惡意軟件分析沙盒(Sandbox) - Cuckoo

Cuckoo是一個輕量級的windows二進制文件行為自動動態分析工具。它能夠給出程序運行過程中詳細的關鍵API調用和網絡活動。Cuckoo項 目是參加2010年google編程夏令營的作品，最近在GPL許可下開源發佈。任何人可以將其加到自己的項目中，打造自己的惡意軟件行為分析工具。

工具更多信息及下載：http://www.cuckoobox.org/download.php

手冊：http://cuckoobox.org/doc/0.2/Cuckoo%20User%20Guide.pdf

Cuckoo eats Win32.Koobface from Claudio G. on Vimeo.

Cuckoo eats Win32.FakeAV from Claudio G. on Vimeo.

參考：

BugZone - http://www.pulog.org/tools/1936/Cuckoo/

http://www.cuckoobox.org 

BlackHat USA 2011報告的幻燈片和白皮書下載

以下鏈接是2011年BlackHat USA大會的報告的幻燈片和白皮書下載地址。

The following links are slides and whitepapers of presentations in BlackHat Con 2011, Las Vegas, U.S.

也可以直接下載附件中的列表文件。

You can also get this list by download files attached.

download_list_of_res_in_blackhat_2011.txt

https://media.blackhat.com/bh-us-11/McGrew/BH_US_11_McGrew_Forensics_With_Metasploit_WP.pdf

https://media.blackhat.com/bh-us-11/McGrew/BH_US_11_McGrew_Forensics_With_Metasploit_Slides.pdf

https://media.blackhat.com/bh-us-11/Clark/BlackHat_US_2011_Clark_Cyberlaw_Slides.pdf

https://media.blackhat.com/bh-us-11/Clark/BlackHat_US_2011_Clark_Cyberlaw_WP.pdf

https://media.blackhat.com/bh-us-11/Sabanal/BH_US_11_SabanalYason_Readerx_Slides.pdf

https://media.blackhat.com/bh-us-11/Sabanal/BH_US_11_SabanalYason_Readerx_WP.pdf

https://media.blackhat.com/bh-us-11/Johnson/BH_US_11_JohnsonEstonAbraham_Dont_Drop_the_SOAP_Slides.pdf

https://media.blackhat.com/bh-us-11/Johnson/BH_US_11_JohnsonEstonAbraham_Dont_Drop_the_SOAP_WP.pdf

https://media.blackhat.com/bh-us-11/Shah/BH_US_11_Shreeraj_Reverse_Engineering_Browser_Slides.pdf

https://media.blackhat.com/bh-us-11/Shah/BH_US_11_Shreeraj_Reverse_Engineering_Browser_WP.pdf

https://media.blackhat.com/bh-us-11/Polyakov/BH_US_11_Polyakov_J2EE_Engine_Slides.pdf

https://media.blackhat.com/bh-us-11/Polyakov/BH_US_11_Polyakov_J2EE_Engine_WP.pdf

https://media.blackhat.com/bh-us-11/Hamiel/BH_US_11_Hamiel_Smartfuzzing_Web_Slides.pdf

https://media.blackhat.com/bh-us-11/Hamiel/BH_US_11_Hamiel_Smartfuzzing_Web_WP.pdf

https://media.blackhat.com/bh-us-11/Tsai/BH_US_11_TsaiPan_Weapons_Targeted_Attack_Slides.pdf

https://media.blackhat.com/bh-us-11/Tsai/BH_US_11_TsaiPan_Weapons_Targeted_Attack_WP.pdf

https://media.blackhat.com/bh-us-11/Esser/BH_US_11_Esser_Exploiting_The_iOS_Kernel_Slides.pdf

https://media.blackhat.com/bh-us-11/Esser/BH_US_11_Esser_Exploiting_The_iOS_Kernel_WP.pdf

https://media.blackhat.com/bh-us-11/Anstis/BH_US_11_Anstis_Affiliate_Programs_Slides.pdf

https://media.blackhat.com/bh-us-11/Anstis/BH_US_11_Anstis_Affiliate_Programs_WP.pdf

https://media.blackhat.com/bh-us-11/DaiZovi/BH_US_11_DaiZovi_iOS_Security_Slides.pdf

https://media.blackhat.com/bh-us-11/DaiZovi/BH_US_11_DaiZovi_iOS_Security_WP.pdf

https://media.blackhat.com/bh-us-11/Kiani/BH_US_11_Kiani_Securing_OAuth_Slides.pdf

https://media.blackhat.com/bh-us-11/Chamales/BH_US_11_Chamales_Lives_on_the_Line_Slides.pdf

https://media.blackhat.com/bh-us-11/Chamales/BH_US_11_Chamales_Lives_on_the_Line_WP.pdf

https://media.blackhat.com/bh-us-11/Granick/BH_US_11_Granick_Law_Mobile_Hacking_Slides.pdf

https://media.blackhat.com/bh-us-11/Balduzzi/BH_US_11_Balduzzi_HPP_Slides.pdf

https://media.blackhat.com/bh-us-11/Balduzzi/BH_US_11_Balduzzi_HPP_WP.pdf

https://media.blackhat.com/bh-us-11/Acquisti/BH_US_11_Acquisti_Faces_of_Facebook_Slides.pdf

https://media.blackhat.com/bh-us-11/Acquisti/BH_US_11_Acquisti_Faces_of_Facebook_WP.pdf

https://media.blackhat.com/bh-us-11/LeMasters/BH_US_11_LeMasters_Heap_Inspector_Slides.pdf

https://media.blackhat.com/bh-us-11/LeMasters/BH_US_11_LeMasters_Heap_Inspector_WP.pdf

https://media.blackhat.com/bh-us-11/Borgaonkar/BH_US_11_RaviNicoKredon_Femtocells-WP.pdf

https://media.blackhat.com/bh-us-11/McNabb/BH_US_11_McNabb_Wireless_Water_Meter_Slides.pdf

https://media.blackhat.com/bh-us-11/McNabb/BH_US_11_McNabb_Wireless_Water_Meter_WP.pdf

https://media.blackhat.com/bh-us-11/Vuksan/BH_US_11_VuksanPericin_PECOFF_WP.pdf

https://media.blackhat.com/bh-us-11/Vuksan/BH_US_11_VuksanPericin_PECOFF_Slides.pdf

https://media.blackhat.com/bh-us-11/Bursztein/BH_US_11_Bursztein_Owade_Slides.pdf

https://media.blackhat.com/bh-us-11/Bursztein/BH_US_11_Bursztein_Owade_WP.pdf

https://media.blackhat.com/bh-us-11/Butler/BH_US_11_ButlerMurdock_Physical_Memory_Forensics-Slides.pdf

https://media.blackhat.com/bh-us-11/Butler/BH_US_11_ButlerMurdock_Physical_Memory_Forensics-WP.pdf

https://media.blackhat.com/bh-us-11/Ose/BH_US_11_Ose_Exploiting_USB_Devices_Slides.pdf

https://media.blackhat.com/bh-us-11/Ose/BH_US_11_Ose_Exploiting_USB_Devices_WP.pdf

https://media.blackhat.com/bh-us-11/Cui/BH_US_11_Cui_Cisco_Diversity_Slides.pdf

https://media.blackhat.com/bh-us-11/Cui/BH_US_11_Cui_Cisco_Diversity_WP.pdf

https://media.blackhat.com/bh-us-11/Giannetsos/BH_US_11_Giannetsos_SpySense_Spyware_Slides.pdf

https://media.blackhat.com/bh-us-11/Giannetsos/BH_US_11_Giannetsos_SpySense_Spyware_WP.pdf

https://media.blackhat.com/bh-us-11/Yamaguchi/BH_US_11_Yamaguchi_Vulnerability_Extrapolation_Slides.pdf

https://media.blackhat.com/bh-us-11/Yamaguchi/BH_US_11_Yamaguchi_Vulnerability_Extrapolation_WP.pdf

https://media.blackhat.com/bh-us-11/Le/BH_US_11_Le_ARM_Exploitation_ROPmap_Slides.pdf

https://media.blackhat.com/bh-us-11/Willis/BH_US_11_WillisBritton_Analyzing_Static_Analysis_Tools_Slides.pdf

https://media.blackhat.com/bh-us-11/Willis/BH_US_11_WillisBritton_Analyzing_Static_Analysis_Tools_WP.pdf

https://media.blackhat.com/bh-us-11/Beresford/BH_US11_Beresford_S7_PLCs_Slides.pdf

https://media.blackhat.com/bh-us-11/Beresford/BH_US11_Beresford_S7_PLCs_WP.pdf

https://media.blackhat.com/bh-us-11/Diskin/BH_US_11_Diskin_Binary_Instrumentation_Slides.pdf

https://media.blackhat.com/bh-us-11/Sutton/BH_US_11_Sutton_Embeded_Web_Servers_Slides.pdf

https://media.blackhat.com/bh-us-11/Sutton/BH_US_11_Sutton_Embeded_Web_Servers_WP.pdf

https://media.blackhat.com/bh-us-11/Johansen/BH_US_11_JohnasenOsborn_Hacking_Google_Slides.pdf

https://media.blackhat.com/bh-us-11/Johansen/BH_US_11_JohnasenOsborn_Hacking_Google_WP.pdf

https://media.blackhat.com/bh-us-11/Johansen/BH_US_11_JohnasenOsborn_Hacking_Google_Slides.pdf

https://media.blackhat.com/bh-us-11/Johansen/BH_US_11_JohnasenOsborn_Hacking_Google_WP.pdf

https://media.blackhat.com/bh-us-11/Kennedy/BH_US_11_KennedyMuttik_IEEE_Slides.pdf

https://media.blackhat.com/bh-us-11/Sullivan/BH_US_11_Sullivan_Server_Side_WP.pdf

https://media.blackhat.com/bh-us-11/Sullivan/BH_US_11_Sullivan_Server_Side_Slides.pdf

https://media.blackhat.com/bh-us-11/McCoy/BH_US_11_McCoy_Hacking_Net_Applications_WP.pdf

https://media.blackhat.com/bh-us-11/McCoy/BH_US_11_McCoy_Hacking_Net_Applications_Slides.pdf

https://media.blackhat.com/bh-us-11/Brossard/BH_US_11_Brossard_Post_Memory_WP.pdf

https://media.blackhat.com/bh-us-11/Thieme/BH_US_11_Thieme_Staring_Abyss_WP.pdf

https://media.blackhat.com/bh-us-11/Dinaburg/BH_US_11_Dinaburg_Bitsquatting_WP.pdf

https://media.blackhat.com/bh-us-11/Dinaburg/BH_US_11_Dinaburg_Bitsquatting_Slides.pdf

https://media.blackhat.com/bh-us-11/Cache/BH_US_11_Cache_PPI-Geolocation_Slides.pdf

https://media.blackhat.com/bh-us-11/Cache/BH_US_11_Cache_PPI-Geolocation_WP.pdf

https://media.blackhat.com/bh-us-11/Davis/BH_US_11-Davis_USB_Slides.pdf

https://media.blackhat.com/bh-us-11/Davis/BH_US_11-Davis_USB_WP.pdf

https://media.blackhat.com/bh-us-11/Daswani/BH_US_11_Daswani_Mobile_Malware_Slides.pdf

