ITHome 鐵人賽

CTF 通常會依照各種領域區分， Web 、 Reverse 、 Pwn 、 Crypto 等。而滲透測試如果一定要區分在這些領域的話，應該會比較偏向 Misc。滲透測試通常都會是以組合技為主，所以 CTF 的各種領域最好都要有基礎的了解。 CTF 資源 以新手導向的 CTF 資源，我推薦 picoCTF，上面的題目都非常的新手友善，關於 picoCTF 的解題內容，也歡迎觀看隔壁棚，我的隊友 Yvonne 的鐵人賽文章。 除了 picoCTF 之外，對於初學者學習 CTF 類資源，又與 PT 叫相近的，也推薦大家可以使用 RootMe。 靶機資源 有了基礎的 CTF 各領域技術後，接下來就可以進入練習滲透測試技能的階段。在這邊，我主要推薦四大平台： TryHackMeTryHackMe 是這三個網站中，筆者最推薦的一個平台，上面有數以百計的 Linux 與 Windows 機器，也有一系列的滲透測試相關教學，可以依照著指示與提示，手把手的帶著大家解題，算是三者中對於新手最友善的平台。 其免費版就有不少的機器可以使用，而付費版則有更多課程與靶機。感謝 飛飛 ㄉ錢包贊助 QAQ。Vulnhub- Vulnhub 上有許多靶機的虛擬機 ova 檔案，可以部屬在自己的電腦中 不過對於電腦效能有限的人可能會有一點不友善 另外也可以將 ova 檔案部屬到雲端平台上進行練習HackTheBox- HackTheBox 是網路上最多人推薦的平台，但筆者覺得他也有些許的缺點 QQ 其上面免費版的靶機通常都會是多人共用，(數人到數十人不等)很多時候會造成互相的干擾，除非使用 VIP+ 的方案他是一個綜合性的資安網站，除了滲透測試的靶機之外，也有許多軟硬體相關的 CTF 題目 在此我建議，各平台的靶機，如果有機會都可以去嘗試看看。如果只選擇一個平台的，一定會遇到一些的盲點。本次鐵人賽的內容前半主要會以 TryHackMe 上的靶機為主，預計後半可能會刻金買 HackTheBox 來玩。 證照資源 與滲透測試相關的證照，最有名的就是 OSCP 證照，是由 Offensive Security 提供的 Penetration Testing with Kali Linux (PEN-200)。 它算是少數資安領域中的實做型證照，考試內容為在 24 小時內打下 5 台指定的靶機，並取得 root / System 權限，非常推薦大家對於滲透測試有了一定的認識後報考。 ...

