Sign in

原文發佈於 Cymetrics Tech Blog,https://tech-blog.cymetrics.io/posts/jo/zerobased-common-risk-fix/

前言

繼上一篇的資安科普番外篇(一)-大意了啊沒有閃!常見網站曝險你中了幾項?!之後,接著我們要來談談關於網站風險的修復,這部分我想大家的直覺應該都是無條件高風險先修,但當以這個思維執行時,把時間以及金錢成本加入權衡之後,又總是很難給出一個符合老闆期待的高 CP 值作法,而這其實就是我們今天所要討論的主題,如何有效率的選擇風險進行修復以及風險在法規技術面上的影響。

摘要

這些商業網站( e.g. 擁有會員登入、金流功能)在修復風險以前,若將改善複雜度加入考量,可以很大程度的減少在風險管理上的困難,那麼什麼是改善複雜度呢?

改善複 …


前言

曝險就是暴露的風險,而曝險評估就是模擬駭客在網路上搜尋網站的資訊進行攻擊鏈的構建進行暴露的風險評估,而在協助許多商業網站( e.g. 擁有會員登入、金流功能)執行非侵入式的網路曝險檢測時,發現許多商業網站的檢測結果在去除極端值後,有 60% 以上的網站曝險是共通的,來關注一下這些常見的網路曝險你的網站是否也大意了沒有閃。

摘要

以去除極端值之後的檢測結果統計,排列出目前發生比例大於 50 % 的網路曝險,並說明可能造成的風險以及如何簡單的進行初步自我曝險檢測

之後會在番外篇(二 )中提供這幾項風險的改善複雜度說明以及解決辦法和關鍵字,另外也會說明這些曝險與目前現行一些較為知名法規的關聯

常見網站曝險排名

№5 X-Frame-Options 未設置或安全等級不足

排行第五的 X-Frame-Options 設置,在這個項目裡有大於 50% 的網站設置的安全等級不足或是沒有 …


原文發佈於 Cymetrics Tech Blog,https://tech-blog.cymetrics.io/posts/jo/zerobased-path-traversal/

前言

路徑遍歷(Path Traversal)就像想像網站是一個博物館,裡面有許多房間,其中有些房間是 Staff Only 而且門上了鎖不讓訪客進入,但有趣的是博物館裡的每一個房間都有通風口,只要知道房間位置,就可以透過其他房間的通風口前往 Staff Only 的房間獲得所有你想要的資料。

釋例

今天想和大家聊聊在網站安全上攻擊者容易執行但卻常被開發者忽略的路徑遍歷(Path Traversal)攻擊,談談關於路徑遍歷在網站安全上可能造成的風險以及如何預防。

通常路徑遍歷也被稱目錄遍歷(Directory Traversal) …


前言

想像今天有個路人突然出現在你面前,拿著一管針筒不由分說的就要往你身上戳,相信正常人的第一反應要嘛拔腿就跑要嘛阻止他,但如果今天你沒想到會有這種狀況,不小心讓他注入成功會發生甚麼事?雖然有很多種可能,但相信我,那一定不會是甚麼好事。

今天想和大家聊聊常出現在網頁安全風險榜單上的常客,注入攻擊( Injection Attack),聊聊這種風險到底是如何的危險,居然可以長年高居風險榜單的前三甲,如果我們的網站真的不幸被注入成功了,會導致甚麼樣的後果?如果真的這麼可怕的話,我們有沒有甚麼辦法可以阻止這種攻擊呢?在看完今天的文章之後,其實你會發現,原來這些攻擊離我們這麼近。


原文發佈於 Cymetrics Tech Blog,https://tech-blog.cymetrics.io/posts/jo/zerobased-secure-samesite-httponly/

前言

保護 Cookie守衛網站安全的三本柱有不同的職責和能力

Secure 表示:我不會讓 Cookie去任何危險的地方!

HttpOnly 表示:只要有我在的地方 別想找到 Cookie!

SameSite 表示:所有和 Cookie 來源不同的請求都別想成功!

釋例

今天要聊的這三種屬性,可以說是在網頁安全的防護上 CP 值最高的設定,想讓你了解瀏覽器為什麼需要這三種設定,而這三種屬性又為什麼會被稱為網站安全三本柱,他們擁有甚麼樣的功能和要如何進行設定,這些是我希望今天能帶給你的小知識,那麼話不多說,就讓我 …


前言

你=User 陌生人=Hacker 菜單=Request 桌號=cookie 老闆=web server

想像你到一家餐廳吃飯,陌生人在有你桌號的菜單備註寫上無敵大辣,接著你沒有發現便直接把菜單送給老闆,然後老闆就送來了一份加了無敵大辣的餐點 ,這就是 XSS 的基礎概念。

釋例

以前言的範例來做說明,當網頁在進行 browser render 註1的時候(老闆收到菜單開始做菜),使用者輸入的欄位或是參數沒有被驗證就被嵌入在網頁的程式碼(菜單)裡面,如果這段輸入包含惡意程式(被備註無敵大辣)就會導致使用者瀏覽這個頁面的時候觸發這段惡意程式,導致 XSS 風險的發生。

XSS攻擊流程


前言

陌生人= Hacker 菜單 = Request

桌號= cookie 註1 老闆= web server 你 = User

想像你到一家餐廳吃飯,陌生人拿了一張有你桌號的菜單點餐之後給老闆,結果老闆問也不問便收了菜單並將帳記到了你的身上,這就是 CSRF 的基礎概念。

釋例

CSRF ( Cross Site Request Forgery ),翻成中文叫做跨站請求偽造,其實字面上把他猜成拆開成請求偽造和跨站之後就蠻好理解的,怎麼說呢? 我以前言的例子來說明一下跨站請求偽造是怎麼一回事

先講請求偽造,請求偽造的意思很好理解,指的是陌生人拿了一張有你桌號的菜單點自己想點的餐之後給老闆這件事( Hacker 用帶著你 cookie 的 Request 送給 web server ),那至於跨站跨 …

JoYou

Security Consultant at OneDegree

Get the Medium app

A button that says 'Download on the App Store', and if clicked it will lead you to the iOS App store
A button that says 'Get it on, Google Play', and if clicked it will lead you to the Google Play store