https://media.blackhat.com/bh-us-11/Daswani/BH_US_11_Daswani_Mobile_Malware_WP.pdf

https://media.blackhat.com/bh-us-11/Radcliffe/BH_US_11_Radcliffe_Hacking_Medical_Devices_Slides.pdf

https://media.blackhat.com/bh-us-11/Radcliffe/BH_US_11_Radcliffe_Hacking_Medical_Devices_WP.pdf

https://media.blackhat.com/bh-us-11/Cerrudo/BH_US_11_Cerrudo_Vulnerability_Hunting_Windows_Slides.pdf

https://media.blackhat.com/bh-us-11/Schuetz/BH_US_11_Schuetz_InsideAppleMDM_Slides.pdf

https://media.blackhat.com/bh-us-11/Schuetz/BH_US_11_Schuetz_InsideAppleMDM_WP.pdf

https://media.blackhat.com/bh-us-11/Case/BH_US_11_Case_Linux_Slides.pdf

https://media.blackhat.com/bh-us-11/Raber/BH_US_11_Raber_Hades_Slides.pdf

https://media.blackhat.com/bh-us-11/Raber/BH_US_11_Raber_Hades_WP.pdf

http://media.blackhat.com/bh-us-11/Arlen/BH_US_11_Arlen-HFT_Slides.pdf

http://media.blackhat.com/bh-us-11/Arlen/BH_US_11_Arlen-HFT_WP.pdf

https://media.blackhat.com/bh-us-11/Belenko/BH_US_11_Belenko_iOS_Forensics_Slides.pdf

https://media.blackhat.com/bh-us-11/Belenko/BH_US_11_Belenko_iOS_Forensics_WP.pdf

https://media.blackhat.com/bh-us-11/Slaviero/BH_US_11_Slaviero_Sour_Pickles_Slides.pdf

https://media.blackhat.com/bh-us-11/Slaviero/BH_US_11_Slaviero_Sour_Pickles_WP.pdf

https://media.blackhat.com/bh-us-11/Elhage/BH_US_11_Elhage_Virtunoid_Slides.pdf

https://media.blackhat.com/bh-us-11/Elhage/BH_US_11_Elhage_Virtunoid_WP.pdf

https://media.blackhat.com/bh-us-11/Nakibly/BH_US_11_Nakibly_Owning_the_Routing_Table_Slides.pdf

https://media.blackhat.com/bh-us-11/Nakibly/BH_US_11_Nakibly_Owning_the_Routing_Table_WP.pdf

https://media.blackhat.com/bh-us-11/Miller/BH_US_11_Miller_Battery_Firmware_Public_Slides.pdf

https://media.blackhat.com/bh-us-11/Miller/BH_US_11_Miller_Battery_Firmware_Public_WP.pdf

https://media.blackhat.com/bh-us-11/Stamos/BH_US_11_Stamos_MacsAPT_Slides.pdf

轉自   http://blog.claudxiao.net/2011/08/blackhat-2011/ 

黑客反汇编揭秘（第二版）

作者： (俄)Kris Kaspersky（克里斯.卡巴斯基）  
譯者： 譚明金[同譯者作品]
叢書名： 安全技術大系
出版社：電子工業出版社
ISBN：9787121106279
上架時間：2010-6-12
出版日期：2010 年6月

OpenFoundry !!

OpenFoundry 及 OSSF 的誕生

順應國內外自由軟體應用日益普及的潮流，中 央研究院資訊科學研究所於民國92年接受經濟部工業局「自由軟體產業推動計畫」的補助，成立自由軟體鑄造場 (Open Source Software Foundry，以下簡稱 OSSF )，以擴大自由軟體在臺灣的應用幅度與研發能量。目前經費的來源，部分來自行政院國家科學委員會的補助，部分則來自於中央研究院資訊科技創新研究中心。

OSSF 重點任務為培植本土自由軟體社群與人才，實際工作有：
(一)推廣自由軟體概念
(二)集結國內自由軟體社群
(三)促進臺灣人才培育與產業合作
(四)與國際趨勢交流接軌

OpenFoundry 及 OSSF 的成員

OSSF計畫主持人由中研院資訊科技創新研究中心研究員擔任，負責營運指導與行政協調。計畫成員則依據業務屬性，分成技術、營運、法政三組來完成每年的計畫目標。

OpenFoundry 在做甚麼

OSSF 計畫透過 OpenFoundry 平台，提供使用者從事自由軟體專案開發時，所需要的重要工具與服務。從功能上分析，OpenFoundry 平台具有三個主要的功能面向；而以所從事的服務面來看，則具體的表現為五大服務項目，其三大功能面向及五大服務面向簡介如下：

統合三大功能

1. 專案開發的面向OpenFoundry 在專案開發方面，其本身即為一個供自由軟體愛好者討論、編寫、管理專案內容所設置的共同開發平台，自由軟體的開發人員可以透過此 OpenFoundry 所提供的工具模組建置其自由軟體專案；一般的使用者則可以透過 OpenFoundry 下載所需要的自由軟體，並提供下載程式的改良意見。

2. 資訊匯集的面向OpenFoundry 在資訊匯集方面，登錄有本專案的最新動態、自由軟體社群活動、法律授權參考資訊以及自由軟體相關研究報告與教材資源等，可供使用者自行下載參照學習。 

3. 人才媒介的面向OpenFoundry 在人才媒介方面，收集了國內軟體社群、學界與業界自由軟體相關人才的資訊，延伸介紹台灣自由軟體社群發展的現狀，以整合跨領域的人際網絡與人才資源，並讓 使用者可以分享自由軟體活動訊息、開發經驗及個人近況，使用者亦可以透過此平台與國內需要自由軟體人才的廠商聯繫接洽。

提供五大服務

1. 匯集自由軟體領域的專業資源目錄在這個資源目錄下，OpenFoundry 蒐集與自由軟體相關的連結資訊，並將其分類為企業運算、嵌入式系統、資訊安全、法律授權、一般應用、開發工具等大項，供使用者依此資源目錄架構，循序深入自由軟體豐富的應用世界。

2. 發行自由軟體鑄造場電子報推廣自由軟體的電子發報系統，內容包括國內外自由軟體技術介紹、產業趨勢、法律授權議題、名家專欄以及社群活動等，每月發行兩期，以純文字版本與網頁版本並行出刊。

3. 舉辦各類自由軟體活動及工作坊OpenFoundry 每年不定期針對自由軟體相關議題舉辦多場研討會，亦與國內社群與業界合作自由軟體技術交流工作坊。所有活動訊息，皆會透過 OpenFoundry 的訊息頁面對外發佈，歡迎有興趣的朋友定期上網查閱或是訂閱自由軟體鑄造場電子報！ 

4. 從事校園推廣及提供自由軟體相關教材影片OpenFoundry 不定期前進國內的大專院校進行自由軟體相關推廣活動，並將活動相關的教材、簡報、技術文件、研究報告與線上影音檔等，彙整於網站上，供有志研讀的使用者自行下載使用。

5. 提供法律政策諮詢與服務法律方面的服務包括了自由軟體授權條款研究、案例追蹤、商業運用模式與政府政策研究等等。此外，若實際應用自由軟體時遭遇法律疑問，OpenFoundry 也提供基本諮詢或爭端解決方面的協助。各項法律政策相關的資訊可以在 OpenFoundry 網站上的「法律源地」網頁，與自由軟體鑄造場電子報的「法律專欄」中查閱。

轉自 OpenFoundry

無腦教學 - 人肉蒐索(合法篇)

作者：cisome
在網路上很多情況我們只能得知某個特定的資料，可能是上網的IP也可能是帳號資訊，但如果我發現一個有趣的帳號，例如：『calvinc1』，要如何找出這個人的相關資料呢?你可以簡單透過下列幾種合法管道

1.搜尋引擎(目標的粗略印象)
透 過搜尋引擎可以快速的查找所有這個帳號的相關資訊，你可能在某個學校的網頁中找到這個資訊，也可能在某個論壇中發現他發表的文章，由於訊息量非常雜亂且不 確定到底是不是他，或是其他使用相同帳號的仁兄，因此你除了每個連結都去逛逛外，沒有什麼特別快速辨別的方法，所以你必須在逐一瀏覽後進行簡單的分類後備 用，另外，古云：狡兔有三窟，人的帳號也可能有多個，在這個階段你可以把所有的相關帳號整理後備用。

2.部落格(目標的思考邏輯)
近 年來流行洩露自己的想法，部落格是最早出現做為瞭解某個人生活偶發的事件、想法、做法等思考邏輯的重要來源，除了瀏覽文章內容外，有些人會把相簿內的人物 標上姓名、外號及地點，這個部份也很重要，你可以瞭解他的活動範圍，也可以透過這些朋友社交攻擎或獲取目標朋友對目標的印象做為塑型的依據
*社交攻擊：你可以在IM或社群網站偽冒成目標，然後加入目標的朋友，再藉由目標的朋友探查出更多資訊

3.社群網站(目標的周遭朋友)
有些社群網站也稱作微網誌常存在許多目標資料，因此大致上要做的事與部落格差異不大，你可以透過他的朋友，進一步瞭解這個人，又或許你在社群網站上就可以拿到這個人的生日、電話等基本資料了

4.交易網站(目標買了那些東西)
為什麼要知道他買了那些東西呢?純綷是想探知他的隱私而已，畢竟關於目標的事，能知道的越多越好，或許你也可以假裝是賣家，作為售後服務詢問他產品使用狀態，或是邀請他填問卷拿大獎，當然問卷是設計成奪取個人資訊為目的，大獎就任由他作夢去吧

5.論壇(目標對那些議題較有性趣)
這個地方就很好玩了，部落格或社群網上的朋友可能為現實生活中的真實朋友，形象較確定且礙於個人的形象，可能比較不會在上面發表不當的言論，但論壇就不同囉，自己發掘看看吧，或許在某個風月論壇，你可以發現一些驚人的言論

轉自 http://mycck.blogspot.com/2011/04/blog-post.html

「網路攻防戰」Blog教學資料

2011/4月開始，網路攻防戰會於每週四晚上9:00~11:30 固定開播資安課程，至於收播時間則不一定要看當天的課程檔案時間多長。

日期	主題
4/07 (四) 21:00~24:00	網路攻防戰之個資防護篇
4/14 (四) 21:00~24:00	網路攻防戰之郵件社交工程篇
4/21 (四) 21:00~24:00	網路攻防戰之上網篇
4/28 (四) 21:00~24:00	網路攻防戰之木馬入侵

你也可以直接在這邊收看 OpenBlue的TV在 Justin.tv 上的廣播實況 。
你可以透過：網路攻防戰FaceBook的粉絲團 來回報網路直播的意見。
 
註：
這些課程都是以前上課的錄影檔，主要是測試直播平台的特性與穩定度。
課程內容都是舊資料、舊案例、舊的DEMO，目前還沒放上去近期的DEMO資料，請不要挑剔播報內容囉！ 

轉自 網路攻防戰

 

