也可以檢視可疑帳號的登入記錄，判定是否為入侵的帳號；如果網站主機有開遠端管理服務，不管是 3389 或 VNC...等，一旦被入侵，新增帳號就會是很常見的一個行為，對入侵者來說是多一條路可以進入系統。資料庫的部分是否有異常帳號，也是重要徵兆之一，這也表示資料庫中有重要資訊是有心人士想要的，慎之。

3.資料庫是否有奇怪字串
「奇怪字串」...我知道它很模糊、籠統，因為，要植入的字串千奇百怪；如果可以操弄資料庫，那要做啥入侵動作，這可沒有一定的標準程序哩，甚至有的只是改「商品售價」，這是奇怪字串的嗎？不過已經好幾年沒人這樣玩了；這攸關對網站的敏感度，所以，平常需要對被入侵網站的結果呈現，多加觀察，畢竟實際案例是非常好的案例教材。目前最常見的，是在資料庫中植入惡意連結或入侵字眼，入侵字眼比較容易發覺，網站上多會有明顯字眼可察覺；惡意連結部分較難查覺，可以參考這篇新聞。

4.Mass SQL Injection 攻擊
我知道看 log files 很辛苦，我也深受其害...XP，所以報個好康的：
SQLInjectionFinder.exe : Tool to help determine .asp pages targeted by recent SQL Injection attacks.
它會幫你找 Mass SQL Injection 攻擊字串的事件，可以幫你省很多事的，希望對大家有幫助。針對被攻擊的網頁程式碼需要注意是否有漏洞，否則，資料庫可能被操弄了。有很多網站被攻擊還不自知的，植入的惡意網域可能都已經不生效了。

5.網站主機之防毒軟體是否有異常警訊
防毒軟體的歷史病毒記錄，是否有發現惡意程式的記錄，這也是被入侵的重要徵兆之一。不是看防毒軟體把惡意程式清除了，然後就裝沒事，要思考惡意程式打哪來，入侵管道才是要關心的重點。很多系統管理者都輕忽這點，問題在防毒軟體沒有 100% 的，更何況入侵者可能知道你安裝了哪家的防毒軟體，所以有一隻鐵定會有第二隻的，也許哪天防毒軟體更新病毒碼了，就「剛好」發現一隻...XD，結果你也「剛好」錯過...挖哩勒。

6.定期使用線上掃描工具檢查網頁目錄是否有網馬後門
Free Online Virus Scan
Free Online Spyware Scan
使用線上掃毒檢查網頁目錄下，是否有惡意程式存在，如果你無法確認網頁目錄是否有可疑程式，這不失為亂槍打鳥的一種方式，但使用上務必小心，不要輕易把惡意程式給刪除了，它可是重要線索的。啥...沒看過網馬後門嗎？哇咧！這好像遊客搞不清楚啥是搶匪一樣，連搶匪手上的刀也完全不識，被搶了還以為是借錢的...XD。


有沒發現這傢伙比系統的檔案總管好用太多啦...

7.系統是否被植入未知的惡意程式
這點對大多數的系統管理者來說是困難的。前面提到的線上掃毒也是一種方式之一，但也可能破壞犯罪現場，務必慎用。最好，還是需要有專人協助的。

以上只是一些常見的徵兆，需要特別加以注意的；上面也說這麼多了，對很多單位還是沒用，有時不知道比知道好，知道了又能如何，因為，沒人在做事件應變處理 (IR) 的，更不可能組成「資安事件緊急應變小組」來協助處理後續事宜。如果有心想做，可以參考「企業事件應變管理」一文，管理階層務必加以重視。資安很多問題是要改變管理的思考角度與方式，如果老是重複相同的事情，無力感將衝擊著你，有些事情是必須讓管理者知情，找出問題並尋求解決之道，「深思網站淪陷背後的意義」這篇你或管理者更需要閱讀、深思的。正視它，有些事會讓你成長的，如果只是閃躲，有些事將會變得很無情。

本文同步張貼於「資安之我見」
作者 Crane 為 阿碼科技 資安顧問

繼續閱讀全文...

深思網站淪陷背後的意義

有許多地方都有網站淪陷的相關記錄：
Zone-H.org：http://www.zone-h.org/
中国被黑站点统计系统：http://www.zone-h.com.cn/
Zone-H 本週被黑 .tw 網站整理：http://outian.net/zone-h/
TW 網站淪陷資料庫 | 資安之眼：http://www.itis.tw/compromised
Turk Hack World Analyse and Attack Mirror Service：http://turk-h.org/
WWW Check by Chroot：http://www.chroot.org/wwwcheck/
Serapis.net：http://www.serapis.net/
XSSed: XSS (cross-site scripting) information and vulnerable websites archive：http://www.xssed.com/archive
PhishTank：http://www.phishtank.com/

另外有「天罣--輪迴的阿修羅」(這應該是最完整的，以台灣地區而言)，最知名的應該是「大砲開講」：http://rogerspeaking.com/

幾乎每天都有許多網站淪陷或者被利用，很多網站管理者對這些記錄是恨得牙癢癢的，甚至，連被爆料的組織、單位主官也是牙癢癢，因為，記錄就是記錄，記錄永遠在哪裡。
王建民在記錄上，曾經不滿兩局狂失八分，2007年季後賽防禦率19.06(平均每局掉兩分以上)…這些都是超難堪的紀錄，王牌永遠的痛，但王建民永遠說：我會一球一球丟，一個一個的去解決打者，勇敢的面對。做資安不能只想靠橡皮擦跟立可白。
我很喜歡看《CSI犯罪現場：邁阿密》，維基百科有詳細介紹，但它另外的紐約及拉斯維加斯系列的影集我就沒哪麼喜歡了。在邁阿密系列中的主角「何瑞修·肯恩(Horatio Caine)」除了有招牌動作外，還有一句常說的話：「那些記錄，只是你最小的問題」，我也想借用這句話。為何？如下：

1.公佈的記錄是發現時間，漏洞存在多久了呢？
這問題不知網站管理者及權責主管是否有想過呢？我是光想這問題就快瘋了，很多單位都迅速地給我第一回應：「沒關係，我這台機器上沒有重要的資料」，嘿，老兄，我都還沒問哩。況且，這台機器可以當跳板，滲透更多內部主機的。其實，這問題你知道的，面對現實與真相吧！別讓你的網站一直在裸奔...

