Ce diaporama a bien été signalé.
Le téléchargement de votre SlideShare est en cours. ×

HITCON GIRLS 資安萌芽推廣 2017: 探索駭客的世界 - Turkey

HITCON GIRLS 資安萌芽推廣 2017: 探索駭客的世界 - Turkey

Télécharger pour lire hors ligne

這次由 Turkey 為我們帶來會議的第一場演講內容,一開始先讓同學對資訊安全領域有初步的認識,了解國內外駭客會議、競賽及資安社團,希望開啟同學對資訊安全的興趣,本演講也會教導同學在享受網際網路便利的同時,如何提高個人的帳號、資料的安全性,從真實案例中分享幾個保護個人資訊的方法。

這次由 Turkey 為我們帶來會議的第一場演講內容,一開始先讓同學對資訊安全領域有初步的認識,了解國內外駭客會議、競賽及資安社團,希望開啟同學對資訊安全的興趣,本演講也會教導同學在享受網際網路便利的同時,如何提高個人的帳號、資料的安全性,從真實案例中分享幾個保護個人資訊的方法。

Plus De Contenu Connexe

HITCON GIRLS 資安萌芽推廣 2017: 探索駭客的世界 - Turkey

  1. 1. Turkey ⾃ 我 介 紹 社團法⼈台灣駭客協會 秘書⻑ HITCON GIRLS 核⼼成員 研究⽅向: 惡意程式分析及 Web PT
  2. 2. 1
  3. 3. !
  4. 4. 2
  5. 5. RAT 中教⼤ 資訊研究社
  6. 6. 3
  7. 7. 4 Slide: HITCON CTF 2016 感謝 Awon 阿旺 友情⽀持,投影⽚提供!
  8. 8. 台灣選⼿的佳績
  9. 9. DEFCON
  10. 10. DEFCON
  11. 11. DEFCON
  12. 12. 到美國拉斯維加斯參加 DEFCON CTF 決賽資格 1. 線上選拔: 1. 參加5月舉辦的DEFCON Quals線上初賽,打進前10名 2. 拿下種子冠軍: 1. 在以下各地獲得DEFCON主辦方認可的種子賽事冠軍 • HITCON CTF (台灣主辦) • RuCTFE (俄羅斯主辦) • 32C3 CTF (德國主辦) • SECCON CTF (日本主辦) • Boston Key Party (美國主辦) • PlaidCTF (美國主辦) • 0CTF (中國主辦)
  13. 13. CTF是甚麼? 全名 Capture The Flag 又稱搶旗賽
  14. 14. CTF 競賽的型式 1 2 解題型 Jeopardy 對打攻防型 Attack & Defense
  15. 15. 解題型 ( Jeopardy ) 主辦單位出題目,參賽者解題,常見的題目類型: 1 Reverse Pwnable Crypto ForensicsMisc 2 3 4 5 6 Web
  16. 16. Attack & Defense 對打攻防型 1 每個隊伍獲得一個 有漏洞服務的主機 2 3 4 分析主機上的漏洞 找到漏洞利用的方式 將漏洞寫成攻擊程序 並攻擊其他隊伍 透過攻擊 獲取主機上的 Flag 將 Flag 提交給大會 得分 💀 Service 💀 Service 💀 Service
  17. 17. Attack & Defense 賽制說明 每回合 5min A 攻擊成功 得分+10 扣分 -10 B 零和賽制
  18. 18. A 0day漏洞 B C D E 😆 無法防禦 無法防禦 無法防禦 無法防禦 😣 😣 😣 😣 得分+40 扣分 -10 扣分 -10 扣分 -10 扣分 -10 攻 擊 成 功
  19. 19. 漏洞更新 💀 Service 💀 Service 💀 Service 時間到 出現新漏洞! 舊漏洞沒了! 💀 主辦單位會隨時間更新服務 反應真實世界服務的變化性 讓比賽更刺激
  20. 20. 關閉服務會被扣分 每回合 5min A 攻擊失敗 扣掉所有得分 C B Service Unavailable 均分給每個隊伍
  21. 21. 隊中成員必須各司其職 漏洞分析 修補服務漏洞 撰寫自動攻擊程式
  22. 22. CTF比賽 真實世界 參賽隊伍需要具備分析 漏洞、修補漏洞、撰寫 exploit、熟悉各類 IT 技術、通訊協定與工具, 比賽所公布的題目相當 於縮小版的商用軟體或 線上服務 商用軟體或線上服務的 使用者熟悉各種IT技術、 通訊協定與工具