「電腦處理個人資料保護法解釋彙編」電子檔

 「電腦處理個人資料保護法解釋彙編」電子檔

PDF格式，請自行下載檔案
檔案來源法務部全球資訊網

一窺中國快速發展中的地下線上遊戲經濟- XWM Trojan木馬工具組剖析

截至2009年12月，約有2億6千5百萬，或全中國境內68.9%的網際網路使用者，曾玩過線上遊戲。中國共計有750個線上遊戲供應商，總收益約達250億人民幣。

引言

線上遊戲在中國非常熱門。事實上，截至2009年12月為止，約有2億6千5百萬，或全中國境內68.9%的網際網路使用者，曾玩過線上遊戲。同一時期中國共計有750個線上遊戲供應商，總收益約達250億人民幣。

線上遊戲玩家不只在遊戲上花許多時間，同時也花了高額的金錢。為了提升線上遊戲體驗，玩家投入金錢購買虛擬資產如黃金，手工藝品；以及如能量升級（power leveling），黃金農場（gold farming），及其它在數個線上交易平台以實體貨幣交易（real money trading，簡稱RMT）等類的服務。多數的線上交易平台皆為公開的市場，任何人皆可使用簡易的付款機制來買賣虛擬資產或服務。種種因素皆促使RMT實體貨幣交易市場逐漸擴大，虛擬資產收益總額在2009年約達人民幣340億元。

網路犯罪份子當然不會放過如此龐大的商機，因此製作出Trojan木馬工具組來偷盜玩家帳戶憑證，並販賣受害玩家所累積的虛擬資產。網路犯罪份子因此更能輕易地取得金錢，也使得線上遊戲Trojan木馬成為中國一大安全威脅。

線上遊戲Trojan木馬的繁衍改變了地下經濟。地下經濟出現了新角色，如將Trojan木馬，以及虛擬資產竊盜者及買家。

本研究報告將介紹一款熱門的線上遊戲Trojan木馬工具組，名為響尾馬（Xiang Wei Ma，簡稱XWM）的工具組，即響尾木馬之意，其主要的攻擊目標為中國的熱門線上遊戲。

XWM工具組概論

 

XWM工具組包括21個附有後台伺服元件的Trojan木馬產生器，每一個皆針對一款中國熱門的線上遊戲。多數的目標對象皆是中國當地的線上遊戲。

圖1、XWM工具組Trojan木馬產生器

XWM工具組的目標特別是下列的中國線上遊戲：

 

 

後台伺服器是一個接收Trojan木馬傳送所竊得資料的網站。網路犯罪份子利用這個被他們稱之為信箱的網站儲存偷盜得來的資料。

圖2、 XWM工具組後台伺服元件

後台伺服器是一個接收Trojan木馬傳送所竊得資料的網站。

木馬產生器

XWM工具組中的Trojan木馬產生器需要先行設定才能用以產生新的Trojan木馬。使用者需要將後台伺服器的URL輸入到工具組的功能設定模組中，才能接受所製作出來的Trojans木馬所偷盜得的資料。

圖3、XWM工具組功能設定視窗

設定模組同時備有壓縮選項，使用者可選擇是否壓縮所製作的Trojans木馬。XWM工具組使用一個叫做Upack的封裝器來壓縮惡意使用者所製作的Trojans木馬。

圖4、使用Upack來壓縮使用XWM工具組製作的Trojans木馬

在按下製作（Generate）鍵後，XWM工具就會產生新的.EXE檔Trojan木馬。

XWM TROJANS木馬及元件

當執行XWM Trojan木馬時，會將下列檔案投擲入受感染的系統中：

  %system32%\{4個隨機字母}.dll

  %system32%\{4個隨機字母}.cfg

  %system32%\drivers\msacpe.sys

XWM Trojan木馬的惡意程序其實相當簡單。首先會產生一個 .DLL和一個 .CFG檔到被感染的系統中，這兩個程式皆使用4個隨機字母做為名稱。接著將 .DLL檔案載入系統記憶體中。這個檔案程式具有下列主要功能：

         終止安全軟體運作。會終止和一個中國安全軟體供應商360相關的數個運作。

產生一個啟動程式並製作與其相關的服務。產生一個名叫msacpe.sys的啟動程式，接著製作出名為mseqsv的服務，並利用前者做為圖片檔。其作用在做為此惡意軟體的網路嗅探器，可從被感染的系統偷盜資料。

偷盜線上遊戲資料。為達此目的，程式會搜尋線上遊戲設定檔案如config.ini，info.ini及其它含有以下資料的檔案：

   使用者名稱

   線上遊戲伺服器名稱

   線上遊戲伺服器所在區域

程式接著搜尋與線上遊戲相關的流程，並讀取其記憶空間，以便竊取以下資料：

         遊戲角色

         遊戲層級

        虛擬貨幣金額

當msacpe.sys找到與目標線上遊戲相關的流程時，便會將程式碼注入程序中，並從程序中取得如密碼等的資料。

將竊得的資料傳送給後台伺服器。程式同時也會將到手的資料傳送到網路犯罪份子所持有的後台伺服器。程式使用以下字串做為URL的參數：
?a=%s&s=%s&u=%s&p=%s&r=%s[%s]&l=%d&m=%d&pin=%s

上述的參數有8種變化如下：

a = 線上遊戲伺服器所在區域

s = 伺服器名稱

u = 使用者名稱

p = 密碼

r = 角色

l = 層級

m = 虛擬貨幣

pin = 個人辨識碼（personal identification number，簡稱PIN）

Trojan木馬會使用所說的參數將偷來的資料回傳給後台伺服器。msacpe.sys檔案會協助 .DLL檔案偷盜資料。.CFG檔因此只包含加密的後台伺服器URL，在設定Trojan木馬產生器時加入。

後台伺服器接受Trojan木馬竊得的資料。伺服器是一個使用了動態伺服器網頁（Active Server Pages，簡稱ASP）技術的網站。為了測試這個惡意軟體，我們設了一個使用了網際網路資訊服務（Internet Information Services，簡稱IIS）的網站。如圖所示，後台伺服器需要使用者名稱和密碼以便登入。

圖5、後台伺服器登入頁面

後台伺服器備有4個主要功能：

      檢查偷盜得的資料

      管理群組使用者

      管理一般使用者

      複審伺服器訪客紀錄

圖6、後台伺服器4個主要功能

動態伺服器網頁（Active Server Pages，簡稱ASP）是Microsoft微軟第一個為機動產生網頁而提供的伺服端程式碼引擎。最初是透過NT 4.0選項套組做為網際網路資訊服務（Internet Information Services，簡稱IIS）的外掛程式來發佈，之後成為Windows 2000伺服器的免費元件之一。

 

群組使用者多數指的是網站的持有者。可增加或移除使用者帳戶，無論是網頁的typeXpower或normalXon。

圖7、群組使用者的管理頁面

相較之下，一般使用者則可看到被偷盜的除了密碼外的資料。一般使用者通常會被給予Trojan木馬分送器。

圖8、一般使用者的管理頁面

Trojan木馬分送者利用破壞弱點漏洞的方式入侵合法網站，並將Trojan木馬的下載URL注射入被入侵的網站中。他們也可與數個提供免費下載音樂，電影和軟體的小網站管理者達成協定。這些網站的管理者會將Trojan木馬下載URL注射到所管理的網站中，誘使用者點擊惡意的URL。Trojan木馬分送者會支付款項給網站管理者。Trojan木馬分送者則按所偷得的帳戶數量獲得金額，因此他們需要定期登入到訪客紀錄頁面去查看最新的偷盜得的帳戶資料數量。

圖9、訪客紀錄頁面

這套Trojan木馬工具組背後的網路犯罪集團製作了一個展示頁面，其中包括了利用該套工具取得的偷盜資料樣本，藉由XWM工具組的能力展示來說服客戶。

圖10、展示網頁中被竊得資料的樣本

多數被偷盜的資料皆在RMT實體貨幣交易平台販售，如5173.com和Taobao.com

圖11、在5173.com上販售的被竊虛擬資產樣本

更多關於XWM的內容

無庸置疑地，製作出XWM工具組的網路犯罪集團主要目的就是獲取利益。他們將工具組賣給其他的網路犯罪份子，其證據就是在展開XWM工具組後出現的註冊視窗。使用者如果想要使用Trojan木馬產生器就需要購買並輸入註冊碼。

圖12、XWM工具組註冊視窗

XWM工具組的製作罪犯也在特定的網站中廣告該套工具組。在該則廣告中，一個Trojan木馬產生器可以人民幣2千3百元購得。每一式Trojan木馬執行檔價格則是在人民幣2百50元。購買Trojan木馬產生器或至少一個Trojan木馬的使用者，同時也可獲得6個月免費的防偵測服務，以及後台伺服器的寄存服務。不過使用者也可使用自己的後台伺服器寄存。

圖13、XWM工具組廣告

結論

本研究報告所介紹的，是一款熱門的線上遊戲Trojan木馬工具組，名稱是XWM工具組。XWM工具組有兩個主要元件，一個是Trojan木馬產生器，另一則是後台伺服器。

XWM工具組極為容易設定。要製作一個Trojan木馬時，網路犯罪份子只需要將後台伺服器的URL 輸入到Trojan木馬產生器的設定區內即可。被製作並分送到使用者系統的Trojan木馬便可開始偷盜資料，並按網路犯罪份子所指定的URL傳送到後台伺服器中。

而所附的後台伺服器使用也非常容易，因其會將到手的資料妥為組織整理，讓偷盜虛擬資產的工作可迅速執行。

XWM工具組的目標是中國境內21個熱門線上遊戲的數百萬名網際網路使用者。龐大的遊戲人口使此Trojan木馬工具組極有可能成為最受網路犯罪份子喜愛的攻擊路徑。

因此提醒使用者們，特別是熱情的線上遊戲玩家們，在回應無預期的下載要求時務必要特別小心。我們強烈建議不要下載看來可疑的檔案，也不要點擊不太可信的聯結。

轉自http://domynews.blog.ithome.com.tw/post/1252/82667

 

對於預測2010年的資安威脅報告(Security Threat Report:Trends for 2010)

對於預測2010年的資安威脅報告(Security Threat Report:Trends for 2010)

時序歲末，又將是新的一年即將來到。這個時節，也正是年度資安威脅報告統計分析成果公佈的時節，對於來年也會做些趨勢的推估、預測。這邊特別蒐集了一些有 公佈安威脅報告的資料，大多為一年前所公佈的，個人反到偏愛以回顧的方式來看這些威脅報告，經過一年的風風雨雨，回顧起來更有感觸。如果再多看一些陳年的 年度報告，也許會覺得當時做資安算是簡單的哩!!怎當年也是搞得暈頭轉向咧~~XD

應該看的理由：
1. 找到資安防禦方向或重點，對資安廠商來說掌握趨勢，也掌握先機。
2. 年度威脅報告，乃資安廠商投資、建置、蒐集、統計、分析而來的，有的是資安廠商蒐集相關網路資訊而來的，要寫出一份好的報告，說簡單也不簡單，但要寫出一份切中未來趨勢，就有其難處，由這也可以看出其對威脅報告用心。
3. 驗證目前防禦現況，是否符合內部的威脅分析報告或數據。
4. 我要打十個。
5. 將部分主題內容，作為一般教育訓練教材之方向，並加強宣導資安觀念。很多攻擊手法都是針對「人」來著，需要修正的是「人」的觀念。