2.其間是否另有人滲透進來，擷取他想要的資訊了呢？
這問題可大了，查起來可要人命哩，是否有人力處理這部分呢？需要花多少時間及多少人力，甚至外聘需要花多少預算，查出結果可能還要再花一筆預算，這是管理階層第一個要考慮的。真查出了結果，可能真得有人....。所以，九成九不會想知道這結果的。但深入去查，往往會有許多收穫，了解災損範圍是極重要的一環；我想內部非公開的調查是必須的，因為，還可以查覺整體防禦架構上的漏洞，進而加以改善。詳細了解災損，才能進一步做應變處理，如果個資或客戶資料外洩，該如何修補及因應呢？使用者或客戶出現客訴該如何回應？萬一上媒體又該如何？這再再都與企業形象緊密結合。處理得宜還能化危機為轉機的，但你得先了解整個問題的源由。

3.被公布的記錄，會引起其他有心人士的念頭
這是公開的記錄，大家都會知道，但若沒有這些記錄，你會哪時才知道網站出狀況了；這會不會讓你想到另外一個問題呢？對，會不會你的網站已經出事了，看看這則消息：台灣網站遭受有史以來最大規模SQL Injection 攻擊，這是五月份的事，google 搜尋"9i5t.cn"字串，還有一堆網站沒有清除遭植入的惡意字串，還是很多人是不知道自己網站已經出事，所以被公佈出來是好是壞就見仁見智囉。接下來，網站漏洞問題修復的時間就是關鍵，但往往漏洞問題都找不到，還要如何修復呢？我只能說不修復，「有心人士」還會來複檢的；另外，公開的記錄鐵定也會引來更多「有心人士」的，因為，它代表有漏洞存在，沒理由別人找得到而我卻找不到漏洞，如果找不到哪不就遜掉了，結果就是有更多人來挑戰你的網站。千萬別有僥倖的心態。

4.免費的滲透測試(PT)，只是沒給你報告
往好處想，這大概是唯一的。另外，是否還有其它網站有相同漏洞存在？如何避免再次發生？都是該思考的問題。既然已經有人幫你點出問題，就要一次把相關問題根除，借力使力、化危機為轉機。這是很重要的，記錄也可以是警惕自我的一種方式。

5.真的有確實做好漏洞修補作業嗎？
這一點我得特別拿出來再說一次，「移除入侵痕跡」不等於漏洞修補，況且，就連「移除入侵痕跡」也不夠徹底，只移除了表相，如置換的首頁、安插的頁面或字眼，但 WebShell (網頁木馬、網頁後門)可不是這麼容易找的。最重要的，網站淪陷背後的成因往往也沒有加以探究，找到漏洞問題，修補是不是確實呢？這中間有一連串的三道關卡：異常復原、徹底清除及漏洞修復，你完成了嗎？注意，這還不是標準的事件應變處理 (IR) 作業的哩，可參考「企業事件應變管理」一文。

6.最後，到底誰在為網站安全負責，這才是最大問題。
是網站管理者、系統管理者、程式開發者、網管人員、資安人員、稽核人員、資料處理人員...還是使用者。先不用急著找答案，我們先把範圍擴大，觀念同樣擴及到企業或組織的資訊安全誰該負責，我想這大家都知道就是CIO(資訊長)、CSO(安全長)。所以要由管理角度來看的，因為每個企業或組織架構不同，也會有不同權責與權限，但無論如何管理者要要負最大責任，至於誰該負責：
a.擁有控管權力、有能力主導網站的人：大多企業或組織都沒有這號人物，有誰在為網站安全把關。
b.賦予控管權限的人：這個人當然是管理階層，如果沒有a.的人物，企業或組織的管理者當然要負全責。
相關資訊安全人員的角色及應有功能與職責可以參考這裡。

還有很多記錄，它可能是沒有被公開的，你又該如何面對呢？慶幸嗎？還是警惕呢？資安工作沒有捷徑也沒有速成，攻方每年都在成長與進步，如果你還在原地作資安，無異緣木求魚。另外一篇文「網站多久沒健檢，是不是該關心一下了！」希望能幫得上忙。

作者 Crane 為 阿碼科技 資安顧問

繼續閱讀全文...

OWASP 第二屆亞洲官方年會活動紀實

OWASP ( Open Web Application Security Project) 第二屆亞洲官方年會於10月27至28日在台北盛大舉辦，第一天總共出席人數超過1168位，讓國外來的演講者也感受到全球第一盛大的OWASP會議。OWASP是一個國際公開推廣網站應用軟體安全的非營利組織，宗旨在於研究最新資安攻擊，提供研究報告與相對應之免費開放源碼解決方案，讓決策人員能正確了解相關的風險，也讓資安工作人員與程式開發人員能有開放源碼的工具可以對抗威脅。

OWASP是一個國際公開推廣網站應用軟體安全的非營利組織，宗旨在於研究最新資安攻擊，提供研究報告與相對應之免費開放源碼解決方案，讓決策人員能正確了解相關的風險，也讓資安工作人員與程式開發人員能有開放源碼的工具可以對抗威脅。OWASP所訂的 Web 前十大威脅「OWASP Top 10」，為各國政府採用，也被業界之標準如 PCI （五大信用卡公司聯合標準）與 OCC（Office of the Comptroller of the Currency，美國財務部）等。中華民國行政院研考會「Web應用程式安全參考指引」，也倡導應於網站的徵求建議書 (RFP)與驗收階段涵蓋最迫切的OWASP資安弱點。

這次會議一共有 18 位外籍講師以及各國 OWASP 分會領袖參與。現今網路犯罪氾濫其中部分原因是網站不夠安全所致，因此，在本次會議中將邀請專家講師聚焦探討「Web 2.0時代各種資安技術比較與市場分析」、「網路犯罪研究與五千萬筆個資外洩事件調查建議」、「網站被駭的真實故事集」、「網站掛馬研究」、「Web 上之僵屍網路與 DDoS 研究」等議題，以及防護面的「Web 威脅與防禦實例」、「Web 應用程式主動與被動式防護比較」、「如何做好商業滲透測試」等最新的演講內容。

OWASP 全球已經有超過 130 個分會，台灣分會的會長為黃耀文先生（Wayne Huang）。會中另外兩個重頭戲則是10月27日「OWASP 亞洲領袖會議」由來自亞洲各國的OWASP分會代表，首次在台灣進行高峰會議，包含中國、香港 、印度德里、 印度孟買、泰國、越南、 新加坡與韓國分會代表出席參與。在經濟部工業局、技術處的指導以及資策會、中華資訊軟體協會的大力推動下，以及各家資安廠商的贊助下，可以說是寫下推動主辦國際化與非官方組織交流的重要里程碑，是亞洲有史以來最大的 OWASP 活動！其次，10月28日「Web Security 論壇: 黑箱、白箱、還是 WAF 防火牆？工具好還是顧問好？」將由與會專家探討現在資安環境及用戶心中最常見的卻頗具爭議的問題，預期將有一番各方看法的唇槍舌戰，精彩可期。

