Pogo Tsai 的 "新" 異空間

這次的 MSN 帳號盜用狀況, 可以用網災來形容了,以 Pogo 的親身經歷為例, 以往是 約 2-3 週會冒出個人要 Pogo 幫買遊戲點數 嗯.. 光這事就有問題.. Pogo 小氣是在朋友間出名的事就放一邊不談, 熟的人會找 Pogo 談錢的事根本天方夜譚.... 到這陣子每週起碼有 1 個人,  目前最高記錄上週有 3 個人來要 Pogo 買點數, 算算 Pogo 的名單約 250 人, 有印像找 Pogo 代買點數的已經有 8 人, 換算下來已經有 3.2% 的比例是 "已知" 的受災戶, 這比率實在高得有點驚人, 更可怕的是, Pogo 的名單中多為 IT 從業人員, 也就是說, 本業為 IT 應有基本認知的人都深受其害了, 更何況是一般的用戶? 說來, 為什麼這次的災情如此嚴重? 檢視這次的詐騙手法, 除了傳統比較好防範的病毒, 後門程式外, 資安業界最不願意見到與最不願承認最有效的Hack手段 - 社會行為 , 在這次的事件發揮的可說是 淋離盡致 Pogo 認為, 這源於幾個重大的錯誤認知 一般的 User 認為, 我只要有防毒軟體, 我就安全了 MIS 人員認為, 我只要買了 Firewall, UTM, IPS, 防毒牆.. 更 "盤仔" 一點的 DLP, WAF, 我就安全了 為什麼為認知如此偏差? 其實是市場上的訊息不斷的教育這些買家,"你沒有買這些東西的話, 你就會曝露在多大的風險中" 但從來沒人和你說 "你光買了這些也沒有用, 你必需..." ISMS 流於型式化, 資安產品像是宗教產品一樣的不斷的勸用戶買入 大家卻忘記了, 資安的最根本問題, 就是 "人" 你買了頂級的 IPS , 帳密是 Admin / abc123 有用嗎? 你叫 David , 你的 msn 密碼老是設定 david 或 david123 有用嗎? 你有全套的 ISMS 防護機制, 你的用戶老是把帳號密碼用便利貼 貼在 monitor 上 有用嗎? 你家的無線網路有加密, WEP/WPA Key 老是你們公司的電話號碼或統一編號 有用嗎? 在多次的與朋友公司的閑談,老是有人要 Pogo 証明看看資安的硊...

以前在 Pogo FB 分享過, 發現忘了貼過來

有網友反應, 先前的青蛙已停止這項服務, 事實上, 類似的服務網路多如牛毛.. 今天先介紹一個 Pogo 最甲意的 Torrific 首先, 先到 http://www.torrific.com/ 註冊一個帳戶 Torrific 很怪的是, 不支援種子直接上傳, 所以我們可以借用 http://www.anyhub.net/ 的服務 上傳完種子後, 就會得到像以下的連結, copy 任一個 回到 Torrific 把剛剛的連結貼上去後, 按 get 之後照著指示, 如果己有其他人用同一個種子, 馬上可以直接下載, 沒有的話等他下載好會 email 通知你去抓檔 讓大家快樂使用, 基本上, 這種服務如果再加上一些 Web Proxy 能簡單 bypass 任何防護的方式, 而且, 完全不會佔用頻寛.. 算是很好的 idea 請配合這篇使用 擋 IM P2P ? 省省吧 之二 HTTP 隱藏

拿來當資安教材很好的影片

好一陣子沒發表毒舌了, 這次的事件實在忍不住 原新聞連結 問題在一句完全自打嘴巴的話 " 駭客入侵 導致標價錯誤，已交易的客戶資料目前 無資訊安全疑慮 " 如果, 敢把任何的 IT 相關過錯, 用推給駭客這個老招的話, 就得擔得下這後果, 等著看這事件是真駭客還是假駭客問題吧^^

有扯.. 不當資訊的認定實在很歡樂啊..