不該看的理由：
1. 夾帶置入性行銷內容。
2. 威脅報告內容不夠全面性，不夠客觀，容易陷入迷思。這點確實如此，看威脅報告時，還要注意公佈資安廠商的屬性，畢竟分析內容還是在其專業領域中。
3. 沒有內部威脅分析報告，也沒關心外在風雨，無從驗證。
4. 不知道內容都在講啥。
5. 該做的都做都做不完了，哪還有時間管新的問題。

無論是啥理由，對於 2010 年度的報告或預測，這裡整理一些網路上蒐集到的，可以快速檢視一下，也許會有些不同防禦想法或創意發想的：
(依據資料公佈時間排序)

McAfee Lab: 2010 年資安威脅預測

1. 在使用者不斷成長的同時，社交網路（如 Facebook）將會面臨更多複雜的資安威脅。
2. Facebook 及其他網路服務應用程式的爆發式成長將會成為網路罪犯的理想目標所在，這些攻擊將會利用好友信任關係去點選一般使用者可能會小心防範的網路連結。
3. HTML 5 將會弭平桌上型及網路應用程式的界限。這也會讓像是 Google Chrome OS 作業系統成為惡意程式作者「獵殺」一般使用者的新潛在危機。
4. 電子郵件的附件成為傳送惡意程式途徑已行之有年，但它仍然持續增加；不斷地愚弄著企業、媒體記者及一般使用者，下載木馬及其他惡意程式。
5. 由於微軟產品的普及，網路罪犯長久以來都是挑它們下手。但在 2010 年，可以預期的是 Adobe 軟體將成為矚目焦點，特別是 Acrobat Reader 和 Flash 兩項。
6. 針對銀行設計的木馬程式將會變得更聰明，可能會攔截合法的交易而進行未經授權的提款。
7. 僵屍網路 (Botnet) 是網路罪犯的先進基礎架構，常被罪犯利用盜用身來分發送垃圾郵件。近來成功關閉了一些僵屍網路，已迫使這些主事者另尋替代方案；包含點對點傳輸設定 (peer-to-peer setups) 在內，能用來下指令的資訊安全漏洞已愈來愈少。
8. 雖然僵屍網路遍布全球，但我們預測仍能在 2010 年在與網路罪犯的爭鬥中取得一定程度的勝利。

資料來源：McAfee 2010 威脅預測 @2009/12/xx

M86 Security™ 發佈2010年資安威脅報告：

1. 殭屍網路（Botnet）將更形複雜
2. 假冒安全軟體（Scareware）持續增加
3. 中毒的搜尋引擎結果
4. 網站感染的進化
5. SaaS及雲端服務的定位前景
6. 運用協力廠商應用程式
7. 國際網域名稱濫用
8. 攻擊應用程式開發介面
9. 網址縮短服務隱藏邪惡手段

資料來源：M86 Security 新聞 @2009/12/04

趨勢科技2010年資安威脅預測報告：

1. 網際網路基礎架構的變遷為網路犯罪者開啟了更多的機會。
2. 網路犯罪者將利用社交媒體與社交網路混入使用者的「信賴圈」。
3. 全球性疫情將逐漸絕跡，地區性或鎖定特定對象的攻擊將成長。
4. 以下是2010年以及未來的一些主要預測

• 「錢」是一切的誘因，網路犯罪不可能消失。
• Windows 7 將會帶來一些影響，因為，其預設的安全等級比 Vista 稍低。
• 就算使用非主流的瀏覽器或作業系統也無法避免風險。
• 惡意程式每幾個小時就會變形一次。
• 強制性感染已經成為常態，只要瀏覽到惡意網站就會感染。
• 未來將出現針對虛擬化與雲端運算環境的攻擊方式。
• Bot 程式將永遠存在，無法根除。
• 企業網路/社交網路的資料外洩事件仍將持續發生。

資料來源：網路資訊雜誌 @2009/12/16

卡巴斯基實驗室發佈2010網路威脅預測報告：

1. 來自檔案共享網路的攻擊增加
2. 透過P2P網路，散播流行性的惡意程式將大規模的增加
3. 來自網路罪犯的流量持續競爭
4. 偽防毒軟體的詐欺程式衰退
5. 針對Google Wave的攻擊
6. 針對iPhone與Android移動裝置平台的攻擊將有所增加

「在2010年，特定的惡意軟體開發者將越漸成熟，並需要更大量的資源，以對抗防毒軟體公司。應用程式的弱點，仍會是網路罪犯的首要目標。而最 終，我相信即時搜尋引擎、黑帽搜尋引擎最佳化技術（Black Hat Search Engine Optimization）與社交網路將會成為網路犯罪的重點。」
資料來源：卡巴斯基 新聞 @2009/12/22

Panda實驗室：2010年度的電腦威脅預測

1. 更多防毒廠商高舉雲端防護的旗幟-雲端運算的風暴即將來襲。
2. 排山倒海襲來的惡意軟體-現行流通的惡意軟體數量將會持續成長。
3. 社交陷阱-透過搜尋引擎（比方說搜尋引擎優化的欺騙手段）和社群網站上，以網頁強迫下載的方式來讓使用者受到感染。
4. Windows 7作業系統-Windows 7在未來兩年內勢必會掀起更多的惡意攻擊浪潮。
5. 手機-如果幾年以後只剩下2～3家比較知名的手機平台，並且人們開始使用手機轉帳服務的話，到時我們再來談手機平台上的網路犯罪潛力也還不遲。
6. 蘋果電腦-預計2010年將有更多設計專屬的惡意軟體去攻擊該平台的作業系統。
7. 雲端運算服務-針對雲端基礎設備或服務的攻擊方式將越來越有可能實現。
8. 網路戰爭-政治動機的網路攻擊，可能影響經濟或關鍵設施。

資料來源：Panda新聞 @2009/12/23

SophosLabs 安全威脅報告：2010年
(此報告乃回顧2009)

1. Social networking：社群網路勢不可檔，做好衝擊因應。
2. Data loss and encryption：第一步如何在資料遺失前對其進行加密，第二步如何控制使用者處理資料。
3. Web threats：Web仍是惡意程式最大散播媒介，而偽防毒軟件與SEO惡意軟件興風作浪。
4. Email threats：惡意郵件不死，透過郵件附件與嵌入連結方式散播從未停歇。
5. Spam：受控制的殭屍電腦仍是最大發信來源。IM及社群網路散播居次。論壇與部落格的留言要注意。
6. Malware trends：有著巨大的地下經濟利益。Adobe Reader(PDF)成為攻擊目標。知名蠕蟲-Conficker。
7. Windows 7：提供一個更加安全的環境，但仍有改善的地方。
8. Apple Macs：調查有69%的 Mac 使用者並未安裝防毒軟體。但跨平台的 PDF 漏洞卻充斥著。
9. Mobile devices：智慧型手機帶來惡意程式的隱憂。
10. Cybercrime：經過十年已經發展成巨大的地下經濟體，而個資與信用卡資料是黑市熱買商品。
11. Cyberwar and cyberterror：民生重大基礎建設(如水力、電力...等)可能透過網路遭受遠端攻擊、控制或破壞等。此亦為未來一大隱憂。

資料來源：SophosLabs @2010/1/xx

Cellopoint對2010年郵件威脅預測：

1. 僵屍網路與惡意程式持續增加
2. 社交網路安全威脅急遽攀升
3. 第三方遊戲與應用程式威脅猶如不定時炸彈
4. 短網址服務成為駭客的最愛工具
5. 中文及東亞語系垃圾郵件量比例升高
6. 雲端運算的安全議題

資料來源：Cellopoint 新聞 @2010/1/4

Websense安全實驗室提出2010年八大威脅預警：

1. 隨Web 2.0而衍生的攻擊將更趨成熟而普及。
2. 殭屍病毒橫行且相互搶占地盤、火藥味濃厚。
3. “假借熟識者的偽Email”因攻擊成功率高，再度成為駭客使用媒介首選。
4. 針對微軟為目標的攻擊事件，目前預測鎖定Windows 7和IE 8。
5. 小心點選搜尋結果。
6. 駭客也花錢下廣告?!假廣告隱藏真危機，網友要小心！。
7. Mac作業系統能夠一如既往面對威脅卻全身而退嗎？2010年會證明，「不可能！」。

資料來源：Websense安全實驗室 新聞資料室 @2010/1/11

賽門鐵克資安儲存趨勢2009年回顧暨2010年觀察
2010年值得觀察的網路安全趨勢：

1. 防毒已經不夠了
2. 社交工程 (Social Engineering) 將成為主要的攻擊媒介
3. 流氓安全軟體廠商將變本加厲
4. 社群網路第三方應用程式將成為詐欺的目標
5. Windows 7將成為攻擊者鎖定的對象
6. 即融殭屍網路(Fast Flux Botnets)將增加
7. 網址縮短服務將成為網路釣魚者的幫兇
8. Mac 和手機惡意軟體將會增加
9. 垃圾郵件作者不再墨守陳規
10. 隨著垃圾郵件作者對環境的適應度，垃圾郵件的數量將持續波動起伏
11. 專業化的惡意軟體
12. CAPTCHA技術將有所改進
13. 即時通訊垃圾郵件
14. 非英文的垃圾郵件數量將持續增加

2010年值得觀察的儲存趨勢：

1. 2010是「刪除年」
2. 2010是終止累積備分磁帶作長期保留之用的一年
3. 無所不在的重複資料刪除
4. 產業競爭將推動標準化軟體的發展
5. 移轉的一年
6. 虛擬化的腳步將超越x86的範圍
7. 雲端儲存迎頭趕上
8. 雲端儲存推動資料管理
9. 企業組織已經無法拖延「綠色」運動

資料來源：賽門鐵克 新聞 @2010/2/25

CSA (Cloud Security Alliance):Top Threats to Cloud Computing V1.0

1. Abuse and Nefarious Use of Cloud Computing(濫用或非法使用雲端運算)
2. Insecure Interface and APIs(不安全的介面與 API)
3. Malicious Insiders(惡意的內部人員)
4. Shared Technology Issues(共享技術產生的議題)
5. Data Loss or Leakage(資料遺失或外洩)
6. Account or Service Hijacking(帳號或服務劫持)
7. Unknown Risk Profile(未知的風險):使用者無法了解雲端所使用的網路架構、系統架構、軟體版本等重要資訊，亦無法進行安全評估。

資料來源：Top Threats to Cloud Computing @2010/3/xx

安天(ANTIY)實驗室信息安全威脅綜合報告
信息安全威脅\趨勢預測：

1. 隨著0Day漏洞的增加，網站掛馬依然是黑客入侵的主要方式，可以預見2010年下半年網站掛馬的數量將會大量增加。
2. 第三方軟件漏洞將成為黑客利用的主要途徑，近年來頻頻發生的第三方軟件安全漏洞多為黑客所利用，也造成了巨大的影響，
3. 無線攻擊將會成為黑客攻擊的新目標，目前已經出現的無線破解技術，可以讓攻擊者免費蹭網。 今後無線攻擊將會給用戶帶來更大的威脅。
4. 病毒將越來越頑固，2010年上半年出現了大量的惡意IE圖標病毒，因其為註冊鍵值，所以傳統的殺毒軟件將病毒清除後並不能刪除惡意的IE圖標。
5. 修改主引導記錄的病毒將增多，病毒利用此技術可以先加載病毒文件再啟動操作系統，使反病毒軟件難以查殺。