今年 OWASP 亞洲年會報名人數超過一千三百人，為亞洲有史以來最大型之 Web 資安會議。OWASP亞洲年會能夠在台北舉行，一方面證明了台灣資安之能量，展現了台灣各指導機關多年致力於資安意識之提升，各學術單位致力於資安基礎與應用之研究，產業界致力資安產品之研發與整合，以及媒體致力於各領域資安訊息之分析等之成果；一方面也證明了，台灣在資安領域有其獨特之政治與軍事防禦意義，由於對資安有高於他國之需求，也造就了我們資安實力與經驗之累積，能夠在多年努力後，開始與他國分享我們的成果。

中文活動議程 http://owasp.org.tw/blog/
英文活動網站 http://www.owasp.org/index.php/OWASP_AppSec_Asia_2008

地點: 台北國際會議中心 TICC 三樓大會堂 (台北市信義路五段一號)

繼續閱讀全文...

HackAlert Enterprise - 企業級掛馬監控方案

Hi 大家好，兩個月前我在「網頁掛馬檢查服務--全網監控功能啟動！」這篇 blog 中介紹了當時我們正在開發的產品 - HackAlert Enterprise，隨後我們的 CEO Wayne 也抽空幫忙補上了一篇「HackAlert 的架構與技術 」，對當年發表在 WWW2003 的 WAVES 研究計畫做個概觀介紹。

上一篇發文時，UI 因為時程的關係許多功能還沒完成，但隨後我們從國內外的 beta user 收到了不少回應，激發了HackAlert 開發團隊不少新的想法，做了很多討論，也當然寫了相當多的程式碼、加上測試、系統整合，最後完成了新版的 HackAlert Enterprise，就是此篇的主角：


上圖是簡潔的登入頁面，在1年前掛馬還沒自動化到今天這樣的局面時，若你有 HackAlert SaaS 服務的帳號，你可以鎖定幾個網址，讓服務自動替你監控，出了事就會收到 email 通報，另一方面，可使用 On-Demand（立即掃描）來做即時檢驗，這邊說的 "即時" 是指當你填選完網址之後，HackAlert SaaS 的引擎就會立即替你瀏覽該網址，並將結果回報在下方的檢測結果，就拿10月15在大砲兄的開講網站上被公告的台灣咖啡網做為測試範例，首先看10月17號的On-demand掃描結果，我們可以看到這個網站的首頁仍掛著惡意程式：



西方有一句話說得很好 "A Picture Worth More Than Words Can Say"（一圖勝過千言萬語），隨著技術與文明的演進，古老的諺語也會跟著改變，我想 "A Picture" 可以直接換成 "A Video"， 因為現在在 Youtube 上就可以看到今天(10月17號)台灣咖啡網的紀錄片：



影片外部連結

這是一般惡意程式常見癱瘓系統的方式，瘋狂似的開啟大量的視窗、破壞系統的重要檔案，但也可能會自動地關閉防毒軟體，靜悄悄的安裝可遠端遙控的後門以及鍵盤側錄器，而這些都在瀏覽網站中不小心植入惡意程式，目前Google會將含有惡意程式的網址加一個 "這個網站可能會損害您的電腦" 標籤，並阻止進一步的瀏覽，但上榜就一定不是好事， 因為那表示這個網站的有程式設計漏洞、 管理缺失等問題，也影響了大家再回來光臨這個網站的意願，而因為駭客通常都是先拿完資料才種惡意連結，所以對於有販售商品的網站，這類事件等於個資與信用卡交易都已經被盜光，主機也可能已經被裝了 Rootkit。

在影片中，眼尖的人會發現不只一頁被掛馬，那是因為從今年開始出現大規模SQL攻擊之後，從入侵網站到掛馬就都是全自動了，有興趣的人可以 Google 一下相關工具。由於這幾年高互動的網頁把廣大網民的胃口養壞了，現在的商業網站都要做得夠動態、美工夠光鮮亮麗才有人要看，一個小站隨便就數百隻程式碼，但常看到一個狀況就是趕程式加上沒經驗，看過許多直接延用書上範例程式的例子，所以當然直接被自動攻擊打穿，而較深處頁面被掛馬就不容易被發現，所以後續清除時，惡意IFRAME可能也就沒有移除。

若網站太過於動態，用HackAlert SaaS 的話在管理上就不夠充足，若需要節省逐一更新鎖定URL的時間，HackAlert Enterprise 的全站監控就派得上用場，只需指定初始頁 URL，其他的就交給自動化頁面爬取功能（crawler）解決。登入後可以看到下列畫面：


企業版照我們一貫的設計風格，提供 Ajax 設定精靈，全站監控採用一個 project （掃描專案）來管理一個 Website 起始網址，我們點選 "Add Website Monitor" 後會出現下列3步驟，第一步驟為替專案命名與設定起始網址，在 UI 上稱做 Main URL：

第二步驟為選擇掃描類型，企業版提供 Malware 掛馬監控之外、還具有偵測網頁竄改（Defacement Monitoring）的功能，目前還在開發中，下次再介紹，我們選擇 Malware Detection：

第三步為設定要自動爬取（crawl）的範圍，才能避免從首頁開始自動找相關頁面的過程一直發散、使得程式無法停止，在這邊我們預設深度為 5 表示從首頁開始最多爬取 5 層，最大URL限制設為 400 指定爬取到 400 頁之後就停止，接下來是指定要納入的外部網址，假設起始網址為 http://www.example.com.tw，若要支援 http://shop.example.com.tw 就必須將http://shop.example.com.tw的這個 subdomain 加到到個欄位，最後一個是選擇間隔時間。


點選 Finish 之後，可以看到專案已經建立並被排入掃描引擎當中，但仍未開始掃描：

設定精靈幫專案建立了主要的項目，如果要變更選項， 在右手邊還有一些選項可以進行微調設定，這邊可以點進 "Edit Configuration" 這個圖示會出現下列畫面：


我們把監控時間改成每40分鐘一次，接著前往另一個設定頁面 "Notification Rules" (通知規則)，這邊可以細分為 Email 以及 SMS 簡訊兩部分，首先在 Email 通知設定內，我指定只要出現任何異常狀況都通知我：


