Web Security-初見

講師:堇姬

第0堂

堇姬Naup(網管/美宣)

成電二年級/幽夜工作室繪師/台灣好厲駭學員

CKCSC36

DC : naup_sumire_hime

只是個喜歡資安的鶴，涉獵Crypto、Web、OSINT，最近有打算學reverse，我是Web狗

喜歡看輕小說、動畫、Vtuber、打音遊、畫畫，就是一個長年混跡ACG的宅女。

https://linktr.ee/naupjjin

水銀燈我老婆

資安?

駭客?

CTF?

資安是啥?

駭客?

駭客法則

當個機車的使用者

• 了解各種網路的運作原理、底層邏輯

• 觀察力

• 創造力

• 一個網站程式怎麼跑的(源代碼、底層、架構、運作方式)​

• 查資料 & 蒐集資訊

CTF

資安搶旗賽，是現實漏洞的縮影

• Web

• Crypto

• pwn

• reverse

• misc

常見五個種類

其他種類

• forensics

• OSINT

當你成功解出題目時，會的到一串flag，這就是答案

ex: ckcscCTF{1t_1s_th3_f1a9!}

一些活動

pre exam

練習網站

https://picoctf.org/

https://lotuxctf.com/

https://discord.gg/gZxHuD98my

http://ctf.ckcsc.net/

https://discord.gg/99juEA3JWZ

Discord

CTFd

https://ctftime.org/

我認為入坑資安應該要有的心態

• 英文不要看到就討厭，很多文章都是英文不過你可以用翻譯
• google!!!資安是可以查資料的!!!WEB很多東西很雜，不會的東西就去查
• 可以試著寫writeup
• 找到能夠跟你一起打的隊友
• 可以去多混社群
• 可以多打比賽跟題目
• 不要直接貼上flag!!!
• 可以去玩galgame給美少女幸福，這樣比賽時比較能夠通靈出來

甚麼是Web Security?

https://github.com/goodjack/developer-roadmap-chinese

阿這麼多我怎麼學得完?
去喝養樂多好了

其實不用全部學www

前端

後端

資料庫

SSTI
reflect-XSS

command-injection

Deserialization

CSRF

IDOR

click-hijacking

前端安全

SQL-injection

Cache-server-pollution

hop-by-hop attack

Nginx-Off by slash

還有底層、程式語言、協定等很多都是可以挖洞的

學習Web Security不只可以攻擊，也可以防守，修補自己網站，讓自己開發的專案不會寫出漏洞

最後曬老婆一下，有問題都可以提問

可以聊聊一些酷酷的CTF賽制

• King of Hill

• Pwn2own

• Attack & Defense