Info Leakage​​​

intext : LAVI

• ​Slides are made by CHA
• 輔大資工二乙
• 有一顆新鮮的肝 (現在沒有了
  • 揪寫程式抓蟲看日出請帶上我
  • 時常陷於蟲蟲危機之中

intitle :​ Enlightened

• 新手導向
• 資安意識
  • 駭客思維
• 但你可能跟不上
  • 加入NISRA
  • 每週二 19 : 00 SF645

filetype:Flag

• Capture The Flag
  • Jeopardy
• NISRA CTF
• NISRA{xxxxxxx}
  • NISRA{We1c0m3!!!}
  • NISRA{w3lc0me_4o_ENL1GHT3N3D_class}

Agenda

• 資安意識，能吃嗎？
  • 聽說你家很漂亮
  • 你的密碼是不是******
• 一些好用的工具們
• Google小教室

Warning

什麼是資訊安全

OWASP Top 10

1. Injection
2. Broken Authenticatioin
3. Sensitive Data Exposure

injection 注入攻擊

broken authentication 無效身分認證

sensitive data exposure 敏感資料外漏

NIST Framework

看得懂？？？

拜託講點人話吧！

資安意識是個酷東西

網路發達

資訊量爆炸

網路搜尋

• 篩選資料
  • 那些年曾被騙過的我
  • 點開網址之前有三思？
  • 下載的東西一定安全？​
• 加料的Telegram

tg中文版

Line

Lab 0x1 (5 min)

Have I Been Pwned

常見資料外洩

Lab 0x2 (5 min)

實名制 or 實聯制

• 公開表單
  • 姓名
  • 手機號碼
  • 身分證字號
• 閱覽權限

新聞來源

數位身分證

• 有資安疑慮？
  • 那就公開原始碼～
  • 懶人包
• 一位資安從業人員的公開信

Webcam

• 你昨天是不是沒洗澡
• 你家的狗勾和喵喵很可愛

小彩蛋！！！

好網站還不支持嗎？

密碼

• 你值得擁有一個更好的密碼
  • 除非你是暴露狂
• ​長度 > 複雜度
  • ​排列組合 ↑
• ​撞庫攻擊
  • 帳號間設定不同密碼

好用的工具們

時光機

選擇年份 → 日期

伸手牌連結

2002.03.28

2005.11.27

2007.10.29

2008.12.10

Lab 0x3 (5 min)

Shodan

• Sentient Hyper-Optimized Data Access Network
• 駭客最愛 + 世界上最危險的搜尋引擎
• 搜尋所有連網裝置
  • 攝影機、桌機、家電......

Shodan官網

Filters

• Reference
• country 
  • country:TW
• city
  • city:Taipei

• net
  • 140.136.200.8
• hostname
• product
• port

port:3389 hostname:edu.tw has_screenshot:True

product:mysql city:beijing

產生Report

Explore

更多功能等你挖掘！

Google 小教室

我們老祖先說：

Google Dork

• Google Dorking / Hacking
• 透過特殊語法搜尋
  • 機敏資料、文件
  • 有漏洞的網頁、程式碼
  • 找原文書、解答和肉搜的好方法
  • Google Hacking Database
  • Advanced Operators

Operators

• inurl
  • url的內容
• intext
  • 網頁內容
• intitle
  • 網頁標題

• filetype
  • 檔案類型
• site
• link
• define
• related

更多的Ops

• ""
  • intext:"example"
• + / | / - ( AND OR NOT )
  • site:www.xxx.com +"OOO"
• *
  • intext:"輔*大學"

試試看

operator:search_term

範例

你家密碼裸奔啦～

進擊的密碼 第二季

Google 小教室 Part 2

Google Calculator

Google Graph

Google Mirror

歷年來的彩蛋 & 小遊戲們