接著設定企業版才有的 SMS 簡訊通知，我指定只要惡意程式確定存在我監控的網頁，就送簡訊到我設定的門號 (有預設數量限制，使用完畢會收到 Email 通知)：


不等排程啟動，我們直接點選開始鍵，接著會出現下列掃描狀態對話框，我們可以看到在掃描專案啟動的14秒內，掃描引擎發現了6個網址且全部都有惡意程式 ( URLs with malware 的值為 6 )，下方視窗可看到引擎的執行狀態：

7 分鐘過後，達到了 URL 上限的設定值 400 頁，掃描結果呈現出從首頁開始有 394 頁面被掛了惡意程式，另外一個頁面具有可疑連結，但不會觸發惡意程式，點選 "Malware" 分頁可以看到惡意程式的詳細資訊，清楚的說明從哪邊下載、以及自動載入到哪個目錄：


許多動態頁面發現被打穿了且掛了惡意程式，有時間的話我們的研究員可以利用 HackAlert Enterprise 研究一下自動掛馬器可以掛多深︰



透過上面內容的介紹，大家可以發現與前一版的差異已經相當大，可見大家相當辛苦!

這次利用台灣咖啡網作為說明並不是針對這個案例，而是直接就最近被報導的網站做說明，提醒大家網站攻擊的變化越來越快。在網頁掛馬的影響上，我在意的是個資，因為不論是主機被打穿導致資料被撈光、或是透過掛馬植入個人電腦上蒐集的惡意程式，都會衍伸出經濟、社會安全等等問題。最近看到一些消息，發現個資在國外黑市的販售價格有下降的趨勢，那其實表示資料越來越多、且容易取得，我個人的看法為這件事情跟自動化攻擊絕對有關，站在網路使用者的立場，除了一方面提升大家對於掛馬的認知，也希望從風險的角度，讓企業能有工具做網站災難管理，這在目前甚麼都 2.0、3.0、3.5 的時代，絕對會比過去來得重要。

作者 Walter Tsai 為阿碼科技 CTO

繼續閱讀全文...

2008 OWASP 亞洲年會 議程公布，共兩天！

（轉貼自http://owasp.org.tw/blog，請大家幫忙告訴大家，請盡量幫忙轉貼，感謝！）
首先感謝大家對於去年的「第一屆 OWASP 亞洲官方年會」的支持，讓我們全場 650 個位子座無虛席！


2008 OWASP 亞洲年會今年議程終於出爐了，由一天改成兩天（10/27~28），先簡單公布如下：

( 2008/10/27 ) - Day 1 第一天
Time	Topic	Speaker
09:15~09:30	主席致詞：今年大會內容簡介	Wayne 黃耀文 OWASP 台灣分會主席
09:30~09:45	資策會長官致詞	TBD
09:45~10:00	中華軟體協會資安促進會長官致詞	陳振楠 會長
10:00~11:00	我在 Foundstone 的日子：Web 威脅與防禦實例	YM Chen 陳彥銘 McAfee Foundstone
11:10~12:00	網站掛馬研究：Web 惡意程式寫法與偵測技術大公開	Wayne 黃耀文 Jeremy 邱銘彰 阿碼科技
12:00~13:00	午餐休息，請多彼此認識並與講師互動！
13:00~13:50	修改密碼無效！駭客還是在收取您的電子郵件！	林佳明
14:00~14:50	網路犯罪研究與五千萬筆個資外洩事件調查建議	叢培侃 PK 余俊賢 Jack
14:50~15:10	Coffee Break 中場點心休息，請多彼此認識並與講師互動！
15:10~16:00	網站被駭的真實故事集（英文） Real Stories of Website 0wnage	Fyodor Guard-Info
16:10~16:40	Web proxy 造成的資安威脅：以近日 Google Docs 0-day 為例（英文） Proxy Caches and Web Application Security--using the recent Google Docs 0-day as an example	Tim Bass OWASP 泰國分會主席
16:40~17:10	Web 滲透測試與風險評估（英文）	Dhruv Soi OWASP 印度年會主席 OWASP 印度分會主席

( 2008/10/28 ) - Day 2 第二天 （全天英文）
Time	Topic	Speaker
09:30~09:45	長官致詞	TBD
09:45~10:00	長官致詞	TBD
10:00~11:00	Web 0day 大威脅：Clickjacking（九月OWASP美國年會禁講）(全球首播) New 0-Day Browser Exploits: Clickjacking - yea, this is bad...	Robert "RSnake" Hansen SecTheory
11:10~12:00	Web 2.0時代各種資安技術比較與市場分析（今年 OWASP 美國年會演講） Web 2.0, Consumerization, and Application Security	Chenxi Wang, Ph.D. Forrester Research
12:00~13:00	Lunch Break 午餐休息，請多彼此認識並與講師互動！
13:00~13:50	如何做好商業滲透測試（今年 OWASP 印度年會演講） Good Business Penetration Testing	KK Mookhey OWASP 孟買分會 NII
14:00~14:50	Web 防火牆（WAF）最佳實務指引（今年 OWASP 美國年會與歐洲年會演講） Best Practices Guide: Web Application Firewalls	Alexander Meisel OWASP 德國分會 art of defence
14:50~15:10	Coffee Break 中場點心休息，請多彼此認識並與講師互動！
15:10~16:00	Web 上之僵屍網路與 DDoS 研究（今年 OWASP 美國年會演講） The HTTP Botnet Research: Focusing on HTTP based DDoS Botnets	Steven Adair ShadowServer Foundation
16:10~17:00	論壇：黑箱、白箱、還是 WAF 防火牆？工具好還是顧問好？ Chenxi、Robert、YM、Fyodor、KK、Dhruv、Alex、Tim Bass	主席：Wayne

★ 主辦單位保留變更活動內容及相關事項之權利。

大會場地與交通資訊

跟去年一樣，本次大會於舒適寬敞之劇院型階梯演講聽--「台大醫院國際會議中心201室」舉辦，地址為：100台北市中正區徐州路2號。交通資訊請見：http://www.thcc.net.tw/othstraffic.html

今在籌辦第二屆 OWASP 官方亞洲年會時，心中感觸特別多。OWASP 亞洲年會，都是由我們向贊助單位籌資金，然後想辦法邀到好的講師來演講。亞洲距離歐美很遠，飛來一趟要花很多時間，使得整個活動的籌辦，不但籌資金困難，邀頂尖的講師更是難上加難。同時，我們希望今年能夠達到：