反病毒技術發展趨勢分析：

1. 反病毒廠商將根據計算機病毒整體的變化來修改雲計算的算法，用以更快的發現小範圍內傳播的計算機病毒，使雲計算更加合理。
2. 反病毒產品將加強自身及用戶系統的保護，防止主引導記錄被修改等，以弱化惡意代碼取得系統控制權的能力。
3. 反病毒產品將提升綜合處理能力，盡量全面的清除病毒並將系統恢復到正常工作狀態。

資料來源：安天實驗室 病毒预警 @2010/7/6

IBM X-Force 2010 年中趨勢與風險報告：

1. 攻擊者逐漸使用諸如 Javascript Obfuscation 與其他的轉換技術，這讓 IT 安全專業人員備感頭痛。Obfuscation 是一種供軟體開發人員與攻擊者之類用來隱藏或遮蔽所開發應用程式碼的技術。
2. 向來不勝枚舉的安全漏洞舉報增加了 36%。在 2010 年，我們看到大量的安全漏洞揭露，這是因為公開漏洞利用發佈數目大量增加，以及多家大型軟體公司致力於識別及降低安全漏洞。
3. PDF 攻擊持續增加，因為攻擊者找到新方法詐騙使用者。要瞭解 PDF 為何成為攻擊目標，您可以思考一下，在企業組織中端點通常是最弱的鏈結，而攻擊者當然知道這個事實。例如，在特定端點上可能沒有機密資料，但該端點可能會 存取具有機密資料的端點，或者，該端點可以作為特定的彈跳點，以啟動對其他電腦的攻擊。
4. Zeus BotNet 工具箱持續嚴重摧殘組織，Zeus BotNet 套件在 2010 年初發行更新版 Zeus 2.0，此版本中的主要新功能為攻擊者提供更新功能

資料來源：IBM X-Force 威脅報告 @2010/8/xx

最後，一些心得與想法：

• 地下經濟(Botnet、黑市交易...)已然成型，正視它吧。
• 有意圖(政治、經濟、商業、機密資料...等目的)的攻擊行動，這才是比較棘手的。
• 新技術(新作業系統、智慧型手機、雲端...等)的出現，永遠都是新戰場，黑白兩道都想插旗子。
• 電子郵件與 Web 一直都是惡意程式散播的超強媒介，但目前都看到電子郵件與 Web 有開始轉型的跡象。(fb 可能推出的新世代電子郵件，Web 有另類 APP 或雲端的轉型概念)
• 熟悉使用各瀏覽器特性，培養建全資安意識，點滴打造安全瀏覽環境，將是網路使用者持續努力的長久課題。
• 企業對於機敏資料的保護，同樣是持續努力的長久課題。
• 漏洞永遠存在，如何在惡意利用前找到或發現，如何在惡意利用當下阻擋或發掘，如何在惡意利用後察覺、反應、應變，沒有解決方案，只有「面對它、接受它、處理它、放下它」。
• 社群網路將使攻擊手法更貼切、平易近人，形成特定、細膩化的攻擊。若使用者無法在社群網路上控管好個人隱私，哪又如何寄望使用者能對企業機敏資料善盡保管之責呢？

轉自 資安之我見

Flash cookies: new threats to Internet Privacy

For sites and advertisers, through HTTP cookies to obtain information is not under way are welcome. Now users have found ways of avoiding them. According 布鲁斯施奈尔 news, site developers now have a better way. Although it is still seen as a Cookie, but it is different.

LSO, a bigger and better cookie

Under similar HTTP cookie, the local shared object (LSO) or call Flash cookie is stored on our information and track activities on the Internet way. On this project, I understand the information are:

· Flash cookie can accommodate up to 100 kilobytes of data, and a standard HTTP Cookie is only 4 kilobytes.

· Flash cookie expiration time is not the default.

· Flash cookie will be stored in different locations, making them difficult to find.

YouTube's Test

LSO is also very difficult to remove. An example can be shown here. Visit the YouTube site, open a video, adjust the volume. Delete all cookies and close the Web browser. Re-open the web browser and play the same video. Please note that sound does not revert to default settings. This proves that Flash cookie has not been removed, also play a role.

Very few people know the existence of Flash cookies, so this is a problem. It makes those cookies on the Web browser to control user access to a false sense of security. As mentioned above, privacy controls will not affect the Flash cookies.

Where they are stored in

Flash cookies used. Sol extension. But even know this, I still can not find any on my computer there is a sign. Thank you, Google (using Flash cookies), I found information about Flash cookies only way the website is Flash player.

The following pictures from the Flash player, site, showing the storage area settings. Label is displayed visited the site (total 200), all save the location of Flash cookies. If you want to delete the words of the label is also the location of such operations.


Flash cookies very popular

Another of Google search results brought me to a University of California at Berkeley study. Researchers on the top 100 sites in the Flash cookies and privacy applications to conduct the survey. The results showed:

* 100 sites in 54 using Flash cookies.

* This site uses 54 157 Flash cookies, produced a record 281 individuals Flash cookies.

* 100 sites in 98 using HTTP cookies. This web site produced 98 3602 HTTP cookies record.

* 31 of these sites use the TRUSTe privacy program logo. 31 of 14 applications had Flash cookies.

* 100 sites, only four use Flash as a tracking mechanism.

It appears that many sites use both HTTP and Flash cookies. It was very confusing to the researchers. After extensive analysis, they find out the reason, rebirth (respawning).

Flash cookie rebirth

University of California, Berkeley, researchers found that the time you close the browser HTTP cookies can be removed using Flash cookie information in the rewrite (born again):

"We found several web site was rewritten HTTP cookie situation. At About.com on a SpecificClick Flash cookie rewrite a deleted SpecificClick HTTP cookie. The same situation occurs in the Hulu.com on a QuantCast Flash cookie rewrite a deleted QuantCast HTTP cookie. "

The researchers also found that Flash cookies can be restored, and is not limited to the same domain of HTTP cookies:

"We also found that cross-domain HTTP Cookie can be rewritten. For example, third-party ClearSpring the Flash cookie can override Answers.com meet the requirements HTTP cookie. ClearSpring also can override the requirements found Aol.com and Mapquest.com HTTP cookies. "

Its function become more powerful

Not long ago, Google started to use them that they would not use behavioral targeting (BT) technology, I have written an article. In the article, I mentioned that online advertising to promote Association (NAI). About 30 companies using BT technology. Under pressure, the association created a opt-out page, to avoid being tracked becomes very simple.

The researchers found that, cookie out of the settings are incomplete. NAI's sites are created the Flash cookies. The report mentioned a specific event:

"We found that NAI QuantCast the cookie set on withdrawal, Flash cookies still in use. In the cookies are deleted, Flash cookie also allows rewrite QuantCast HTML cookie. It does not choose to rewrite the exit Cookie. Therefore, users select After the track is still out there. "

Some solutions

In order to avoid save Flash cookies, on the need to use the Global Storage Settings Manager to enter setup options, as shown below to remove the "allow third-party Flash content stored on your computer" option.


In this case, we can avoid Flash cookies are installed into the system. The irony is that we must accomplish this in the Flash site operation.

In tests, researchers used the Mozilla Firefox browser. In the report, they mentioned a Firefox plug-BetterPrivacy, you can turn off the time to delete all flash cookies. The other plug-ins can Ghostery network to track the hidden script, and issued a warning.

Conclusions

I think that being anonymous on the Internet to track the time has passed. If this technology really is harmless, please join the consent of the options.

轉自 Softcov

O&O SafeErase 4 個人文件碎紙機，清除檔案不留痕跡

當你刪除、銷毀電腦裡的檔案時，你知道它沒有辦法完全從電腦裡被清除嗎？尤其當你必須將使用過的電腦退回或是賣給其它人，即便是格式化磁碟，任何人都可能透過檔案回復軟體來取得你所刪除的重要資料，包括私密的檔案或是密碼。那要怎麼避免這種問題發生呢？

很簡單，你可以透過一些軟體來給予幫助。

例如 O&O SafeErase 就是一套用來完整清除某些敏感文件或資料的軟體，它所使用的技術是國際認可且推薦的方式，某些技術也被美國國防部及德國訊息技術安全部門所採用。雖然 O&O SafeErase 不是免費軟體，但在近期的優惠活動可以免費獲得價值 $29.95 USD 的軟體序號。

軟體資訊

• 軟體名稱：O&O SafeErase
• 軟體語系：英文、德文、法文
• 軟體大小：28.7 MB
• 作業系統：Windows XP / 2000 / 2003 / 2008 / Vista / 7（32位元、64位元）
• 官方網站：http://www.oo-software.com/
• 軟體下載：32-bit | 64-bit （英文版）

備註：如下載 E-mail 內的 O&O SafeErase 4 則軟體本身為德文版，請直接下載本文章上方提供的軟體下載鏈結即可使用英文版。

優惠活動說明

進入 O&O SafeErase 4 的優惠活動網頁，在最下方填入你的 E-mail 信箱，然後按下「Kostenlose Lizenz anfordern」，幾分鐘後就可以在信箱收到軟體序號。

接著以一般程序安裝 O&O SafeErase 4.1，啟動後會出現註冊精靈，如果沒註冊會有30天的使用時間限制。選擇「Enter your registration code」接著按下一步。

接著把你收到的姓名、公司和序號（Serial）輸入註冊表單，在這次優惠活動裡，Name 及 Company 都是你所填寫的 E-mail 地址，請務必兩個欄位都要填寫。

本優惠活動所贈送的序號是 O&O SafeErase 4.1 的 NFR-License 序號（不得轉售的序號）。

接著會要求使用者填入 E-mail 來訂閱最新消息，忽略這個步驟直接按 Next 跳過即可。如果出現提示視窗，請按下 Yes 就能夠跳過登錄 E-mail 的程序。

開始使用囉，O&O SafeErase 提供以下這些功能：

• Delete files and folders: 刪除電腦內的檔案、資料夾
• Delete temporary Windows files: 清除 Windows 暫存檔
• Delete temporary Internet files: 清除網路暫存檔
• Delete free disk space: 刪除可用磁碟空間

另外兩個功能比較進階，包括刪除硬碟及磁區，使用上需要更為謹慎以免發生問題。

以其中一項功能 Delete files and folders 來說，若要永久刪除電腦內某些重要的檔案、資料夾，只需要將這些檔案加入清單，然後點擊 Run now，它們就會被完整移除，且無法以復原軟體將檔案還原。

轉自 http://www.freegroup.org/2010/10/o-and-o-safeerase-4-giveaway/

十年沈淀,十年礪劍!《看雪學院十週年紀念版》發布！

關於看雪網站

看雪安全網站（www.pediy.com）創建於2000年1月，網站歷經10年多的發展，脫穎而出，憑藉自身實力，已經成為中國軟件安全領域 公認的最權威的技術站點，影響深遠。多年來，看雪軟件安全網站一直遵循純技術的發展策略，不但在行業中樹立了令人尊敬的專業形象，更使一大批專業人士和專 家聚集在這裡，形成了一個技術交流的網上家園，帶動了大批對軟件安全感興趣的網友加入進來，構建起了一個圍繞軟件安全主題的活躍的大社區，歷久彌新。正是 看到這種技術氣氛，不少知名的公司都很關注論壇技術人才。