Cloud ?? 今天來跟各位介紹一下到底什麼是雲端。 4ㄉ，所謂的雲端就是先教會電腦怎麼飛行，而通常的飛機都會在大氣的平流層之中，也就是距離地面 7 至 11Km 到 50Km 之間，平流層的特性是氣流會相對比較穩定。 相較之下，平流層下面的對流層通常就是雲會出現的區域，也就是我們考慮的雲端。 而電腦領域的雲端呢，則會讓我想到這張圖。 對於雲端而言，跟大多數的普通人聊到「雲端」，大家的第一反應可能會想到「雲端硬碟」，沒錯！這就算是一個最基本的雲端相關的應用。 所謂的雲端我認為可以簡單的分為，雲端的儲存與雲端的運算，而雲端的雲，指的只是我們看不到，摸不到的遠端伺服器，這些伺服器都會由各大營運的設備商進行維護。要感謝的人太多了，所以就謝天吧；資料的來源太多了，所以就說從天上來的吧，我覺得，或許這就是雲端之所以稱做雲端的理由。相較於我們摸的到的機房伺服器而言，雲端有許多的優點，當然不乏也有一些缺點。 雲端的優點 通常來說，我覺得雲端設備最大的優點就是：不需要自己管理實體的設備。比起自己在家裡的電腦，總是要提心吊膽不小心踢到插頭；放在公司機房裡面的伺服器設備，也需要時刻的注意門禁、空調等各種實體的維護。如果使用了雲端的服務，使用者只需要顧慮使用層面的問題，不需要思考實體層面的因素，因為這些問題全權的交由服務商處理！ 雲端可以透過大量的異地備份，確保資料的安全性。舉例來說，如果我有一筆非常重要的資料，可能放一份在公司；放一份在住家；放一份在好朋友的家裏……。假設有一天，台北市，或是整個台灣對全世界的網路因故斷掉了，這些資料依然無法在國外被取用。通常雲端設備商會在許多的國家與區域設置據點與資料中心，例如 Google 在台灣的彰濱工業區就有設立資料中心。我們可以將重要資料同時放在台灣、美國、英國、日本……世界的各個角落。就算其中有一個國家突然爆炸了(?，我們也可以透過其他的伺服器取得我們的資料。 雲端設備比起地端的設備，也有擴充性的優勢，假設機構內需要添購新的伺服器，通常會需要跑一系列的請購流程，並等待物流配送、安裝，十分的曠日廢時。而若使用了雲端的設備，如果我們需要添購、增加一台新的伺服器，在網頁上點一點，甚至是透過指令控制，1分鐘內就有辦法安排好，並使用一台全新，乾淨的伺服器。設備更新方面也是，我們隨時可以透過雲端，要求一台全新的機器，並把程式與資料自動的轉移。 雲端設備的在許多情境下也可以降低成本，假設我們需要透過高級的 CPU 、 GPU 進行一系列的運算。需求可能是每個月須要執行一次，而執行一次的時間是數個小時。在這種情形下我們也可以透過短期的租用雲端伺服器，使用完畢後就把機器還給人家，需要付的錢也就只有租用的時間而已。 雲端的缺點 講了那麼多雲端的優點，接下來當然也要跟各位分享一下雲端相關的缺點。首先，我覺得雲端最大的缺點就是安全與隱私相關的問題。畢竟無論如何，資料與設備就是放在服務商的地方，就算服務商如何地進行保證，透過各種的白皮書進行說明，我們仍然可能對於資料的安全性進行懷疑。說不定該公司哪一天，可能基於任何的理由，做出侵犯用戶資料隱私的事情。例如近期的 iCloud 相關新聞，無論是否是極權國家，政府都可能會透過各種的手段要求營運商交出資料，而交出資料後，任何人都無法保證會被怎麼樣的使用。當然，面對這些疑慮，這些公司也有提出了許多的解決方案。 除了安全與隱私的缺點之外，我們還需要考量到雲端的傳輸速度，雖然雲端可以讓我們不用管理大量的伺服器與硬碟，但資料想要拿回來使用時，終究還是要透過網路。如果有數百 TB 、甚至 PB 等級的資料，透過網路的傳輸往往曠日廢時。目前雲端相關的解決方法主要是可以透過 Peering (對等連線)， 等專線的方式，成本通常都不便宜。 雲端還會有一些靈活性相關的問題，假設我們在 Google Cloud 上使用了某些的雲端服務，如果未來想要移植到 Amazon 的 AWS；或是 Microsoft 的 Azure 上，通常都不見得會太容易；有時候我們使用了任何的一個雲端營運商的服務，很可能就會被對他產生依賴，未來也有可能會被養、套、殺，一切都要看業者的良心。 總結 雲端運算是由於網路速度變快，而開始發展出來的新概念，通常雲端都會由服務商代理我們管理機器，我們可能永遠都看不到自己在雲端上跑的機器實際上長什麼樣子。雲端最大的優點就是靈活性，我們可以快速的將服務部屬在世界各地；而雲端的缺點則是安全性、速度與可能對雲端服務商產生依賴性等問題。我們的生活已經逐漸的離不開雲端，了解一些基礎的雲端知識是非常實用的！ 今天的文章差不多就到這邊，預計明天會跟各位介紹幾個常見的雲端名詞 IaaS、PaaS 與 SaaS 等！

滲透測試簡介 今天來跟各位介紹一下，什麼是滲透測試。滲透測試(Penetration Test)，簡稱 Pentest (筆測試)、PT，是公司、機構希望尋找以駭客的思維試圖入侵自己的系統，嘗試尋找出其設備之中的弱點。 攻擊方可稱為紅隊，紅隊會嘗試透過各種方式，掃描與試圖入侵公司的設備。除了網頁之外，包含任何軟硬體都可以是滲透測試的目標。為什麼一間公司會需要做滲透測試呢？難道透過足夠高級的防火牆、防毒等防護設備不夠嗎？事實上，滲透測試主要針對的與處理的對象，是在嘗試找出機構內的軟硬體是否有設計上的缺陷，或年久失修等。 滲透測試與弱點掃描 許多人可能會聽過另外一個名詞：弱點掃描，弱點掃描可以是滲透測試的一環，但弱點掃描並不能完全地等於滲透測試。通常的弱點掃描都是透過現有的程式，針對系統做全自動化的掃瞄。相對於滲透測試而言，其成本較低，但效果也較差，因為比較無法針對特定的對象進行客製化的服務，而滲透測試則是可以針對指定的對象，給予最適合的需求與服務。 滲透測試相關指引 滲透測試與各種資安技能一樣，都有許多相關的規範可以參考，但大多數的規範也都可以拿來參考使用，常見的規範與資源有以下幾項。 OWASP Testing GuideOWSAS 全名 Open Web Application Security Project®，直接的翻譯為「開放網路安全計畫」，相信各位對 OWASP 應該都不陌生， OWASP 除了最著名的 Web Top 10 之外，還有非常多其他的資源可以取用。OSSTMM- OSSTMM 全名是 The Open Source Security Testing Methodology ，是 The Institute for Security and Open Methodologies (ISECOM) 提出的。PTES- PETS 是 寵物 Penetration Testing Execution Standard。 滲透測試與 CTF 剛開始學習資安的新手，如果是以攻擊者為角度的資安，通常都會從 CTF 入手，CTF 面臨的通常都是以特定的漏洞包裝的題目，訓練大家有自行挖掘漏洞的能力。而通常簡易的滲透測試，除了挖掘漏洞之外，我們更常會運用現有的資源來進行攻擊與測試，例如已經公開 Exploit 的 CVE 漏洞等。 在 CTF 中，通常比較不會出現一些枚舉，暴力破解等相關的技術；因為往往這對於純研究資安技術的領域而言是一件滿無聊的事情，只要字典檔夠充足、時間足夠的狀況下就可以暴力破解、搜尋出來。但是現實生活中的場域就非常不一樣了，現實生活中常常因為使用者的疏漏，使用各種的弱密碼；忘記刪除某些測試的檔案。這種以「人」為主的弱點，以技術的角度來說，通常都會比 CTF 簡單滿多，也都是 PT 需要進行考量的部分。 滲透測試的流程 在滲透測試開始之前，最最最最重要的事情是請於滲透測試前，取得對方的同意，定義好滲透測試的目標，千萬要保護好自己，也要保護好客戶。 ...