  23. 23. CTF比賽 真實世界 最早挖到 0day 隊伍, 得以橫掃全場搶分,隨 著每回合時間過去,有 隊伍寫出修補程式後, 得分率下降 0day 出現時還沒有任 何修補程式,造成的危 害最大
  24. 24. CTF比賽 真實世界 避免有隊伍怕服務遭攻 擊而刻意關閉,每回合 會檢查服務狀況,若關 閉則會將分數平分給服 務存活的隊伍 服務狀態必須持續在 online,不能因為有任 何攻擊就關閉服務
  25. 25. CTF比賽 真實世界 主辦單位會不定期更新 服務版本,因此會出現 新的漏洞 服務軟體經常會更新版 本,可能會出現新的資 安問題
  26. 26. FIRST BLOOD代表 第一個找出漏洞 並成功發動攻擊取分的隊伍
  27. 27. 本次的出題團隊 HITCON CTF 戰隊 2014 年 DEFCON CTF 亞軍
  28. 28. 2016年 HITCON CTF戰隊 ⾸度以種⼦賽冠軍資格取得世界⼤賽⾨票
  29. 29. 瞭解更多:CTF TIME 隊伍積分1 2016/11/27更新
  30. 30. 瞭解更多:CTF TIME 過往比賽2 writeup
  31. 31. 瞭解更多:CTF TIME 即將舉行的比賽3
  32. 32. 其他學習 CTF 資訊 • 練習與參與各CTF • 看write-up • 與其他人交流解題思路 https://goo.gl/x6Wha
  33. 33. 5
  34. 34. https://www.root-me.org
  35. 35. http://overthewire.org/wargames/
  36. 36. https://ais3.org/
  37. 37. https://ais3.org/
  38. 38. http://kb.hitcon.org/
  39. 39. https://zeroday.hitcon.org/
  40. 40. https://zeroday.hitcon.org/
  41. 41. https://www.pluralsight.com/
  42. 42. http://www.pediy.com/
  43. 43. 拒絕個資裸露拒絕個資裸露
  44. 44. 拒絕個資裸露拒絕個資裸露 不使⽤弱密碼不使⽤弱密碼 不連不明連結不連不明連結 不明檔案不亂開不明檔案不亂開
  45. 45. 拒絕個資裸露拒絕個資裸露 不使⽤弱密碼不使⽤弱密碼 不連不明連結 不明檔案不亂開
  46. 46. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6
  47. 47. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6
  48. 48. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6
  49. 49. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6
  50. 50. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 4 12345678 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6
  51. 51. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 4 12345678 5 111111 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6
  52. 52. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 4 12345678 5 111111 6 1234567890 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6
  53. 53. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 4 12345678 5 111111 6 1234567890 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6⽣⽇
