---
type: slide
tags: presentation,security
title: Cybersecurity Intro 資安入門 - 建功軟研 2023
description: Sean 韋詠祥 / 2022-04-21 14:00 / 什麼是資安 / Jeopardy 基本分類 / Web 網頁安全、Crypto 密碼學、Reverse 逆向工程、Binary 執行檔滲透、Forensic 數位鑑識、Misc 其他雜類 / 學習資源
---

# Cybersecurity

建功軟研社課

講者：Sean 韋詠祥

###### 投影片連結：https://hackmd.io/@Sean64/sec-cksh2023

Note:
### 時間分配
| Begin | Section | Time | Actual |
|:-----:|:-----------:|:------:|:------:|
| 14:15 | 自我介紹 | 5 min | |
| 14:20 | **Welcome** | 5 min | 14:22 |
| 14:25 | CTF 分類 | 10 min | 14:28 |
| 14:35 | **BAC** | 10 min | 14:33 |
| 14:45 | 講課 | 5 min | |
| 14:50 | **cmdi** | 15 min | 14:50 |
| 15:05 | 講課 | 0 min | 15:07 |
| 15:05 | **XSS** | 15 min | 15:10 |
| 15:20 | Misc | 0 min | 15:25 |
| 15:20 | **Caesar** | 10 min | 15:26 |
| 15:30 | Forensic | 5 min | |
| 15:35 | **Stego** | 10 min | 15:35 |
| 15:45 | 學習資源 | 10 min | 15:47 |
| 15:55 | 合照 | 5 min | |
| 16:00 | 自由練習、QA | 5 min | |
| 16:05 | **結束** | 0 min | |