1. 對於最新的 Web 攻擊手法，有深入的技術性探討，讓使用者也讓廠商能了解新的攻擊趨勢。
2. 對於防守的策略，能找到在技術上有深度，並且不帶廠商色彩的講師，對於各方面的技術，如滲透測試、黑箱或 WAF 等，都能涵蓋。
3. 站在廠商的角度，對於整個資安產業的趨勢，站在使用者的角度，對於各種技術的比較，能有具公信力的資深產業分析師來探討。
4. 對於透過 Web 的網路犯罪，能有資深的檢調單位代表來分享經驗。
5. 講師方面，希望仍有一半是外籍講師，並希望盡量是在 OWASP 其他年會演講過之講師，因為 OWASP 亞洲年會在建立的初期，需要他們來帶入 OWASP 應有的文化。

要達到以上五點，真的非常不容易，也感謝全體工作人員的努力。今年，第二屆OWASP官方亞洲年會「OWASP AppSec Asia 2008」日期與講師已經確定，會有專業同步翻譯（口譯），會有 T-shirt，也會對政府單位發正式的公文，但是由於時間緊迫，先跟各位告知。我們很感謝資策會與中華民國資訊軟體協會能贊助我們，也感謝資安人雜誌能當我們的協辦媒體，讓活動能成行。大會目前還缺贊助單位，如有興趣可與我聯絡，另外只有 650 個位子，報名從速，我們這麼辛苦的準備，希望在會場能見到您！這只是一個初步的快速通知，之後會有正式的網頁，請各位隨時留意 OWASP 台灣分會官網 以及訂閱 OWASP 台灣分會部落格。今年的外籍講師共有九位（美國四位，歐洲一位，印度兩位，泰國一位，俄國一位），其中為剛結束的 2008 OWASP 美國年會 的講師有四位，2008 OWASP 歐洲年會講師有兩位，2008 OWASP 印度年會講師有一位，有幾位同時為美國駭客年會 Black Hat / DEFCON 講師，其中也包括了 OWASP印度分會主席，OWASP孟買分會代表，OWASP德國分會代表，OWASP泰國分會主席。

今年的重頭戲，當然是 Robert 在今年 2008 OWASP 美國年會的演講被禁講（ITHome 報導、阿碼報導）的演講，會在台北做全球首度的公開演說。英國最大 IT 媒體The Register 以「Adobe 禁止 Clickjacking 弱點的公開」大幅報導此事，RSnake 則說，原本他們覺得是一場很好的演講，但是因為漏洞像滾雪球一樣，一個漏洞導致另一個漏洞，牽涉到一個接一個廠商，導致整個弱點的嚴重性不只是嚴重，而是超級嚴重所以兩個講師決定必須等所有牽涉其中的廠商都有一定的時間反映後，才適合做揭露。我覺得這一場的重點並不光在於他要探討的 0-day 漏洞，而更在於大家對於目前 Web 的基本運作原理，以攻擊手法的了解。這些知識如果基礎打穩，在檢視自己或客戶的網站安全時，便能很容易的運用有限的時間，找到重點問題，並予以修復。駭客找漏洞，其實有很規則的思路可尋，了解這種思路後，我們一樣能一眼看出漏洞所在。

在其他種威脅方面，來自亞洲區的研究，OWASP 泰國分會主席 Tim Bass 將會講一場「Web proxy 造成的資安威脅：以近日Google Docs 0-day 為例」，台灣方面林佳明將講一場：「修改密碼無效！駭客還是在收取您的電子郵件！」

資安挑戰的整體敘述，將由 Forrester 的首席分析師 Chenxi Wang 博士來擔綱。Chenxi 曾在卡內基美隆大學（Carnegie Mellon University）擔任助理教授，為當初幫助CMU成立著名資安實驗室 CyLAB 之關鍵人物之一。目前 Forrester 出版的跟 Web 資安相關市場調查報告，都是出自她的研究。Chenxi 並會探討黑箱、白箱、WAF在技術上以及在資安投資報酬率上的差別。Chenxi 寫的幾篇對於黑箱、白箱與 WAF 的產業報告，是目前全球業界引用的重點。至少在 WAF 的市場規模方面，我只記得他的報告有確切的數字，Gartner 與 IDC 似乎都沒有，所以至少我自己參考以及我碰到的諸多廠商與投資人參考的，都是她的那篇。如果您是資安市場分析師或投資人，那您一定要撥空來！如果您是資安廠商而希望能對她公布的資料、數據與論點有意見，也歡迎前來與她當面交換！

滲透測試手法方面，有 RSnake、KK、Dhruv、YM 以及 Fyodor 五位講師，其中 KK 與 Dhruv 來自印度，KK是印度最有名的滲透測試公司 NII Consulting 的創辦人兼總經理，曾經擔任 Black Hat、Interop、IT Underground 等研討會講師，並為 Google、聯合國等大型客戶執行滲透測試專案。滲透測試的發展已經由技術導向轉變為商業導向，在預算緊縮的今天，如何有效運用時間，以最低的成本，找到最重要的漏洞？這就需要以客戶在商業營運上的風險面向為基礎，來建立相對應的滲透測試項目，例如現今企業面對的商業間諜（corporate espionage）、金融詐騙（financial fraud）等威脅嚴重，因此就需要有對應的滲透測試情境，如社交工程攻擊（social engineering)、實體安全演練等，才能提供更有價值的商業導向滲透測試服務。

為何我選了兩位來自印度的講師來講滲透測試？我在印度聽過 KK 的課，也看過印度大大小小的滲透測試團隊實際上執行專案的情形。我的看法是，印度以軟體產業立國，但是並不是一開始就能從專業的軟體開發案獲利。就如同我們以電子製造業起飛，但是我們是慢慢由做勞力密集的聖誕燈泡，到做收音機，到做 PC 、筆電、手機，慢慢從勞力密集轉而能獨立研發。印度也一樣，軟體產業發展的初期，很依賴勞力密集的軟體測試。所以對於軟體測試的方法論，流程，執行，測試環境的設計，測試資料的建立，到與客戶的溝通，專案的執行等，非常的有經驗，因為這是他們的本行！滲透測試的技術研究，不計成本，目的在找到漏洞，這個歐美的研究員做得很好。可是商業滲透測試，講的是如何有效運用預算，了解客戶需求，達到最大效果，在這方面，印度的軟體測試產業行之有年，商業模式很成熟，我相信他們的經驗會對各位有幫助。