  54. 54. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 4 12345678 5 111111 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6 6 1234567890 ⽣⽇ 姓名
  55. 55. 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 4 12345678 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6 5 111111 6 1234567890 ⽣⽇ 姓名 電話
  56. 56. 常⾒弱密碼 TOP 6常⾒弱密碼 TOP 6 第⼀名 第⼆名 第三名 第四名 第五名 第六名 1 123456 2 123456789 3 qwerty 4 12345678 5 111111 6 1234567890 ⽣⽇ 姓名 電話
  57. 57. 密碼⻑度 8 位元以上 混合⼤⼩寫英⽂字⺟、數字 包含特殊符號 提升密碼強度提升密碼強度 ⼀組服務使⽤⼀組密碼(不重複)
  58. 58. 密碼管理⼯具密碼管理⼯具 1Password1Password
  59. 59. 兩階段驗證兩階段驗證 讓登⼊步驟多⼀層保關
  60. 60. 兩階段驗證兩階段驗證 密碼 ⼀次性
 密碼 雙重驗證雙重驗證
  61. 61. 兩階段驗證: 密碼兩階段驗證: 密碼 + ⼀次性密碼 ⼀次性密碼⼀次性密碼 One Time Password 不可預測 不可重複 使⽤⼀次特點: 簡稱:OTP 取得 OTP ⽅式: ⽂字簡訊 智慧⼿機 特殊載具 網⾴服務 紙張
  62. 62. 兩階段驗證兩階段驗證 開啟 Gmail開啟 Gmail
  63. 63. 兩階段驗證: 密碼兩階段驗證: 密碼 + ⼀次性密碼 ⼀次性密碼⼀次性密碼 優點: 免費
  64. 64. 兩階段驗證兩階段驗證開啟 Gmail開啟 Gmail 登⼊ Gmail —> 我的帳⼾ 兩階段驗證: 密碼兩階段驗證: 密碼 + ⼀次性密碼
  65. 65. 兩階段驗證兩階段驗證開啟 Gmail開啟 Gmail 登⼊安全性 —> 密碼和帳⼾登⼊⽅式 開啟簡訊兩階段認證 兩階段驗證: 密碼兩階段驗證: 密碼 + ⼀次性密碼
  66. 66. 兩階段驗證兩階段驗證開啟 Gmail開啟 Gmail 兩步驟驗證 —> Authenticator
  67. 67. 兩階段驗證兩階段驗證 密碼 ⼀次性
 密碼 雙重驗證雙重驗證
  68. 68. 拒絕個資裸露拒絕個資裸露 不使⽤弱密碼 不連不明連結不連不明連結 不明檔案不亂開
  69. 69. 不連 不明 連結 我朋友參加攝影⽐賽,⿇ 煩幫忙投票 http:// www.yahoonikk.info/ page/vote.php?pid=886 登⼊FB就投票成功了! 謝謝。 可能直接導到! 釣⿂網站! 竊取帳密
  70. 70. 不連 不明 連結 這麼幸運?!! 可以參加 iphone 抽獎!?
  71. 71. 釣⿂網站 惡意連結 不連 不明 連結
  72. 72. 拒絕個資裸露拒絕個資裸露 不使⽤弱密碼 不連不明連結 不明檔案不亂開不明檔案不亂開
  73. 73. 開啟檔案再三確認! 以防掉⼊駭客圈套
  74. 74. 開啟檔案再三確認! 以防掉⼊駭客圈套 可能是駭客假冒寄件者 的⾝分、或是盜⽤寄件 者信箱來發信,讓收件 者誤以為是本⼈所寄, 減少防備的⼼。
  75. 75. 社交⼯程社交⼯程 社交⼯程是利⽤⼈性的弱點進⾏詐騙,是⼀種⾮ 「全⾯」技術性的資訊安全攻擊⽅式,藉由⼈際 關係的互動進⾏犯罪⾏為。 常⾒的社交⼯程攻擊⼿法 電話、Email、釣⿂網站、通訊媒體等
  76. 76. 天兵⼯程師天兵⼯程師 ⾮當事⼈ 點了網路上勒索中獎的病毒廣 告⽽讓公司整個癱瘓 http://www.bomb01.com/article/18240 點了網路上勒索中獎的病毒廣 告⽽讓公司整個癱瘓
  77. 77. 拒絕個資裸露拒絕個資裸露 不使⽤弱密碼不使⽤弱密碼 不連不明連結不連不明連結 不明檔案不亂開不明檔案不亂開
  78. 78. 圖⽚來源:http://universalshowtimes.com/tw/minions/ https://blog.trendmicro.com.tw/?p=101 http://auis.au.edu.tw/files/14-1288-30498,r108716-1.php? Lang=zh-tw 資料來源資料來源

×