.NET Security Application/Web Development - Part I

Editor's Notes

• #3 Part I (1.5 hr, 60 pages) Ch.1 - 網際網路安全概觀(30 mins) Ch.2 - 常見安全漏洞與攻擊(60 mins)
• #5 Standard & Poor's 500，S&P 500）简称标普500或史坦普500，是一個由1957年起記錄美國股市的平均记录，觀察範圍達美国的500家上市公司。
• #10 雲、大、物、智、移是目前主流但風險卻暴露的更高
• #11 Ransomware 勒索軟件 political hacking 政治黑客“是一個負面的術語，歸因於一個人是某集團的一部分，但其意圖與目標更加一致而不是為了個人信念.......當一群類似政治派別的”政治黑客“聚集在一起時，他們有時被稱為“政治黑客包 攻擊技術正在發展 犯罪分子正在開發新技術 走向有組織的犯罪 APT攻擊  進階持續性滲透攻擊
• #15 營業秘密遭竊取 全球會計師事務所德勤(Deloitte)︐ 09/25日傳出遭到駭客竊取機密文件 的消息︐公司雲端更有多達5百萬封 電子郵件的個資恐遭外洩。(路透)。 勒索軟體 導致 產線停止、金錢、 數位資產的損失 本田(Honda)表示︐雖然針對 WannaCry提高防護︐但仍發現日本、 北美、歐洲、中國等地網路遭到攻擊︐ 因此決定暫時關閉琦玉縣一座工廠。 資安造成的商務風險 2.5萬監視器成DDoS殭屍網路大軍︐ 多數來自台灣 ! 傀儡網路氾濫︐臺灣成為全球DDoS 攻擊幫兇︕
• #16 激進駭客（Hacktivist）你可能聽說過一個秘密組織 – Anonymous。這群駭客會去癱瘓他們所抗議企業或政府的電腦系統。  激進駭客並沒辦法簡單的被歸類於白帽或黑帽。跟白帽或黑帽駭客們不同，激進駭客的出發點是政治動機而非金錢
• #20 https://s.itho.me/cybersec/2018/pdf/0313_103-1.pdf
• #21 不要相信任何來自客戶端的輸入資料 重要Whitelist Blacklist if you can’t whitelist Sanitization Avoid reflecting input back to a user Encode all application data output
• #22 HTTPS for all SSL TLS HSTS Strict-Transport-Security HTTP Method HTTP Header Content-Security-Policy X-XSS-Protection X-Frame-Options X-Content-Type-Options 網站的回覆表頭帶有「Strict-Transport-Security」，該表頭會讓瀏覽器記得，該網站(正確說法是域名)有提供HTTPS安全連線，並於下次連線中強制使用HTTPS，注意是強制喔，不論是點進不帶有https的連結(例如:這個)，或是你故意在網址列打入網址時使用http://為開頭，瀏覽器都會先強制轉換成https再送出請求
• #23 Sanitization Avoid building Query strings from user input Bind parameters for queries, not concatenate
• #24 Never expose session identifier Protect session cookie with attribute Set proper expiration date Create a new session after authenticating when a user change privilege
• #25 Secure HttpOnly Expires Domain/Pathhttps://www.ajoshow.com/2017/07/19/201707192223/
• #26 Password Length Hash and Salt Avoid storing passwords for external services SSO 2FA Conceal if users exist
• #28 - Introduction to Ethical Hacking(介紹何謂道德入侵) - Footprinting and Reconnaissance(蒐集蛛絲馬跡與網路勘查) - Scanning Networks(網路服務與弱點掃描) - Enumeration(列舉系統資訊) - System Hacking(入侵電腦系統) - Malware Threats(惡意程式威脅) - Sniffers(網路監聽與攻擊) - Social Engineering(社交工程) - Denial-of-Service(阻斷服務攻擊與傀儡網路) - Session Hijacking(連線劫持) - Hacking Webservers(入侵網站) - Hacking Web Application(入侵網站程式) - SQL Injection(資料隱碼攻擊) - Hacking Wireless Network(入侵無線網路) - Hacking Mobile Platforms(入侵行動平台) - Evading IDS, Firewalls and Honeypots(規避入侵偵測/防火牆與誘捕系統) - Cloud Computing(雲端運算) - Cryptography(密碼學)