----

## 講者介紹

- 陽交資工大四 Sean Wei 韋詠祥


Note:
- SITCON 2022 議程組長
- 資訊之芽 Python 講師
- 行政院技服中心 網路攻擊手
- 教育部竹苗區網 資安檢測員

----

## 什麼是資安？

- 電腦沒鎖被發文
- 亂插隨身碟中勒索病毒
- 攔截流量、破解密碼
- 找到程式漏洞

Note:
調查被亂發文過的比例

----

## Welcome to CTF
請開啟 https://ctf.sean.cat/ 第一題


Flag 格式為 `FLAG{Print@b1e}`

Note:
預計時間 14:20 - 14:25

---

# 資安競賽類型概覽
- Bug Bounty 賞金獵人
- Capture the Flag (CTF)

----

## Bug Bounty 賞金獵人
以 [Apple](https://security.apple.com/bounty/categories/) 為例


<small>^{$500,000 美金 = ~1,500 萬台幣}</small>

----

## Capture the Flag (CTF) 又分為...
- Attack and Defense 攻防賽
- King of the Hill 爭霸戰
- Jeopardy 解謎賽

----

## Attack and Defense (A&D)
- 主辦單位提供機器/服務
- 自行研究漏洞
- 幫服務上 patch（補丁）

----

## HITCON DEFENSE


----

## King of the Hill (KoH)
- 主辦單位提供幾個服務
- 看誰程式最短、撐得久、速度快、最接近完美
- 通常沒有標準解

----

## KoH 題目舉例
- 用最少步數解出 Wordle
- 執行任何指令，讓自己程式存活最久
- 植入後門，讓首頁出現自家隊伍名稱

----

## Jeopardy
- 大家解同一套題組
- 通常各題分數與難度相關
- 最常見的競賽類型
- 找到長得像 `FLAG{printable}` 的字串

----

## Jeopardy 常見形式 - CTFd

---

# Jeopardy 基本分類
- Reverse 逆向工程
- Binary 執行檔滲透
- Web 網頁安全
- Crypto 密碼學
- Forensic 數位鑑識
- Misc 其他雜類

----

## Reverse 逆向工程
- 給一個執行檔，回推原始碼
- 先備知識：看得懂組合語言、熟悉各語言特性

----

## Binary 執行檔滲透
- 看懂程式碼後，找出漏洞並破解
- 通常需要 RCE 執行特定程式碼
- 先備知識：Reverse、系統架構

----

## Web 網頁安全
- 通常會是一個有資安漏洞的網站
- Flag 可能藏在原始碼、設定檔、資料庫等
- 先備知識：了解常見開發問題

----

## Broken Access Control
- 第二題 https://ctf.sean.cat/bac
- 只在登入頁面驗證身份
- 看一下原始碼

Note:
預計時間 14:35 - 14:45

----

## Crypto 密碼學
- 通常會給加密用腳本、密文
- 自己找出實作瑕疵、可逆函式
- 先備知識：比較吃數學基礎

----

## Forensic 數位鑑識
- 提供數位檔案，從蛛絲馬跡找出答案
- 例如被駭侵的電腦映像檔
- 先備知識：工具使用、系統架構

----

## Misc 其他雜類
- 所有天馬行空、無法被歸類的題目
- 先備知識：通靈

---

# Web 經典漏洞

----

## Command Injection
- 第三題 https://ctf.sean.cat/cmdi
- 未過濾使用者輸入
- 通常會用 `id` 看身份、`ls` 及 `cat` 看檔案

Note:
預計時間 14:50 - 15:05

----

## Path Traversal
- 忘記限制存取權限
- 常見 `../%2e%2e/.%2e/etc/passwd` 字樣

----

## XSS
- 第四題 https://ctf.sean.cat/xss
- 未過濾使用者輸入
- 通常以 `<script>alert(1);</script>` 驗證

Note:
預計時間 15:05 - 15:20
提醒可以回去玩前面題目

---

# Misc 範例題目

----

## QR code 修復


Note:
先跳過，最後留時間自己嘗試

---

# Crypto 常見玩法

----

## Caesar Cipher 凱薩密碼
- 第五題 https://ctf.sean.cat/caesar
- 以前以為很安全，但現在全世界都知道了

Note:
Caesar 15:20 - 15:25
Ecoji 15:25 - 15:30

----

## Ecoji
- 用 Emoji 做編碼

Note:
Caesar 15:20 - 15:25
Ecoji 15:25 - 15:30

---

# Forensic 經典題型

----

## Memory Dump 記憶體傾印
- 模擬鑑識中毒的電腦
- 需要特定工具處理、了解程式記憶體架構

----

## Steganography 隱寫術
- 第六題 https://ctf.sean.cat/stego
- 在圖片、音訊、影片中隱藏資料
- 需要知道用哪種技術、金鑰

Note:
預計時間 15:35 - 15:45

---

# 學習資源

----

## AIS3 新型態資安暑期課程

{%youtube nHOyRa7zPZE %}

報名網址：https://ais3.org/

Note:
預計時間 15:45 - 15:50

----

## PicoCTF
- 初學入門題目合集


解題網址：https://play.picoctf.org/

----

## CTFtime
- 每週都有大大小小的比賽


網址：https://ctftime.org/

---

# Q&A

投影片連結：https://hackmd.io/@Sean64/sec-cksh2023
<!-- .element: class="r-fit-text" -->

<br>

[](https://creativecommons.org/licenses/by/4.0/deed.zh_TW)
###### 這份投影片以 [創用 CC - 姓名標示](https://creativecommons.org/licenses/by/4.0/deed.zh_TW) 授權公眾使用，原始碼及講稿請見 [此連結](https://hackmd.io/@Sean64/sec-cksh2023/edit)。

Note:
15:55 合照
自由練習、QA
16:05 下課結束

----

## 延伸閱讀 / 參考資料

- [CTF 的三十道陰影](https://ithelp.ithome.com.tw/users/20121059/ironman/2810) - dada, iThome 鐵人賽
- [關於 CTF 的那些事](https://sitcon.org/2021/agenda/7a88857e-7d50-4d9c-a656-2d99feef6198) - LYS, SITCON 2022
- [Got Your PW](https://gotyour.pw/resources.html) - 專供資安人的資源與工具整理
- [網路劫持](https://hackmd.io/@Sean64/bgp-hijack-2022) - BGP 路由安全