Clik here to view.
手機應用程式開發上被忽略的 SSL 處理
在網路上傳輸敏感資訊時，通常會使用 HTTPS 協定，讓客戶端與伺服器端對資料進行 SSL 加密處理，以降低資料在傳輸過程中被監聽或中間人攻擊的風險。HTTPS 的重要性逐漸被重視，Google 除了預設開啟 HTTPS 之外，未來更會將 HTTPS 的網站搜尋排名加分。但為了確保傳輸的安全，過程中客戶端會核對伺服器的憑證鏈 (certificate chain)...
View ArticleClik here to view.
被遺忘的資訊洩漏－重點回顧
前言在今年駭客年會企業場，我們分享了一場『被遺忘的資訊洩漏』。資訊洩漏是十幾年前就被一提再提的議題，在資訊安全領域中也是最最最基本該注意的事情，然而至今很多網站都還是忽略它，甚至連一些熱門網站都仍有資訊洩漏問題。議程中我們舉了大量的例子證明資訊洩漏其實可以很嚴重，希望能幫大家複習一下，如果網站沒有注意這些，會造成什麼樣的後果。議程投影片如下所示，就讓我們來總結一下吧！DEVCORE...
View ArticleClik here to view.
網路攝影機、DVR、NVR 的資安議題 - 你知道我在看你嗎？
網路攝影機的普及率在近幾年來持續攀升，除了老人與幼兒居家照護、企業室內監控等需求迅速增加之外，結合手機應用程式讓人可隨時隨地觀看影像的方便性也成為普及的原因。當大家還以為黑帽駭客的目標仍然是網站、個人電腦時，已經有許多攻擊者悄悄地將目標轉向了各種物連網設備，例如 NAS、Wireless AP、Printer...
View ArticleClik here to view.
Shellshock (Bash CVE-2014-6271) 威脅仍在擴大中，但無需過度恐慌
[ Ref: OMG ΉΆXOR(twitter)]自 9/24 以來，不少資訊圈朋友日以繼夜的忙碌，這都多虧了藏在 Bash 裡 22 年的安全漏洞－Shellshock (Bash CVE-2014-6271)。對於惡意攻擊者而言，這是今年來第二波淘金潮，相較於上次 Heartbleed駭客們的刮刮樂遊戲需要拼運氣，這次的 Shellshock...
View ArticleClik here to view.
Android WebView 為你的使用者打開了漏洞之門你知道嗎？
[Credit: Chris Goldberg(flickr)]為了解決在應用程式中顯示網頁的需求，開發者一般會使用到由系統提供的 WebView 元件。而由於 JavaScript 被廣泛應用在網頁上，開發者通常也會把 WebView 處理 JavaScript 的功能打開，好讓大部分網頁能正常運作。但就在開啟這個像是必不可少的 JavaScript...
View ArticleClik here to view.
從寬宏售票談資安
戴夫寇爾部落格停載了快兩個月，非常抱歉，讓各位常常催稿的朋友們久等了 <(_ _)>今天就乘著全臺瘋買票的浪頭，來談談一些常被忽略的資訊安全小概念吧！江蕙引退演唱會一票難求，隔岸觀了兩天火， 也忍不住想要當個鍵盤孝子。無奈運氣不好一直連不上主機，『Service...
View ArticleClik here to view.
談 Cookie 認證安全－以宏碁雲端售票為例
前言 (Photo by mcf1986)Cookie 是開發網頁應用程式很常利用的東西，它是為了解決 HTTP stateless 特性但又需要有互動而產生的。開發者想把什麼資訊暫存在用戶瀏覽器都可以透過 Cookie 來完成，只要資訊量不大於約 4KB...
View ArticleClik here to view.
Rails 動態樣板路徑的風險
前言從安全開發的角度來看，Ruby on Rails 是一套很友善的框架。它從框架層避免了很多過去網站常出現的安全問題，例如使用 ORM 避免大部分的 SQL injection 問題、有內建的 authenticity_token 讓開發者不必特別煩惱 CSRF、從機制面規定開發者使用 Strong Parameter 避免 Mass Assignment、預設轉化危險字元避免 XSS...
View ArticleClik here to view.
Clik here to view.
滲透 Facebook 的思路與發現
by Orange TsaiHow I Hacked Facebook, and Found Someone’s Backdoor Script (English Version)滲透 Facebook 的思路與發現 (中文版本)寫在故事之前身為一位滲透測試人員，比起 Client Side 的弱點我更喜歡 Server Side 的攻擊，能夠直接的控制伺服器、獲得權限操作 SHELL 才爽...
View ArticleClik here to view.
How I Hacked Facebook, and Found Someone's Backdoor Script
by Orange TsaiHow I Hacked Facebook, and Found Someone’s Backdoor Script (English Version)滲透 Facebook 的思路與發現 (中文版本)ForewordAs a pentester, I love server-side vulnerabilities more than client-side ones....