滲透測試與其他顧問服務，在美國又是如何進行的呢？McAfee Foundstone 是美國前幾大專門的資安顧問公司，陳彥銘自 CMU 畢業之後，就加入了 Foundstone 至今，以經是資深的 Director，帶領 Foundstone 團對於美國各地進行滲透測試、顧問服務與教育訓練。他將以「我在 Foundstone 的日子：Web 威脅與防禦實例」，與各位分享他的經驗。

在台灣的滲透測試方面，來自俄羅斯的 Fyodor 長期於台灣進行滲透測試，他將以一場「網站被駭的真實故事集」，探討這許多年來，他在台灣看到的種種真實故事，讓各位直接接觸這些造成嚴重損失的 Web 漏洞--很多漏洞看了會心一笑，原來這樣設計也會有漏洞。攻擊方法並不難，但是簡單的錯誤卻會造成嚴重的損失。

Web 防火牆 WAF 方面，我選擇跟跟今年美國年會、歐洲年會一樣，由德國 OWASP 分會的 Alex Meisel 來負責。Alex Meisel 上個月在美國年會，以及之前在今年歐洲年會，以德國分會的名義，發表了一篇 whitepaper：「Web 防火牆（WAF）最佳實務指引」（Best Practices Guide: Web Application Firewalls），很受大家肯定，如果您目前正困擾 WAF 該如何選擇，歡迎來與 Alex 探討！

網站掛馬方面，全球最有權威性的組織之一，就是 ShadowServer Foundation 了。ShadowServer Foundation 長期監控全球僵屍網路（botnet）與網站掛馬，擁有豐富資料，堪稱美國此方面研究最深入之組織之一。今年的美國年會，找了 ShadowServer Foundation 的重要成員 Steven Adair 來擔任這方面的講師，我也非常努力的邀到他來台灣與各位互動。如果有需要與 ShadowServer Foundation 交換情報與研究資料的單位，請與我聯絡！

對於亞洲區網站掛馬的研究，邱銘彰一向是大家很肯定的研究員之一，他也是各會議爭相邀請的講師。我跟他從不認識到認識到變成朋友到變成同事，也從他身上學到不少寶貴的知識。我們將一起公開一份我們最新的掛馬研究，是我們先用英文寫完，然後也翻成中文的，努力了半年，留在 OWASP 亞洲年會發表。我們將探討目前掛馬的工具與手法，仔細研究各種惡意 javascript 的寫法以及變形、加殼與資料隱藏的技術，並與各位討論為何惡意 javascript 這麼難偵測。由於我長期研究動態與靜態分析技術，我也會探討這兩種技術應用於網站掛馬偵測時的優劣。

對於亞洲利用 Web 攻擊的犯罪手法與事件分析，則由 PK 與 Jack 來負責講「網路犯罪研究與五千萬筆個資外洩事件調查建議」。很多圈內朋友稱 PK 為「台灣鑑識一哥」，Jack 則也多年研究網路攻擊於軍事上之應用，希望他們一起的演講，能讓各位對於層出不窮的 Web 網路犯罪，有更深入的了解。

最後，基本上，各地的 OWASP年會希望達到以下目的：
1. 由年會選出來的頂尖講師，對於最新的攻擊方法，防禦技術，以及客戶的成功案例，提供最新資訊與經驗分享。
2. 對於各界資安人士，包含各國OWASP成員，業界資安主管及IT從業人員，各國政府、軍方及情治單位，以及投入資安市場之廠商、代理商、系統整合商以及顧問公司，提供一個交流的機會，讓大家相互認識，分享經驗以及交流技術。

OWASP 每年有兩次官方會議，一次在歐洲，一次在美國。由於 OWASP 為 Web 資安之最大國際組織，其所定義之標準被五大信用卡公司之 PCI 標準、美國聯邦貿易委員會、FBI、美國國土安全部，以及各國政府所採用，故OWASP每年之官方年會，除了為年度世界資安頂尖人物必到之大會，更為各國政府，企業以及資安產業必定派人參加之國際盛會。我國行政院研考會之「Web應用程式安全參考指引」，亦將 OWASP Top 10 列為重要參考標準。

我想會議能夠在台北舉行，一方面證明了台灣資安之能量，展現了台灣各指導機關多年致力於資安意識之提升，各學術單位致力於資安基礎與應用之研究，產業界致力資安產品之研發與整合，以及媒體致力於各領域資安訊息之分析等之成果；一方面也證明了，台灣在資安有其獨特之政治與軍事意義，由於對資安有高於他國之需求，也造就了我們資安實力與經驗之累積，能夠在多年努力後，開始與他國分享我們的成果。最後最主要的，是大家踴躍的報名。您對於 OWASP活動的支持，是這次會議能夠在台北舉行之關鍵。因為這表示台灣有足夠的人士，在關心資安的議題，在投入資安的研究，您上次的出席，也讓我們有動力，再次募款並邀請最頂尖的講師前來。看到了這次講的的陣容，不難想像我們要在工作的空餘時間，募集資金，負責所有講師的機票與住宿，行程安排，簽證取得，大家真是把命賣了在做，希望您能把握這次機會，準時來參加活動，一方面從最頂尖的講師接觸最新的資安訊息，一方面也與大家認識。

去年超過1000人報名，卻因場地席次限制，許多欲與會者無法順利出席去年年會，座位有限，今年請早報名。
報名請直接回給我或 email 給：info@owasp.org.tw

1. 姓名：
2. 單位（或學校）：
3. 職稱：
4. 電話：
5. Email：
6. 是否需要同步翻譯耳機？ 如果是，是否用 200 元加購？還是放棄 T-shirt？
7. 中餐是否需素食？
8. 統一編號？公司 title？
9. 是否是學生票？學生票是否加購中餐（一天？兩天？）？加購 tshirt？

報名後三個工作天會收到匯款方式，匯款後三個工作天會收到序號，請用序號入場，如果沒有收到可以來電詢問：(02) 6616-0100 ext 111 林先生。
時間：97年10月27至28日(星期一至二) 09:00-17:00<
地點：台大醫院國際會議中心 201 室 (台北市中正區徐州路二號)
費用：
1. 全票 NTD 1000 元整（幫忙負擔午餐、點心、場地、T-shirt與機票費用等、不含耳機）
2. 學生票 NTD 300 元整（不含便當、如需便當一天 100 NTD， T-shirt 要另購，一件 300 NTD）
同步翻譯：會有專人同步翻譯（不是我們自己的工作人員，是外聘的同步口譯人員），同步翻譯耳機 200 元外加，或是放棄 T-shirt
T-Shirt：會有
公家單位公文： 會由最大贊助單位資策會發公文，以利請假作業

