# Security Intro 資安入門 ###### 投影片連結：https://hackmd.io/@Sean64/sec-cksh2022 Note: ### 時間分配 14:15 自我介紹 5 min 14:20 資安簡介 10 min 14:30 CTF 分類 10 min 14:40 F12 5 min 14:45 XSS 10 min 14:40 14:55 BAC 5 min 15:00 15:00 cmdi 10 min 15:25 15:10 **下課** 10 min 15:20 Q&A 5 min 15:25 Crypto 5 min 15:30 Forensic 10 min 15:40 學習資源 15 min 15:55 Q&A 10 min 16:05 **結束** ---- ## 講者介紹 - 陽交資工大三 Sean 韋詠祥 ---- ## 你們可能看過...  ---- ## 或是看到這篇...  ---- ## 現任經歷 - SITCON 2022 議程組長 - 系計中 Net 組、Web 組助教 - 資訊之芽 Python 講師 - 行政院 技服中心 網路攻擊手 --- # 什麼是資安？ - 電腦沒鎖被發文 - 亂插隨身碟中勒索病毒 - 攔截流量、破解密碼 - 找到程式漏洞 ---- # 資安競賽類型概覽 - Bug Bounty 賞金獵人 - Capture the Flag (CTF) ---- ## Bug Bounty 賞金獵人 以 [Apple](https://developer.apple.com/security-bounty/) 為例  ---- ## Capture the Flag (CTF) 又分為... - Attack and Defense 攻防賽 - King of the Hill 爭霸戰 - Jeopardy 解謎賽 ---- ## Attack and Defense (A&D) - 主辦單位提供機器/服務 - 自行研究漏洞 - 幫服務上 patch（補丁） ---- ## HITCON DEFENSE  ---- ## King of the Hill (KoH) - 主辦單位提供幾個服務 - 看誰程式最短、撐得久、速度快、最接近完美 - 通常沒有標準解 ---- ## KoH 題目舉例 - 用最少步數解出 Wordle - 執行任何指令，讓自己程式存活最久 - 植入後門，讓首頁出現自家隊伍名稱 ---- ## Jeopardy - 大家解同一套題組 - 通常各題分數與難度相關 - 最常見的競賽類型 - 找到長得像 `FLAG{printable}` 的字串 ---- ## Jeopardy 常見形式 - CTFd  --- # Jeopardy 基本分類 - Web 網頁安全 - Crypto 密碼學 - Reverse 逆向工程 - Binary 執行檔滲透 - Forensic 數位鑑識 - Misc 其他雜類 ---- ## Web 網頁安全 - 通常會是一個有資安漏洞的網站 - Flag 可能藏在原始碼、設定檔、資料庫等 - 先備知識：了解常見開發問題 ---- ## Crypto 密碼學 - 通常會給加密用腳本、密文 - 自己找出實作瑕疵、可逆函式 - 先備知識：比較吃數學基礎 ---- ## Reverse 逆向工程 - 給一個執行檔，回推原始碼 - 先備知識：看得懂組合語言、熟悉各語言特性 ---- ## Binary 執行檔滲透 - 看懂程式碼後，找出漏洞並破解 - 通常需要 RCE 執行特定程式碼 - 先備知識：Reverse、系統架構 ---- ## Forensic 數位鑑識 - 提供數位檔案，從蛛絲馬跡找出答案 - 例如被駭侵的電腦映像檔 - 先備知識：工具使用、系統架構 ---- ## Misc 其他雜類 - 所有天馬行空、無法被歸類的題目 - 先備知識：通靈 --- # Web 經典漏洞 終於要進入 Demo 環節了 ---- ## View Source Code (F12) - 最基本的題目 - 請各位打開題目頁面 https://ctf.sean.cat/ ---- ## XSS - 未過濾使用者輸入 - 通常以 `<script>alert(1);</script>` 驗證 ---- ## Path Traversal - 忘記限制存取權限 - 常見 `../%2e%2e/.%2e/etc/passwd` 字樣 ---- ## Broken Access Control - 只在登入頁面驗證身份 - 看一下原始碼 ---- ## Command Injection - 未過濾使用者輸入 - 通常會用 `id` 看身份、`ls` 及 `cat` 看檔案 ---- ## 下課休息 ###### 線上提問：https://sli.do/Sean <iframe src="https://wall.sli.do/event/kRPZbXf5x9Ytyxocwv5hts" height="100%" width="100%" frameBorder="0" style="min-height: 480px;" title="Slido"></iframe> --- # Crypto 經典玩法 ---- ## Caesar Cipher 凱薩密碼 - 以前以為很安全，但現在全世界都知道了 ---- ## Ecoji - 用 Emoji 做編碼 --- # Forensic 經典玩法 ---- ## Memory Dump 記憶體傾印 - 模擬鑑識中毒的電腦 - 需要特定工具處理、了解程式記憶體架構 ---- ## Steganography 隱寫術 - 在圖片、音訊、影片中隱藏資料 - 需要知道用哪種技術、金鑰 --- # Misc 經典題型 ---- ## QR code 修復  --- # 學習資源 ---- ## AIS3 新型態資安暑期課程 - 每年暑假課程 報名截止：4/26（二） https://ais3.org/ ---- {%youtube nHOyRa7zPZE %} ---- ## PicoCTF - 初學入門題目合集 https://play.picoctf.org/ ---- ## CTFtime - 每週都有大大小小的比賽 https://ctftime.org/ --- # Thanks 投影片連結：https://hackmd.io/@Sean64/sec-cksh2022 <!-- .element: class="r-fit-text" --> <br> [](https://creativecommons.org/licenses/by/4.0/deed.zh_TW) ###### 這份投影片以 [創用 CC - 姓名標示](https://creativecommons.org/licenses/by/4.0/deed.zh_TW) 授權公眾使用，原始碼及講稿請見 [此連結](https://hackmd.io/@Sean64/sec-cksh2022/edit)。 ---- ## Q&A ###### Link: https://sli.do/Sean <iframe src="https://wall.sli.do/event/kRPZbXf5x9Ytyxocwv5hts" height="100%" width="100%" frameBorder="0" style="min-height: 480px;" title="Slido"></iframe> Note: ### 常見問題 - VPN 安全嗎 - 學會資安有什麼用 ---- ## 參考資料 / 延伸閱讀 - [CTF 的三十道陰影](https://ithelp.ithome.com.tw/users/20121059/ironman/2810) - dada, iThome 鐵人賽 - [關於 CTF 的那些事](https://sitcon.org/2021/agenda/7a88857e-7d50-4d9c-a656-2d99feef6198) - LYS, SITCON 2022 - [Got Your PW](https://gotyour.pw/resources.html) - 專供資安人的資源與工具整理