View ArticleClik here to view.
電商業者的資安困境？
台灣電商網站蓬勃發展，豐富的個資、金流都吸引了攻擊者。近期刑事局 165 反詐騙網站上常看到很多電商網站面臨個資外洩的問題，新聞也不斷報導民眾因為個資外洩被詐騙集團騙取錢財。資安問題是電商業者面臨到最大的危機，民眾也很憤怒為什麼這些企業都不肯把資安做好。但我相信，電商網站的業主也是有苦難言。不少企業知道該把資安做好，有些可能不得其法，也可能什麼都做了，卻還是無法防止自己的網站出現在 165...
View ArticleClik here to view.
Accellion File Transfer Appliance 弱點報告
By Orange TsaiEnglish Version (English Version)中文版本 (中文版本)Accellion FTA 介紹 Accellion File Transfer Appliance (以下簡稱 FTA) 為一款安全檔案傳輸服務，可讓使用者線上分享、同步檔案，且所有檔案皆經 AES 128/256 加密，Enterprise 版本更支援 SSL VPN 服務並整合...
View ArticleClik here to view.
Advisory: Accellion File Transfer Appliance Vulnerability
By Orange TsaiEnglish Version (English Version)中文版本 (中文版本)About Accellion FTA Accellion File Transfer Appliance (FTA) is a secure file transfer service which enables users to share and sync files...
View ArticleClik here to view.
IoT設備商別成為幫兇 從Dyn DDoS攻擊事件看IoT安全
萬物皆聯網成為萬物皆可駭2016年10月21日知名網路服務 Dyn 遭受殭屍網路發動三波巨大規模 DDoS 攻擊，世界各大網站服務皆因為此攻擊而中斷，包括 Amazon、Twitter、Github、PayPal 等大型網站都因此受到影響。資安人員研究發現，本次 DDoS 攻擊的發起者未明，但多數攻擊流量來自殭屍網路「Mirai」，利用 IPCAM、CCTV、DVR、IoT 裝置等系統進行 DDoS...
View ArticleClik here to view.
WEB2PY 反序列化的安全問題－CVE-2016-3957
前言在一次滲透測試的過程中，我們遇到了用 web2py 框架建構的應用程式。為了成功滲透目標，我們研究了 web2py，發現該框架範例應用程式中存在三個資訊洩漏問題，這些洩漏都會導致遠端命令執行...
View ArticleDEVCORE 新網站上線！
DEVCORE 的新網站上線了！ 非常感謝專業的 EVENDESIGN幫我們設計精美的網站！我們目前主要服務項目為滲透測試、資安教育訓練、資安事件處理、資安顧問服務， 各項服務的詳細內容可參考 Services頁面。同時，在官網中我們將會不定期提供最新的資安新知及技術文章， 希望藉由我們的力量讓大眾更清楚資訊安全的重要。 並且透過站內的教學文獻，讓開發者、管理者進一步了解駭客的思維、攻防的手法，...
View ArticleClik here to view.
奇優廣告 Qiyou 廣告手法剖析
歡迎來到我們的技術文章專欄！今天我們來談談「廣告顯示手法」。不少廣告商為了要增加廣告的曝光以及點擊率，會使用各種手法強迫使用者顯示廣告。例如彈出式視窗、內嵌廣告、強制跳轉等等。但這樣的手法有什麼好提的呢？今天有一個很特別的案例，讓我們來看看一個網站「1kkk.com 極速漫畫」。 這是一個常見的網路漫畫網站，接著點擊進去漫畫頁面。 網站中充斥著煩人的廣告，並且突然一閃而過 Safari...
View ArticleClik here to view.
HTTP Headers 的資安議題 (1)
前言隨著駭客攻擊事件日益漸增，原本經常被大眾所忽視的網站資安問題，現在已經逐漸受到重視。但是，許多企業主或開發人員雖然很想強化網站的安全性，卻不知道該如何從何著手。企業主通常想到的改善方案是添購資安設備，希望可以一勞永逸。我們姑且先不談「資訊界沒有永遠的安全」這件事，企業光是要買到有效的資安設備就是一件令人頭痛的事情，不但要花許多時間聽取廠商的簡報，耗費大筆的經費採購，購買之後還要請員工或原廠技術人...
View ArticleClik here to view.
使用第三方套件所要擔負的資安風險
使用第三方套件節省開發時間，已經是整個資訊產業的慣例。但是很多管理者可能不知道，使用第三方套件到底需要擔負多大的資安風險。你確定你用的套件是安全無虞的嗎？是否有經過嚴謹的安全測試？若有安全漏洞引爆，是否有廠商可以負責維護修補？廠商開發的程式碼品質是否穩定？這些都是在使用之前必須要考慮的。在服務眾多客戶之後，我們深知這些問題的嚴重性。以下我們將就幾個經典的案例來說明使用第三方套件所要擔負的風險，並且分...
View Article