• #30 這不是微軟的WASC(Windows Advanced Security Center) V2 是2010年公布的 Authentication Authorization Client-side Attacks Command Execution Information disclosure Logical Attacks
• #33 SANS/CWE Top 25 and the OWASP Top 10
• #35 ICMP 是用來查詢網路環境狀態的協定，IGMP 是用在管理網際網路群播成員的協定，這種攻擊是發送大量的這兩種協定的封包來消耗目標的頻寬資源。 UDP 主要是用來提供快速、輕便及較不可靠的資料傳送服務，由於傳送時不需要建立複雜的連線，所以被攻擊者用來洪水攻擊，在 UDP 攻擊中又分為小封包跟大封包兩種類方式，小封包（64 位元組）是要利用網路設備需要對每一個封包進行檢查的行為下增加設備的負擔，大封包（1500 位元組以上）是要迫使攻擊目標在接收到封包後要進行重組，來達到網路壅塞的目的。
• #37 ACK 反射攻擊 主要是利用 TCP 三向交握的機制來做攻擊，攻擊者將 SYN 訊息來源的 IP 位址修改成目標的 IP 位址，伺服器在接收到 SYN 訊息後會回傳一個 ACK 訊息給目標，這樣攻擊者就能比較有效的去隱藏攻擊的來源。 DNS 放大攻擊 DNS（Domain Name System）是用來將網域名稱跟 IP 位址互相映射的一個服務，當使用者輸入網址的時候，電腦就會先去傳送查詢的封包到 DNS 伺服器，然後接收對映的 IP開始後建立連線，一般來說回傳的封包因為包含查詢的結果，所以封包都會大於請求的封包，這種攻擊就稱為放大式攻擊，這種攻擊是由攻擊者先提出查詢請求，並在來源端修改成目標的 IP，讓放大後的查詢結果導向目標。 NTP 放大攻擊 NTP（Network Time Protocol）是用來使電腦時間同步化的一種協定，使用者可以透過協定與伺服器校正自身電腦的時間，攻擊者利用 monlist 這項功能的安全漏洞來取得最近與伺服器連接的電腦列表，並透過填入假的來源 IP 來將這份列表傳給目標來進行放大式攻擊。 SNMP 放大攻擊 SNMP（Simple Network Management Protocol）是目前網路中應用較為廣泛的網路管理協定，他提供了一套管理方式來監控和維護網路設備，其中一個管理的指令 GetBulk 是用來一次取得大量網管資訊庫的指令，與 NTP 放大攻擊相同，將來源 IP 更改為目標 IP 來進行攻擊。
• #38 TCP 連接洪水攻擊 利用三方交握的性質來進行攻擊，每台伺服器所能建立的連線是由一個連接表來記錄，這些連接的數量是有限制的，當連接的數量超過伺服器所能負擔的數量，就無法在與之後的使用者建立連線來提供服務。 SYN 洪水攻擊 利用三方交握的性質來進行攻擊，攻擊者對伺服器送出一個 SYN，在伺服器回傳 SYN + ACK 後不發送最後的 ACK ，讓這條連線處於空窗的狀態，隨著空窗的連線越來越多，能夠正常使用的部分也越來越少來達到阻斷攻擊的效果。 RST 洪水攻擊 在 TCP 連線要終止的時候，通常都是透過傳送 FIN 訊號進行四次揮手來終止，但是當兩邊其中一方有出現異常狀態時，無法進行完整的四次揮手時就會傳送 RST 來將連線強制中斷，攻擊者趁著目標與他人建立連線時，模仿目標來傳送 RST 來阻礙目標使用其他服務。 THC SSL DoS 攻擊 在進行 SSL 連線時都先需要進行 SSL 握手，雙方交換加密金鑰，來進行身分認證，在正常的情況下這個過程只需要執行一次，THC SSL DoS 攻擊是利用 Renegotiation 選項去重複執行這個協商金鑰過程，讓伺服器因為要運算金鑰而耗費大量資源。 LAND 攻擊 攻擊者發送一個來源 IP 為目標 IP 位址封包給目標，這樣目標會將這個封包回傳給自己形成無窮迴圈，最終耗盡資源。
• #40 Reflected XSS Attack 是單純的瀏覽網頁，Reflected 是指不會被儲存在資料庫中，透過社交工程給受害者典籍 Stored XSS Attack 網頁中已植入惡意的語法連結(會被保存在伺服器資料庫中的 JavaScript 代碼引起的攻擊)，通常是由網頁後端直接嵌入由前端使用者所傳送過來的內容造成的，最常見的就是以 POST 方法傳送資料給伺服器時，伺服器未檢查就將內容回應到網頁上所產生的漏洞。 Dom-based XSS Attack 因此 DOM-Based XSS 就是指網頁上的 JavaScript 在執行過程中，沒有詳細檢查資料使得操作 DOM 的過程代入了惡意指令，受Client 瀏覽器的腳本程式所引響。 。 除了要注意攻擊的手法外，電腦保持更新至最新版也是很重要的。瀏覽器廠商、軟體開發人員與安全專業人員的工作便是防止這些攻擊的關鍵。
• #41 Hacker 發現網站漏洞 將有問題的語法注入網站內 受害人點選有問題的語法連結 將個人敏感資料或是cookie, session內容取得或是轉換網址
• #42 http://www.ctbaa.org/site_item_content_2.php?site_map_item_id=546%22%3E%3Cscript%3Ealert(%27XSS%27)%3C/script%3E
• #43 一般網站在使用者進行驗證後，會將驗證成功的資訊存放於 Cookie 中，當使用者尚未進行登出動作時，此 Cookie 都還視為有效認證，而在使用者瀏覽網站其他頁面時即會將此認證資訊回傳伺服器以便進行其他操作，但如此時使用者在不自覺的情況下瀏覽了駭客置入攻擊代碼的網頁，駭客即可使用相同一份身分驗證資訊發送操作動作回該認證網站進行攻擊。