真ㄉ有可能在 30 天內搞懂 Cloud ㄇ ?__? 不可能，好，大家掰掰 哈囉大家好，打ㄍㄟ厚，我是目前就讀天大地大台科大的 Steven Meow，這是我第一次參加鐵人賽，希望可以順利的持續30天，把文章給順利寫完！ 開賽的第一天，輕鬆一點的跟大家聊聊，為什麼我想要寫這個主題。在今年的三月多，我參加了由 Google 舉辦的 Cloud Student Sprint Project。我覺得這個計畫是一個滿硬的計畫 QQ ，花了三個月的時間，透過了許多的線上課程以及資源，學會了 Google Cloud 的基礎知識，並在計畫的最後報考了 Google Cloud Associate Cloud Engineer 的證照。很幸運的，我通過惹！！！ 本系列的文章將使用 Google Cloud 當作主要的介紹對象，提供給已經有一點點程式與作業系統基礎的讀者們，並預計以以下幾個內容開始做發想： 雲端概述 雲端 Project 與 IAM 雲端運算 雲端儲存 雲端解決方案的選擇等 Google Cloud 官方的 Document 與大多數的網頁資源皆以英文為主，雖然目前 Google Cloud 已經有了中文化的界面，不過常常有與多翻譯上的誤差，不方便理解 QQ ，因此本系列的文章預計在相關的專有名詞上主要會使用英文，而解說的部分則是中文。(我才……才不是為了怕不小心打出晶晶體而提早位自己辯護呢！ >< 除了這篇內容之外，我也有報名 Security 組的比賽，題目是 「我想學滲透測試喵喵喵喵！！！！」 內容主要會介紹常見的滲透測試流程與工具，會比較多實作的東東，也請大家多多支持與愛護！

哈囉大家好，打ㄍㄟ厚，我是目前就讀天大地大台科大的 Steven Meow，這是我第一次參加鐵人賽，希望可以順利的持續30天，把文章給順利寫完！ 如同簡介所述，現在的網路上的資安相關教學，大多數技術層面的都以 CTF 為主。我覺得 CTF 雖然有時候很好玩，但常常會出現一些非常刁鑽的題目，使得新手在接觸了不適合的題目後，就開始害怕資安；而這些 CTF 題目也時常會與現實世界脫節，打完了 CTF 後卻不知道可以運用在什麼地方。曾經有某軟體公司的從業人員跟我說，非常多學生時期在玩 CTF 的人，畢業後，卻跑去當碼農做軟體開發，因為在現實生活中不知道如何運用。我覺得這是一種滿可惜的事情 QQ。 本系列的文章預計會介紹以滲透測試為主的內容，帶大家轉換 CTF 的思維，接觸現實世界中常出現的資安漏洞。在大多數的情景下，這些漏洞都會比 CTF 的題目簡單很多。最最重要的是轉換思維，善加的運用手邊現有的資源與工具！預計的文章架構如下： 滲透測試介紹 工具介紹 練習平台介紹 實戰介紹 在前幾天的時間，會先與各位分享滲透測試的基礎觀念，以及相關使用的工具與環境；再來會介紹提供初學者使用的各種練習平台；接下來就會進入實戰演練，也就是打靶機的部分。我個人喜歡做中學的感覺，透過真正的實戰，並在過程中學習，我覺得效果會比起單純教科書上的紙上談兵好很多！希望透過這種方式可以對大家有幫助！ 除此之外，我也有報名 IT管理組的比賽，題目是「真ㄉ有可能在 30 天內搞懂 Cloud ㄇ ?__?」內容主要會介紹 Google Cloud 相關的概念與使用方法，比起這邊的文章會更理論一點，也請大家多多支持與愛護！