講師簡歷 (中文版)
Robert Hansen (aka“RSnake”)--SecTheory
CISSP、SecTheory 的 CEO，曾四次演講於 Black Hat，今年並為 Black Hat 與 DEFCON 雙講師（這裡有報導）。與 Jeremiah Grossman 著有知名之「XSS」一書（Syngress出版），今年 2008 OWASP 美國年會 的演講被禁講（ITHome 報導、阿碼報導），為今年大會最轟動之事。他將在台灣首次公開此次禁講之內容。RSnake之部落格 ha.ckers.org 與論壇 sla.ckers.org 為駭客界被訂閱最多之部落格/論壇之一。負責 O'Reilly 與 Dark Reading 線上專欄（Snake Bytes @ Dark Reading），除了 Black Hat / DEFCON 之外，也在各大研討會中擔任講師，包含OWASP年會、微軟 Bluehat、WASC 各會議、Networld+Interop、SourceBoston、 Secure360、GFIRST/US-CERT、Toorcon、APWG、ISSA以及TRISC等會議。

RSnake曾任 eBay 資深全球產品資安經理、通訊網路公司資安架構師，工作內容是 anti-phishing、anti-DHTML malware，也曾擔任 Realtor.com 的產品管理總監。參與 NIST.gov 的 Software Assurance Metrics and Tool Evaluation 及 Web Application Security Scanners Evaluation Criteria (WASC-WASSEC)專家群組，也是
Infragard 、WASC、IACSP、 APWG、ISECOM 成員。

Steven Adair—ShadowServer Foundation
Steven Adair 是 ShadowServer Foundation 的重要成員之一，也是這次 2008 OWASP 美國年會的講師。ShadowServer Foundation 長期監控全球僵屍網路（botnet）與網站掛馬，擁有豐富資料，堪稱美國此方面研究最深入之組織之一。

Alexander Meisel—OWASP 德國分會、art of defence
Alexander Meisel 是德國 art of defence 公司技術長，負責該公司之 Web應用程式防火牆（Web application firewall、WAF）之研發。之前在歐洲最大的ISP-LINX擔任網路安全首席，曾負責大規模的網站安全稽核與流量管理，專長為Web Security。他的安全專業可以追朔到在學階段所提出的預防與追蹤DDoS攻擊研究。Alex 是今年 2008 OWASP 美國年會與 2008 OWASP 歐洲年會的講師。

K. K. Mookhey—OWASP孟買分會、NII Consulting
印度最有名的滲透測試公司 NII Consulting 創辦人兼總經理，專長為滲透測試、資安鑑識、風險評估、資安相關規範（PCI、ISO 27001、BS 25999、ISO 20000）、IT基礎架構管理等。擁有CISSP、CISA、CISM、CEH等證照。是印度最知名的資安專家之一，著作有Linux Security And Control（ISACA 出版）與 Metasploit Toolkit（Syngress出版）兩本專業書籍。KK 為今年 2008 OWASP 印度年會講師，並曾經擔任 Black Hat、Interop、IT Underground 等研討會講師，並為 Google、聯合國等大型客戶執行滲透測試專案。

Chenxi Wang, Ph.D.—Forrester Research
Dr. Chenxi Wang 是全球前三大市場調查研究機構 Forrester Research 的首席分析師，Forrester 出版的跟 Web 資安相關市場調查報告，都是出自她的研究。在加入 Forrester 之前，Dr. Wang 在卡內基美隆大學（Carnegie Mellon University）擔任助理教授，為當初幫助CMU成立著名資安實驗室 CyLAB 之關鍵人物之一。在 CMU 期間，Chenxi 負責執行了上百萬美元預算的研究專案，包過與美國國防部以及美國國家科學基金會（National Science Foundation、NSF）的共同研究專案。Chenxi 也曾擔任美國聯邦貿易委員會（Federal Trade Comission、FTC）、HP、Emerson、Lucent 等單位的資安顧問。

Chenxi 為今年 2008 OWASP 美國年會的講師，並定期在各大資安會議演講，其言論與發表常被美國主流媒體引述，包含 New York Times / InfoWorld 等媒體。

Wayne Huang（黃耀文）—OWASP台灣分會主席、Armorize 阿碼科技（大會主席）
Wayne 為 OWASP 台灣分會會長，也是阿碼科技的創辦人兼執行長，對於推動台灣的資安社群，不遺餘力，在台灣舉辦 SySCAN、OWASP 亞洲年會等資安會議。

Wayne 是一位豐富經驗的資訊安全專家，專長領域包括，網路、系統及應用程式安全。Wayne 最為人所熟知的專長領域在網頁應用程式安全，並在全世界發表了許多相關主題的期刊論文。除此之外，Wayne 也時常受邀擔任全球安全會議的演講者，包含 RSA、OWASP、SySCAN、WWW、PHP 與 DSN 等。Wayne 同時也是阿碼科技在推動技術創新的重要推手。

Wayne 是第一位連續二年在國際全球資訊網路會議（WWW Conference）獲獎的作者，並且是 《 Web Application Security-Past，Present，and Future 》一書的共同作者。

Yen-ming Chen (YM Chen) —McAfee Foundstone
Yen-Ming 於 2000 年加入 Foundstone 顧問團隊，現職為 McAfee Foundstone 的 Director，帶領 Foundstone 團隊於美國各地執行各種資安專案。Yen-Ming並為 Foundstone「Ultimate Hacking」、「Ultimate Hacking Expert」、「Ultimate Web Hacking」、以及「Ultimate Hacking: Incident Response」等四門課的首席講師。在加入Foundstone之前，他在CMU網路安全中心，曾參與Snort開發，製造出第一個在磁片上的Snort sensor(PicoBSD)。是Hacking Exposed、Hacking Exposed for Web Application、Windows XP Professional Security及HackNotes: Web Application Security的四本書的共同作者。Yen-Ming 曾被 BBC 採訪，並經常於國際大型研討會擔任主要講師，其中包含 PacSec、HITB、HACK.LU、台灣駭客年會、CSI、MISTI、APAC 等會議。