• #46 駭客通常會透過竄改Web應用程式的Client端與Server端的所傳遞參數，來對應用程式進行攻擊。這些所傳遞的參數通常包含了QueryString、表單資料(Form field values)、cookies以及HTTP的檔頭資料(Headers)。建議防護的作法有下列幾項: QueryString(查詢參數)操作 不要在QueryString中，放入重要的敏感性資料，以避免被駭客擷取，重要且敏感性資料應該採用Session來進行識別與溝通，並將這些機敏性資料放在伺服器上。建議採用POST method 而不是QueryString，如果要使用，建議請加密其重要內容。 表單資料(Form field values)操作 一般來說，表單資料通常會存在HTML Form區域，容易遭受駭客監看其數值或資料，建議應該採用Session來進行識別與溝通，並將這些機敏性資料放在伺服器上。 Cookies 操作 一般來說，Cookie資料通常會透過兩種方式存放，一種方式是儲存在實體機器上，另外一種則以記憶體暫存方式與使用者端瀏覽器等同時存在。現今駭客攻擊技術進步，有非常多的工具可以用來竄改記憶體中的cookie資料。而Cookie的操作通常則利用竄改資料，取得非法的授權或使用者身份而進行破壞性操作。雖然SSL可以保護Cookie在網路上的傳輸，但卻無法防止使用者端的Cookie被破解或竄改，建議應針對Cookie內容進行加密，以防止遭受竄改或復原。 HTTP Headers 操作 許多應用程式是透過Client所傳送過來的HTTP headers，來進行下一步動作的判斷或決定如何進行操作，駭客可以透過修改HTTPHeaders來欺騙許多應用程式，很多例如HTTP Referer可能遭受竄改，而讓應用程式無法得知Client 真實的來源位址。
• #53 http://www.wikiwand.com/zh-tw/SQL%E8%B3%87%E6%96%99%E9%9A%B1%E7%A2%BC%E6%94%BB%E6%93%8A 在應用程式連結資料庫時使用權限過大的帳戶(root，sa) 連接資料庫 在資料庫中開放了不必要但權力過大的功能（例如在Microsoft SQL Server資料庫中的xp_cmdshell延伸預存程式或是OLE Automation預存程式等）
• #61 HTML注入: 
• #62 分析 Session ID 的工具可以用以下幾種 OWASP WebScarab Stompy Burp Suitehttps://devco.re/blog/2014/06/03/http-session-protection/
• #64 受害者已經登入網站伺服器，並且取得 Session ID，在連線過程中攻擊者用竊聽的方式獲取受害者 Session ID。 攻擊者直接使用竊取到的 Session ID 送至伺服器，偽造受害者身分。若伺服器沒有檢查 Session ID 的使用者身分，則可以讓攻擊者得逞。
• #65 攻擊者從網站取得有效 Session ID 使用社交工程等手法誘使受害者點選連結，使用該 Session ID 登入網站 受害者輸入帳號密碼成功登入網站 攻擊者使用該 Session ID，操作受害者的帳號
• #66 修復：建議登出之後，Cookie 或Session 就失效在重新配發新的一組 補充: 這是測試概念驗證視頻 我弄了二個影片，一個是露天和Hitcon ZeroDay ，相對ZeroDay 平台有防護 『露天拍賣： https://drive.google.com/file/d/0ByrwRfdtgouyUEhnMlpHcWVjYkU/view?usp=sharing 』、 「Hitcon ZeroDay ： https://drive.google.com/file/d/0ByrwRfdtgouyRFFCZ0FtbEt2OWs/view?usp=sharing」
• #72 “以HTTPS連上網站進行交易十分安全” SSL它只保證 「傳輸期間」的安全，不保證「端點」安全。亦即，用戶端的個人電腦可能會被埋木馬，交易主機本身也可能漏洞百出而遭到入侵。雖然這個用句在邏輯上可以說正確，卻無法讓使用者更安心，因為大部分網站攻擊成功的成因都不在破解SSL並竊聽，而是針對用戶或網站伺服器下手。對於只仰賴SSL機制，並以此為最強力防護機制的網站，建議讀者還是謹慎為妙。
• #76 XTML Injectionhttp://www.giantcyclingworld.com/search.php?keyword=<center><img src="https://www.merida.tw/uploadfiles/177/88-%E9%A9%8A%E9%87%87%E6%95%B4%E5%90%88%E8%A1%8C/TW%E7%89%B9%E4%BB%95%E8%BB%8A-%E4%BF%83%E9%8A%B7%E6%A1%88/%E9%8A%B3%E5%85%8B%E5%A4%9A-400-TW.jpg"></center> <center><h1 style="color:Blue;">REACTO 400 TW(市價$39,800)</h1></center> One Redirecthttp://lms.ntpu.edu.tw/redirect.php?locale=en-us&backUrl=https://zeroday.hitcon.org/ Session Hijacking https://www.ruten.com.tw/ XSS http://www.ctbaa.org/site_item_content_2.php?site_map_item_id=546%22%3E%3Cscript%3Ealert(%27XSS%27)%3C/script%3E