本著知識共享，一切免費的建站宗旨，看雪軟件安全網站匯聚了大量高水平的技術文章，至今為止原創了上萬篇精華文章，極大地推動了國內軟件安全技術的發展。2007年論壇改名為看雪軟件安全論壇，論壇在保持已有的軟件加密與解密研究方面外，在漏洞分析、系統底層、病毒分析、Rootkit等技術領域進行 全面擴展，逐步發展為信息安全方面的綜合服務網站。  

《看雪論壇精華10》選錄了看雪軟件安全論壇 2008.1.1 - 2009.12.31 期間的精華內容，共1700餘篇文章。作為站長，我 由衷地感謝論壇全體會員的無私奉獻，正是你們的熱情和不懈的努力，使得論壇能夠有今天的成就，成為國內安全技術領域的一支中堅力量。

為了推進軟件安全技術為社會和企業服務的理念，我們正在努力提升網站的服務能力，為關注信息安全的大眾，提供更多的內容、更好的服務和技術產品。如果您有任何好的想法和建議，歡迎隨時在本站發帖，討論，讓我們共同努力，創造一個更加美好和安全的網絡環境。

論壇下載 http://bbs.pediy.com/showthread.php?t=120908
web版 http://bbs.pediy.com/goodpost/web10/pediy2010.html

找出是誰抄襲我的圖片作品！

今天看到一則新聞，由政府主辦的「著作權海報設計比賽」，校園組首獎竟然是抄襲國外藝術家的作品！這倒是提醒大家注意著作權的重要性了（完全凸顯比賽主題），也許這就是參賽者的本意？？好啦，這不是今天講古的重點，這件事引發凱撒之鷹另一個想法－－要如何在網路上找到別人抄襲你的圖片作品呢？

注意喔，這裡所指的「抄襲」並不是純粹盜圖，而是你的創作圖片被拿去修改後，變成另一張雷同度極高的圖片，如果沒有人跟你說，自己要怎麼發現有這件事呢？

先跳開話題一下，如果是想知道文章有沒有被抄襲，那用Google比對文字是還蠻簡單的，只要拿文章中的某一串句子去做搜尋（最好前後加上 "  " 引號夾註起來），就能很快找出相同或類似的句子。但是Google只能用關鍵字去搜尋圖片，雖然文字搜尋方面很強，卻無法直接「以圖找圖」，所以Google大神這時候就派不上用場了。

這裡介紹一個專門「搜尋相似圖片」的搜尋引擎 TinEye，它的專長就是以圖找圖：你先上傳一張圖片（或圖片網址）給它，TinEye 就會幫你比對網路上幾十億張圖片，然後挑出類似的圖片給你看，這樣就很容易知道有沒有被抄襲修改了。

TinEye網站　http://www.tineye.com 

實作示範

以前面那則抄襲國外作品的新聞為例，如果在沒有人發現的情況下，要怎麼用 TinEye 找出它可能有抄襲某張圖片呢？方法很簡單：

1. 我是在聯合新聞網上面看到這則新聞，裡面有疑似抄襲作品的圖片，那我只要先把圖片的網址複製起來。當然如果一開始並沒有新聞報導，那你在現場把照片拍起來存進硬碟裡也行。

2. 接著到 TinEye 網站，把要比對的圖片網址貼上去，再按下［Search］鈕進行比對。如果是自己硬碟裡的圖片，就用左邊的［選擇檔案］鈕來上傳。

3. 比對結果馬上就出來了，果然網路上有一張圖片非常相似，可能就是當初「參考」的原圖。

4. 點擊圖片下方的「Compare」連結，還能讓兩張圖片更進一步比對。它會把圖片重疊放在一樣的位置，你按［Switch］鈕反覆切換來切換去，就能更清楚看出哪裡被修改過了。

5. 只有找到一張類似圖片，也許能證明來源圖片有抄襲，但原圖的創作者是誰呢？雖然所找到的圖片會有附上網址，不過以此例而言，它是被收錄在某個圖庫網站中的 一張圖片，並不是原作者本身的網站。沒關係，我們用同樣方式繼續找下去，把找到圖片的連結網址再copy起來，重新用TinEye進行搜尋看看。

6. 這下找到更多一樣的圖片了，接下來就要考驗耐心，一個個點進去看看，也許就能找到原作者的網站囉！這種偵探式的搜索就留給有緣人去做吧 =_=

轉自 http://pcuser.pixnet.net/blog/post/27229135

搞不懂個資法？七個實例告訴你

個 人資料保護法已於2010年5月26日經總統明令公布，但相關的施行細則目前還付之闕如。這段期間也許是因為新法上路，許多民眾對自身的權益仍不熟悉，或 是企業本身對於這部法令還抱持觀望的態度，甚至是主管機關，對於自身所該扮演的角色及應擔負的責任，仍然不是那麼清楚。我們希望從近日發現的一些實例，來 解釋一下這些事件背後所牽涉到的相關條文。同時也希望藉由個案討論，引發更多人對這部法令的關注。

現象一：
公司所有處理客戶基本資料的電腦設備，全部置放於國外的區域中心內，因為機器設備不在台灣，所以不受新版個資法的限制。

說明：一般民眾或有以為，只要主機或網路設備不設在台灣地區，便可規避我國法規之適用。

依 照「個人資料保護法」第二條，對國際傳輸的定義為將個人資料作跨國（境）之處理或利用。而根據第二十一條規定，非公務機關為國際傳輸個人資料，而有如涉及 國家重大利益、以迂迴方法向第三國（地區）傳輸個人資料規避本法等情形者，中央目的事業主管機關得限制之；同時第四十一條亦指出，違反中央目的事業主管機 關限制國際傳輸之命令或處分，足生損害於他人者，將處二年以下有期徒刑、拘役或科或併科新臺幣二十萬元以下罰金。

另涉及行政罰規定，如 違反第六條第一項、第十五條、第十六條、第十九條、第二十條第一項規定，或中央目的事業主管機關依第二十一條限制國際傳輸之命令或處分，足生損害於他人 者，則根據第四十三條規定，中華民國人民在中華民國領域外對中華民國人民犯前二條之罪者，亦適用之。可見即便是機器設備沒有在中華民國境內，公司仍然受 「個人資料保護法」的規範。

現象二：
現行許多企業都會藉由研討會或講座的方式，由與會人士提供推薦名單，以便日後做後續業務推廣使用，個資法通過後，仍可透過這種方式來取得潛在客戶資料。

說 明：依照「個人資料保護法」第十九條規定，非公務機關對個人資料之蒐集或處理，應有特定目的，並符合法律明文等相關規定。另依據第九條規定，於處理或利用 前向當事人告知即可。因此，如果仍使用以往的蒐集方式，但沒有告知當事人，就不能處理或利用這些資料，也就是說，企業無法再藉由這種管道取得個人資料，除 非當事人同意。

現象三：
某會員俱樂部近日推出「老客戶回娘家方案」，廣發邀請函及簡訊，希望未續約的會員能重新簽約並享有優惠。

說 明：依照個資法第十九條與當事人有契約或類似契約之關係，此方案的實施並不違法。惟根據第十一條，個人資料蒐集之特定目的消失或期限屆滿時，應主動或依當 事人之請求，刪除、停止處理或利用該個人資料。同時，根據第十三條公務機關或非公務機關受理當事人之請求，可將個人資料使用時間延長，但不得超過一定期 限，並應將其原因以書面通知請求人。由上可知，當契約關係已經不存在時，企業應主動將所蒐集到的個人資料，停止使用。

現象四：
某連鎖店在促銷廣告上聲稱，為配合個資法的修訂，請會員主動更新會員資料，以便日後能取得各項優惠的折扣。

說 明：既然是會員，依照個資法第十九條，企業係與當事人有契約或類似契約之關係，此方案的實施並不違法。惟根據第八條，公務機關或非公務機關向當事人蒐集個 人資料時，應明確告知當事人公務機關或非公務機關名稱、蒐集目的、使用方式等事項。同時，根據第十五條規定，公務機關對個人資料之蒐集或處理，應有特定目 的，並經當事人書面同意。此「書面」同意，目前根據法務部解釋，除非係以電子簽章方式為之者，否則應取得當事人的「紙本」書面同意始符合法定要件，企業應 留意此點要求。

現象五：
客戶攜帶所購買的家電用品進行維修，並提供個人連絡電話、電子郵件在維修紀錄單上，以便維修結果通知。客戶在取得維修的商品時，要求商家交還維修紀錄單，因上面有客戶所提供的個人資料。

說 明：依據個資法第十五條規定，公務機關對個人資料之蒐集或處理，應有特定目的，並經當事人書面同意，因此商家是不需要將維修紀錄單交還給客戶的。而同時依 照第八條規定，公務機關或非公務機關向當事人蒐集個人資料時，應明確告知當事人個人資料利用之期間、地區、對象及方式。因此，商家除非已盡到前述告知義 務，否則不可以將此次維修紀錄單上所取得的個人資料，挪移至其他地方使用。

現象六：
某金融機構欲發行企業聯名卡，該金融機構從合作企業處取得會員資料，並且廣發宣傳，鼓勵企業會員申請聯名卡，並要求留下個人資料，以利行銷作業使用。

說 明：依據個資法第九條指出，公務機關或非公務機關蒐集非由當事人提供之個人資料，應於處理或利用前，向當事人告知個人資料來源。另依據第八條規定，公務機 關或非公務機關向當事人蒐集個人資料時，若沒有取得書面同意，同時未將使用目的明確告訴當事人，都是違反個資法的行為。

現象七：
某公職人員參選人，聲稱透過支持者提供的資料，大量寄發競選文宣，並宣稱前述行為是不在個資法規範的範圍內。

說明：依據個資法第二條對非公務機關的定義，包含自然人、法人或其他團體，因此，該公職人員參選人同樣也受個資法第九條及第八條，公務機關或非公務機關蒐集非由當事人提供之個人資料，應於處理或利用前，向當事人告知個人資料來源的規範。
結論
雖 然新法剛剛上路，但我們仍然殷切的希望主管機關，能夠確實的訂出符合產業要求的施行細則，同時要能徹底落實，另一方面，則要思考如何強化一般大眾對個資法 的認知，以保障自身權益，更重要的是，各單位要能確實檢討現行內部各項與個人資料相關的制度，包括資料的蒐集、處理、使用、傳輸及銷毀，如此才能達到三贏 的效果，這也才是個資法當初修法的目的。


(本文作者現任職於管理顧問公司)



轉自http://www.isecutech.com.tw/article/article_detail.aspx?tv=71&aid=5915

網路購物業的資安防護策略

隨著各種網路購物的詐騙與惡意攻擊行為仍層出不窮，網路購物業者如果缺少適當的防護對策，本文可作為管理人員與資訊人員的參考。

根據資策會產業情報研究所(MIC)的調查顯示，由於2009年發生多起的網路購物資安事件，如何去確保交易資料的安全性，已成為台灣網友認為網路購物需要 改進的前三大項目之一。目前，已有83%的業者提供了簡易的線上交易付款機制，也有將近九成的業者認同保護網路購物交易安全是吸引消費者的重要判斷依據， 並且將有助於銷售業績的提升。