Fyodor Yarochki—GuardInfo
Fyodor經常擔任各國際駭客年會之講師，包含Black Hat 2001 HK、Black Hat 2001 Singapore、Black Hat 2002、Ruxcon 2003、XCon 2003 / 2006、HITB 2004 / 2005、SyScan 2005 / 2008、Bellua 2005、VNSecurity 2007、DeepSec 2008等。他於頂尖資安學術會議與地下雜誌皆有重要文章發表，包含Usenix Conference與Phrack
Magazine（最具影響力之地下駭客雜誌）。Fyodor並為Snort最早的開發者之一，目前仍為Snort FAQ的維護者。Fyodor並為XProbe的創辦人。

PK
台灣鑑識一哥，論鑑識現場之經驗，屬台灣最具經驗之前輩之一。對於逆向工程、作業系統核心、活體鑑識技術等，皆有深入之研究；長期使用Soft Ice等鑑識工具，頗具心得。在中央警察大學資管所就讀期間，主攻電腦鑑識方面之研究，爾後於台灣電腦網路危機處理暨協調中心(TWCERT/CC)擔任電腦鑑識實務班講師，授課內容包含惡意軟體的靜態與動態分析、數位資料於法律上之證據力、事件處理時數位證據之取得與保存等。目前研究興趣包含數位鑑識工具與惡意程式偵測工具之開發。今年為SySCAN前瞻資安年會、HITCon講師。

邱銘彰 (aka "Birdman") —Armorize
阿碼科技X-Solve實驗室首席研究員。Birdman利用其所研發之Archon與HackAlert技術，長期監控亞洲所有網站被掛馬之情況，專長各種惡意程式分析，日中一食，堪稱是節能環保省碳型多才多藝的後現代資安人才。經常於OWASP Asia、SyScan 2008 TW、HITCon與其他研討會擔任講師。

余俊賢 （Jack）—Armorize
現任阿碼科技資安顧問與ASF專家團隊講師，曾擔任資安人雜誌主編。Jack對於亞洲之特殊攻擊型態，長期投入研究，專長為資安事件處理與電腦鑑識，擁有CISSP、BS 7799 LA、CEH 等資安證照。曾於OWASP Asia、SyScan 2008 TW、HIT Con 與其他研討會擔任講師。

林佳明 （Charmi Lin） —ICST
現任行政院國家資通安全會報技術服務中心(簡稱技服中心)工程師。Charmi主要的工作為協助政府機關處理各種資安事件，charmi經常參與政府機關受駭後的資安事件調查與進行電腦鑑識工作，對於目前台灣正面臨的組織型駭客攻擊有深刻的體會。擁有GCFA與 BS 7799 LA 證照。經常於資安人雜誌投稿相關資安技術文章。

Tim Bass—OWASP 泰國分會主席
前首席網路資安顧問，美國空軍總部。前首席網路顧問，美國國防部。前首席網路資安顧問，美國能源部。前 SWIFT 資安顧問。Tim 常擔任各資安會議 keynote。Tim 是 Unix Forums 的 Director。Blog：www.thecepblog.com。

Dhruv Soi—OWASP 印度年會主席、OWASP 印度分會主席
Dhruv 在多家公司任職弱點研究員與資安首席，包括 FCS Software Solutions、Momentum Technologies、iPolicy Networks、Fidelity Investments、Sopra Group等。

-- Wayne 敬上（email: wayne@owasp.org.tw）
OWASP 台灣分會會長

繼續閱讀全文...

網路上交朋友要小心 (Be careful with making friends on IM)

之前在探討 IM (Instant Messaging) 使用上對於帳密保護的重要觀念，不要輕易將帳密外洩出去，也不要輕易將自己的朋友給出賣了，可以參考「你！出賣朋友嗎？」一文。
本文主要探討交朋友時也要多加注意，因為你可能被對方出賣，其中又以 Skype 最需要小心，因為其他如 MSN、Yahoo、AOL...等，需要確切的帳戶資料(通常是 E-Mail)，才能加入「朋友清單」，雖然這帳戶資料在網路上也不難找...XD，不過，還是需要一些網路搜尋術的；只有 Skype 利用關鍵字，就能搜尋 Skype 的使用者資料庫，所以相對而言是非常寬鬆的，你可以找你想找的一些人或族群。可以看下圖：


所以，使用即時通(IM)軟體，你要小心被別人出賣，也不要出賣你的朋友哩。

接下來我們就看一下，哪些人會想跟你交朋友勒...這些圖片可是蒐集很久哩！

上面這張圖一看就像是色情業者來著。這張圖沒有抓到他的個人資料，不過，他是剛滿24歲來著。



上面兩張圖，看不出來頭哩！不知道上面寫的是不是土耳其文，文意也不知是啥？如有知道詳情者還請賜教，感恩。



上面兩張圖，很明顯了吧。又是剛滿24歲。

我們反過來，在 Skype 上搜尋"sexy"字串，可以找到很多都是"剛滿24歲"的帳戶哩。

不知道"剛滿24歲"是否有啥特殊意義呀？希望知道的網友可以告知一下，可以用匿名的方式...ccc

至於交到壞朋友...嗯，應該也不能說教到壞朋友，應該說不慎被出賣了，哪會有啥結果呢。
網路上也有些討論，可以看看、參考一下：
loose wire blog：Meet Veronica, Sexy Skype Spammer
ZDNet：Blogger hit by Skype porn spam, plays along for a bit
Angela-femme sexy-sexe-sex-friend
簡單的說就是皮條客的行為，而皮條客的推銷總是令人反感。不過色情跟賭博通常都是一掛的，畢竟多角化經營唄。

至於 MSN 被出賣了會有何結果呢？這我想大家應該看多了，很多地方也有討論，主要也還有惡意程式利用 IM 進行散播，所以目前而言，嚴重性較高，可以參考這裡的文章；我這耶貼張圖給給大家參考，通常是傳給你一個網站 (URL) 或是一個惡意的檔案；最近莫名其妙的行銷手法越來越多啦。

上圖看來是某種行銷術，八成有個"好友"又把我給出賣了...XD。利用 MSN 最大挑戰是心理難關，因為，送這些訊息給你的都是你的好友，你能有警覺性嗎？我都把 MSN 訊息中的超連結拿掉，怕哪天一時昏迷...中招！

只能說情色行業的滲透力十足，雖然不是高深的攻擊技術，但是充分的利用人性弱點呀。之前貼的一篇文「另類廣告行銷手法」，是不是頗為巧妙的，這裡我的一句話：「對付創意的人，就需要創意的反制策略」。

本文亦張貼於：資安之我見

作者 Crane 為 阿碼科技 資安顧問

繼續閱讀全文...