不過，截至目前為止，由網路購物所引發的資安事件依舊層出不窮，例如2009年年底有消費者在購物網站消費 之後，隨即接到詐騙集團的電話，因此懷疑業者將消費購物時所填的個人資料外洩。而某網路書店業者，繼前年發生六千多筆的會員資料外洩之後，也再次發生消費 者在購書之後兩週內，接到詐騙集團電話要求至ATM取消分期手續，因此而損失三萬元存款的事件，讓人質疑業者內部的資料控管仍存有很大的漏洞。

針對網路購物的安全，MIC更進一步指出，網路購物業者必須將「交易安全」視為重要的營運議題，因為日後在消費者期待交易安全將有所改善的情況之下，網路購物的交易安全也將愈來愈受到重視。

網路購物面臨的資安威脅

記 得從2007年開始，在全球各地都發生了網站資料外洩事件，其中以網路購物業的災情最為嚴重，以當時台灣的前十大網路購物業者來說，有一半都傳出因為消費 者的個人資料外洩，而導致一連串的網路詐騙行為發生。根據刑事警察局的統計，光是2007年1~8月所累計的詐騙金額，就超過了三億一千萬，受騙的人數也 將近一萬人，其中大多數都是因為網路購物的個人帳號與交易資料外洩所引起。

目前，網路購物業者所面臨的資安威脅，最常見的有下列幾項：

1. 阻斷服務攻擊 – 惡意人士透過已受到木馬程式控制的電腦所形成的殭屍網路(BotNet)，在很短的時間內針對購物網站發送大量連線封包，使得網站伺服器無法處理同時湧入的連線要求，造成交易服務的中斷，消費者無法連上網站進行購物。
2. 惡意程式攻擊 – 如果網站業者缺乏資訊安全防護機制，很容易就會被惡意入士在網頁中植入惡意連結，使得瀏覽網站的消費者會自動下載執行病毒和木馬等惡意程式，造成個人隱私資訊包括登入帳號、密碼、信用卡號等被竊取外洩。
3. 偽冒攻擊 – 惡意人士以網路釣魚的手法，假冒網路購物業者對其會員發送偽造的郵件，藉此騙取會員的帳號資料以行詐騙。另外，惡意人士也會利用竊取的信用卡資料進行購物消費，使業者無法收取款項而蒙受損失。
4. 連線竊聽 – 如果購物網站業者未使用像是SSL的安全機制網路連線，當消費者在不安全的網路環境中進行購物，惡意人士可伺機竊聽網路交易的封包，進而獲得雙方交易的資訊。
5. 人員破壞 – 若業者內部員工未經適當的篩選與管理，並且缺少適當的資訊存取控制措施，惡意員工可能會盜賣客戶資料，或是針對系統進行破壞，進而影響網站所提供的購物服務。
6. 系統入侵 – 惡意人士可能利用網路或主機系統的安全漏洞，透過駭客手法入侵系統，藉由提高其帳號權限，可進一步取得敏感的資訊，或是針對系統埋藏後門，以便進行更多的破壞。

針對購物流程加強防護

對業者而言，如果發生了資安事件，單一的交易損失或許不大，但是當事件經由媒體的報導之後，若讓消費者產生了疑慮，勢必對業者的商譽造成更大的衝擊，可能更讓許多人因此而不願意在該網站上購物，後續的損失可說是難以估計。

針 對網路購物的安全，國際信用卡發卡組織VISA的調查指出，有六成的消費者是透過網站是否有良好的安全系統、業者是否願意免費退貨、是否提供消費者信用卡 不被盜刷的保障，作為判斷網路購物是否安全的依據。而消費者進行網路購物時最怕碰到的三件事，首先是業者不當使用消費者的個人資料，其次是將消費者的個人 資料和信用卡號外洩，最後則是業者受到未經授權的駭客入侵。所以，為了確保營運與獲利，業者應重視網路購物的安全，以保障消費者的權益與信心。

那 麼，業者到底該如何保護網路購物的安全呢？最簡單的方式是，我們可以從網路購物的流程，來一一探討並預防可能會發生的資安問題。現今一般的網路購物流程 為，消費者在瀏覽器上輸入網址或點選連結之後進入購物網站，然後選擇想要購買的物品，接著需填寫個人資料並進行付款，若是以信用卡進行線上交易，則由業者 的系統連結銀行線上交易系統完成付款，最後業者再依照購物明細寄送商品給消費者，讓購物得以順利完成。

從以上的購物過程中，我們就可以從 幾個方向來著手，首先，為了確保消費者連線至網站的過程中，資料不會遭到竊聽，因此業者應採用128位元以上的SSL連線加密機制，以確保資料傳送的安 全。接著，消費者在網站上所填寫的資料，除了必要的會員資訊之外，業者不應保留消費者的信用卡號等資料，若是有特殊狀況需要保留者，則應事先對消費者說 明，並且將敏感資料進行加密，同時進行資料存取的權限管控。

此外，如果購物網站提供了線上刷卡機制，建議應進一步和信用卡公司合作，啟用 個人密碼驗證服務，讓使用者在購物時，除了填寫信用卡號之外，還需要輸入個人密碼，以確認的確是由持卡人進行消費，或是也可以利用手機簡訊發送一次性密碼 至持卡人手機，要求持卡人輸入簡訊中之密碼，以確認為本人進行消費。

在消費者完成信用卡付款之後，業者就會進入貨品遞送的服務流程，若是 外包給第三方的物流業者協助進行，那麼在購物資料的保護上面就要注意，基本上，應該讓物流業者只能獲得購物者的姓名、地址、連絡電話，其他包括購買物品名 稱、價格、購買日期、總金額等資料皆應保密，因為這些資料並不會影響貨品的遞送，也就不需要交給物流公司，否則反而會增加個人資料外洩，受到詐騙集團利用 的風險。

定期檢視並改善安全措施

關 於網路購物的資訊安全，站在業者的角度來看，個人認為主要有三大影響要素，分別是「人員」、「資訊」和「技術」。人員面是指內部人員的作業疏失或擅自揭露 客戶資料；資訊面則包括網站未使用加密機制、網頁內容受到惡意竄改；技術面則為網路遭受阻斷服務攻擊、網站應用程式有安全漏洞、網站伺服器缺少安全防護 等。只要其中有任何一項因素沒有加以注意，那麼業者很容易就會發生資安事件而登上媒體版面。

因此，建議業者利用以上提到的安全檢視方法， 先從作業流程來著手，找出可能的安全問題，以及是否存在安全漏洞。當然，各家業者的作業方式都不會相同，也就需要由業者本身針對既定的作業流程中，可能會 觸及到敏感資訊的人事物，一一地作安全的清查與確認。如果流程方面沒問題了，再針對人員的訓練、資訊的保護、技術的加強，來進一步提升資安的防護。

所 以，網路購物業者的資安防護策略到底是什麼？簡單的說，就是要找出網路購物流程中，可能存在的安全弱點，以及會利用弱點而造成傷害的威脅，然後實施對應的 控制方法來減少弱點並降低威脅，將資安風險降到可接受的程度。最後還要注意在這個過程之中，千萬不要忽略了內部人員的安全訓練，資料的傳遞保護，以及資安 技術的防護，如果能夠確實控管資安風險的話，相信對於網路購物業者，將會創造更多商機，同時建立起消費者的信心與口碑。

(本文刊載於2010年2月號網管 人雜誌)
轉自 資安見聞錄

模擬實戰釣魚網站

這是 VeriSign 提供的一個測試網站。


可以測試自己對釣魚網站辨別能力的網站，雖然內容不夠豐富，玩到最後有點像大家來找碴，不過還是不錯的測驗唷...
總共有十題題目(雖然有五題有出跟沒出一樣)...


網址：https://www.phish-no-phish.com/

中文：https://www.phish-no-phish.com/tw/default.aspx








答題後還有解答，這點不錯，大家有空去玩玩吧~

只講究技術安全其實不夠安全

只有考慮「最」安全的想法，其實是一個錯誤的資安觀念。正確的作法是要思考，適當的安全保障是多少？


如果你家門口裝了10道鎖，每天上下班時都要上鎖或開鎖十次。不出2個禮拜，最後你每天只會鎖住最主要的那道鎖。為什麼不會使用全部的鎖，因為人性，太麻煩了反而窒礙難行。可是，你家裡若放了3億元現金，恐怕連鎖10道，你都不嫌麻煩。


很多人談到資安，多半會強調技術的必要性，認為要善用技術來解決各種安全問題，不斷鼓吹企業要採用更安全的資安技術，講究絕對安全。這就像是認為門上裝的鎖越多就會越安全，其實不然，企業要考慮的是風險和安全措施的對稱性。


只有考慮「最」安全的想法，其實是一個錯誤的資安觀念。正確的作法是要思考，適當的安全保障是多少？例如購買一輛摩托車要花5萬元，被偷的風險有多高？金 錢損失5萬元，再加上造成的不便，最多7、8萬元的風險。為了保證這8萬元的財產，每年應該支付多少錢才划算呢？這是可以估算出來的數字。如果，你每年花 10萬元做防盜措施，那就是太超過的作法。但你若是買了一臺價值上千萬元的法拉利跑車，卻捨不得花10萬元來安裝防盜設備，這也是很愚蠢的作法。


如果你居住的社區小偷猖獗，你太太建議在門口加裝新鎖。你到五金店找了你能負擔的最好鎖頭，但是，店家告訴你，這個鎖頭不能保證百分之百的安全，你買不 買？如果裝了新鎖頭後，可以比現在更安全，以前小偷開鎖要花5秒鐘，現在要花5分鐘。或者是裝了新鎖讓你家比鄰居更安全，開鄰居的鎖要10秒鐘，但開你家 的鎖要10分鐘，那就值得購買。安全措施的風險也是相對的。


一昧注重技術安全其實是不夠安全。很多實際的情況是，技術夠安全，但人員管理不當還是會發生問題，像是在今年初，連安全保護非常嚴謹的瑞士銀行業者，也都傳出了遭內賊竊取客戶帳戶資料的事件。


美國曾有機構統計洩密事件的發生原因，半數來自內賊的問題。但是，企業級的資安技術大多是用來防外人，比較少見防內賊的機制。基本上，除了技術以外，企業還是得搭配管理手法來解決資安問題。


尤其在工作場合中，常會有一些令人為難的資安情況發生，例如當你休假或出差時，你的主管要你交出個人的帳號密碼，你給不給？你能不能給？憑什麼不給？或者 是你擔任機房管理人員，總經理要帶朋友進去參觀，你應該放行嗎？要不要辦理登記手續？你能不能不放行？還有一種常見情況，你的部屬將密碼寫在黃紙條上，貼 在電腦上面，你該不該管？你憑什麼管？


儘管企業導入再好的技術產品，只要發生上面提到的這些行為，就會讓技術失效。即使先前我曾提過，IT系統必須落實責任分工，才能防錯除弊，但若無法有效阻止主管取得員工的帳號密碼，分工還是假的，有不少洩密案的內賊都是主管階層，交出密碼的基層員工只是代罪羔羊。


很多企業沒有明文規定這些安全要求，而是由員工自行判斷，通常員工最後多半還是會答應主管交出密碼。企業必須將這些要求明確地記錄下來，建立一套資訊安全 的SOP。基層員工才有理由來拒絕主管的不合理要求，或是交出密碼後立即通知稽核單位處理，避免成為究責對象，這樣才能保護基層、保障公司的安全。資安技 術必須加上管理配套才能真正發揮成效。口述⊙范錚強，整理⊙王宏仁


作者簡介：
范錚強－中央大學管理學院特聘教授
曾任國立中央大學資管系主任多年，任內創立資管所碩士班，曾應邀到北京大學光華管理學院任客座教授。學術方面，擔任過中華民國資訊管理學會第一、二屆常務 理事，以及第三、四屆理事長。范教授長期擔任多項政府專案審查人，包括經濟部軟五計畫、ABCDE計畫、企業體系電子化計畫、商業體系電子化計畫、物流運 籌業電子化計畫、行政院科技顧問組旗艦計畫等。


轉自ITHOME

難以遏止的網路攻擊文化

作者：鍾慶豐 -08/30/2010

網路攻擊存在於各種網路應用領域，不管是主動式攻擊或是被動式 攻擊，其次數、範圍與危害程度已逐漸達到令人難以忍受的地步，美國軍方甚至提議將網路攻擊視為一種軍事挑釁，建議以軍事行動加以回應，未來此類的衝突只會 越來越加白熱化。

網路攻擊之所亦如此猖獗，其中原因之一在於目前IP網路對攻擊者身分驗證仍有困難所致。此特點乃當時IP網路迅速普及的誘因之一，但現在這項優點卻也成為未來網路應用方面的致命缺點。不管未來大家對網 路攻擊事件的看法如何，如果真要反擊，那反擊的方式將是筆者所好奇的。

畢竟以目前機制而言，要能精準定位到分散式攻擊之攻擊者，實在 有諸多困難，更不要談反擊能力的有效實施。

雲端應用仍暴露在傳統安全威脅

新技術使舊威脅變得較難以實施，因此大家不斷推出新版本的作業 系統、應用程式、防毒軟體…等，以為自己的電腦系統安全盡一份心力。然新技術只會導致舊威脅的進化，因為新技術一旦沒有將舊威脅斬草除根，不管再怎樣升級 系統，都只是延緩被攻擊成功的時間而已。

就以目前大家耳熟能詳的雲端運算(cloud computing)技術來說，先不談其與叢集運算(cluster computing)或網格運算(grid computing)之異同，其所遭遇到的網路安全威脅依舊存在。雲端技術將網路的應用與電腦技術加以結合，而形成所謂的「雲端運算」。

客戶可以將資料移到雲端，而不用再擔心資料硬體的儲存管理問 題，舉凡Amazon的簡易儲存服務(S3, simple storage service)或其彈性運算雲端(EC2, elastic compute cloud)便是此類最好的例證。

這些線上服務提供大量的儲存空間與客制化的運算，但缺點是將客 戶本身的服務可用性與資料整合性委託給雲端服務提供者，其間是否具有信任與穩定性頗值探討。

雖然雲端安全的設定好像是設定內部安全一樣，你日常所適用的安 全工具一樣可以保護那些位在雲端的資料。這裡唯一的差異，乃是雲端環境屬多承租環境(MTE, multi-tenant environment)，同時可能有多家公司承租而共享雲端服務。此外雲端環境所牽涉到的安全問題，雖然大多數都可以用 目前現有的安全工具加以定位，表面上客觀威脅性並未明顯增加，但人員道德威脅的主觀威脅性卻有所增加。

正如其他新興運算技術一樣，基於IT產業之原本特性，一旦有新技術被使用，在一定期間內他往往會發揮某種經濟上的使用價值，但這些價 值會隨著時間經過與更新技術的提出而改變，以持續提供企業的金融競爭力，雲端技術亦屬此類技術經濟價值。在其價值用盡之前，是否有值得攻擊的必要，往往必 需看雲端存放的資料隸屬何種資料而定。

不過假如各位選擇了一個有品質的雲端服務提供者，這個品質往往 也提供了相當的安全保證。一般而言，您所需要的安全等級，通常是依據您在雲端用戶端所可能遭遇之風險來決定。

但不可諱言的，傳統密碼學所能提供的資料保護，無法直接套用在 雲端運算中已非使用者能控制的資料上。因此要在沒有完整資料引導的情況下，去驗證雲端資料這便顯得有點困難。另外，使用者儲存在雲端的資料型態不盡相同， 其資料安全的保證亦難以統一。

此外，雲端運算並非只是協力廠商提供的資料倉儲，那些儲存在雲 端的資料，可能常被使用者更新或修改。因此如何在使用者動態操作中，仍能對資料的完整性予以確認，便顯的相當重要。另外，為使使用者資料整體性威脅降低， 其使用者資料往往經冗餘處理後被儲存在不同的實體位置，因此儲存資料使用的分佈協定(distributed protocols)所扮演的角色，對資料完整性來說便顯得非常重要。

以上這些影響雲端用戶資料安全的因素，都可進一步被發展成攻擊 雲端運算之武器。所以網路攻擊者要直接攻擊雲端運算服務提供者並非不可能之事，但要追蹤攻擊者卻不是件簡單的事情。因為追蹤的第一要務是必須在網路流量中先識別攻擊封包，這些攻擊封包可能來自攻擊跳躍環(stepping stone chain)中的反射電腦(reflector)或殭屍電腦。

此外這種IP追蹤技術無法協助我們預防或阻止（攔 截）攻擊者發動網路攻擊，其僅能提供被害電腦受攻擊時，可以去識別這些攻擊封包所在而重建攻擊者封包遞送可能路徑而已。

追蹤攻擊者IP十分困難

隨者網路攻擊案例的增加，許多人都想揪出幕後黑手。各先進國家 對IPTS(IP traceback system)亦已投入相當多的研究，而有關IPTS最近的研究目前也成為網路安全領 域一項很夯的議題，許多學者例如2005年RP. Laufer及P.B. Velloso等人的研究、2007年T. Korkmaz及C. Gong等人 的提議方法或2008年A.O. Castelucio及R.M. Salles等人的報告等等 均提出了IPTS相當不錯的看法，不過這些技術仍有很多待解決的問題，多數提議方法乃屬理論面之論述，實務上並未 完全被實作運用。換句話說，利用IP追蹤技術(IP traceback)或許可嘗試去鑑別 網路的IP封包，但要能追蹤到真正的攻擊者還需要很多努力。

追蹤技術實作需要考量因素有很多，如：記憶體需求、ISP業者的參與程 度、局部部署能力、要完成IP追蹤所需要的攻擊封包數、頻寬消耗成本、處理成本與該策略之保護能力等。

A. Rabkin（2008年）歸納了 最後幾個IP追蹤技術有待解決的干擾問題，包含：攻擊者可以產生各種型式的攻擊封包、攻擊的產生可經由多位攻 擊者協同為之、攻擊者非常瞭解攻擊機制與防禦方法、封包會遺失或重新排序、攻擊者可產生偽造封包、路由器必須是穩固耐用的、路由器的CPU與記憶體有 限、每個網路路由器並非都是相同的等問題。

目前IP網路位置追蹤技術的策略可概分為四種 類別，分別是：末端主機倉儲(end-host storage)、封包紀錄(packet logging)、特定路由(specialized routing)及網路推演狀態(state of the network inference)等四種。

使用末端主機倉儲技術者，有機率式封包標記(PPM, probabilistic packet marking)及iTrace(ICMP traceback)；使用封包記錄者，有赫序式IP追蹤(hash-based IP traceback)；使用特定路由方式者，有IPSec的IP追蹤技術與涵蓋網 路(overlay network)技術；使用網路推演狀態者，有控制流量(controlled flooding)方式。在此不另做詳述(註)。

另外，以目前許多IP追蹤技術來說，絕大多數乃以IPv4的IP網路環境研究為基 礎，而有關IPv6封包追蹤技術的研究則較少探討。不過令人遺憾的是，一些威脅IPv4的網路攻擊技術，在某些方面，一樣可以威嚇IPv6網路的使用，但是可用在IPv4網路的防禦 技術卻不見得可適用在IPv6裡面，正因為追蹤技術的實作不易，這使得許多網路攻擊者得更無顧忌的進行瘋狂的網路掃瞄或攻擊。

4G無線 網路的安全威脅

看過上面簡要的敘述，我們心裡都有底，要定位一位網路攻擊者通 常非一般使用者能力所及。然在未來大量使用網際網路技術之同時，這方面的威脅也逐漸開始引起多數人關心。

以4G無線網路而言，自從3GPP會議(3^rd generation partnership project consortium)建議3G IP網路多媒體子系統環境(IMS, IP multimedia subsystem)將SIP選為多媒體管理協定以來，SIP的重要性顯然有所提升。3GPP之所以選用SIP作為多媒體管理協定的原因之一，乃在於SIP除 了可以輕易的支援多域環境，並符合未來網路環境服務參與者多樣化趨勢。

另外在4G無線網路環境 中，資料的傳送與分享使用的是有線IP網路技術，其同樣涉及多域環境(multidomain environment)的安全問題。例如，在IMS控制架構中，呼叫區段控制功能(CSCF, call session control function)主要利用的是SIP發訊(SIP signaling)功能，此由數種型態的SIP伺 服器組成。不過最常見之SIP主機有三種，分別是質問主機(interrogating-CSCF)── 負責SIP訊號進入點；服務主機(serving-CSCF)── 管理所有的區段控制；與代理主機(proxy-CSCF)──最前線的認證機器，具有控制認證功 能。

當時發展第四代無線網路的考量之一，是為了與現有有線IP網路資源的接口方 便，所以全面採IP-based的設計。但當IMS嘗試簡化網路的核心設計時，其同時也造成網路管理與監控較以往更複雜。這之間主要原因還是因為IMS的設計使然，因為其基礎建設需要對網路流量作即時的安全監控，結果造成IMS網路需要更多安全的考量資訊可供參考，以杜絕可疑活動，例如：分散式阻絕服務攻擊、冒充呼叫者ID(caller ID spoofing), 潛在的SS7網 路侵害(potential SS7 network breaches)…等。

因此，未來如何對外部 無線網域進來的SIP-based區段訊息進行身分確認、整合性檢查與強化認證的程序將是非常重要 的。可惜的是大多數的SIP裝置並無強力的安全機制，欠缺足夠的安全保護，如同手機的SIM卡一樣，只用簡單的安全機制便算交差了事，這在未來或許會成為一個重要的安全問題。

雖然網路安全的問題重 重，一般民眾要抓到網路犯罪者常有某種困難，但也不是沒有明哲保身的方法。一般只需要注意幾項原則，通常就會幫您降低很多網路安全方面的威脅，例如：不利 用不信任的網路傳送機密資料、養成使用編碼訊息的習慣、不瀏覽或下載不明網站或資料、不使用不明軟體、安裝防毒軟體與定期掃瞄、注意更新系統版本…等諸如 此類，相信可以讓安全威脅對生活的不便降到最低才是。

註：這些技術的探討可參考A. Belenky及N. Ansari於2003年所發表的IP traceback研究報告或2007年X.H. Dang, E. Albright等人發表之Performance analysis of probabilistic packet marking in IPv6資料。

本文作者為自由作家， 數位多媒體暨網路安全顧問

本文出自於資安人雜誌70 期 Jul/Aug 2010