原始新聞連結 　　3年前，北京警方破獲“全國首例故意傳播網絡病毒案件”，稱微點公司“在軟件研制過程中，違規在互聯網上下載、運行多種病毒”，“致使計算機病毒在互聯網上大量傳播，嚴重危害網絡安全，造成重大經濟損失”。該新聞轟動一時。微點公司副總後來被警方關押11個月。 　　日前，北京查獲一起造假陷害高科技企業案。真相終于大白于天下，殺毒軟件巨頭瑞星公司當時為了扼殺微點這個新生的殺毒公司，請托北京市公安局網監處處長于兵通過假報案、假損失、假鑒定的手法陷害競爭對手。 　　于兵已被北京市紀委立案調查，瑞星副總裁趙四章已被批捕。 　　17日《科技日報》刊發了題為“一項重大原始創新何以大難不死──北京東方微點公司起死回生始末”的特稿，對此案進行了詳細報導。《北京晚報》記者採訪了相關各方，力圖還原這樁堪稱中國計算機殺毒業界最大的醜聞。 　　要“鏟”競爭對手 　　3年前，一條題為“北京破獲全國首例故意傳播網絡病毒案件”的消息，在北京和地方各大媒體刊出，震驚全國。消息稱，“北京東方微點信息技術有限責任公司（以下簡稱微點公司）在世界首創主動防御病毒軟件，打破了對于計算機病毒全世界只能被動防御的局面。然而，該公司在軟件研制過程中，違規在互聯網上下載、運行多種病毒”，“致使計算機病毒在互聯網上大量傳播，嚴重危害網絡安全，造成重大經濟損失”。 　　消息引起了計算機用戶極大的憤慨，眾多網民對此予以譴責。案件當事人之一、微點公司副總經理田亞葵也因“網絡傳播病毒案”被警方逮捕關押11個月。微點公司背上了“防病毒公司傳毒”的罪名。 　　然而，誰也不會想到，這樣一個震驚全國的“國內首例防病毒公司傳播病毒案”，竟是個別執法人員與商業公司聯手制造的一起假案。讓微點公司橫遭不測的正是前文提到的“主動防御病毒軟件”。 　　網監處長受請托 　　劉旭，瑞星殺毒軟件的原設計者和發明人，在辭去北京瑞星科技股份有限公司董事總經理兼總工程師兩年後，于2005年1月創辦了北京東方微點信息技術有限責任公司。“主動防御病毒軟件”是該公司計劃衝擊殺毒市場的新產品。 　　2005年的中國IT安全市場已經呈現出瑞星一家獨大的局面。 　　據《科技日報》報導，原北京市公安局公共信息網絡安全監察處處長于兵，就是在2005年7月初接受了北京瑞星科技股份有限公司的請托，指令他人“鏟”了從事計算機病毒防範軟件研發業務的東方微點公司。 　　要阻止微...

原始新聞在此 但很老實說, Pogo 還無法判斷這新聞的真假, 參考看看就好

有圖有真相 新聞連結 短暫技術問題　Google錯標網站有傷害性

原始官方來源 　　警政署資訊室長期觀察發現，在科技及網路發達的時代裡，傳統犯罪已與電腦網路有相當程度的結合，例如當年警方偵破張錫銘案件時，就已發現其於逃亡期間，由於必須躲避警方追緝，故改以MSN等方式與同夥聯繫及上網玩線上遊戲排遣時間。這種現象顯示不管是一般民眾亦或是犯罪者皆脫離不了使用電腦、網路，尤其年齡層較低之青年朋友多數皆為網路重度使用者，但民眾對於電腦中之惡意程式(病毒、木馬程式、鍵盤記憶程式等)常無法察覺，並認為有安裝了防毒軟體安全就滴水不漏，殊不知現今病毒變形之快速防毒公司未能即時偵測與回應，使用者一旦中毒後，從電腦所洩漏之個人資料常被犯罪集團蒐集轉而利用於其他犯罪，如近年來層出不窮之詐騙案件，即以入侵個人電腦或資料庫竊取個資，藉由資訊拼圖掌握被害人資料一旦夠多，可降低被害人警覺心而誘使其進行轉帳匯款等動作；甚者，藉由掌握個資透過線上遊戲中金錢與寶物交易進行洗錢行為，亦是常見案例。臺北地檢署主任檢察官張紹斌表示由於近來發現「資安與治安」息息相關，許多犯罪發生皆與電腦網路有關，除自己使用電腦不慎外，即使不使用電腦之民眾、他人或商業，亦會將其〝生活〞輸入電腦，其中電腦資料包含交易行為(如網路購物)，旅行行程(如網路購票)，監視錄影光碟(如汽車旅館電腦)，都可用來詐騙、闖空門或隱私恐嚇之犯罪行為，更可植入木馬程式操控電腦開啟攝影機竊人隱私，或截取MSN內容進行詐騙，科技時代幾乎所有人生活及工作習慣皆紀錄於電腦之中，犯罪集團已結合駭客組織，大量入侵竊取電腦資料、偽冒詐騙、恐嚇被害人；當犯罪集團掌控被害人相關資訊，如有訴訟案件偽冒檢察官、法院、如購物冒充商家、久未聯繫朋友，更有駭入孩童電腦熟知習性，恐嚇父母假綁架真詐財…等。　　為使一般民眾能對於自己日常生活皆須使用之個人電腦能掌握其健康狀態，避免因電腦中毒後造成個人資料外洩情事發生，進而衍生治安事件。近期警政署分析多起駭客入侵案件及惡意程式，發現民間企業與個人電腦中毒非常嚴重，幾乎百分之60以上電腦皆含有病毒，資料早被竊取殆盡，警政署資訊室特別研發迥異於市售防毒軟體掃毒模式之最新〝健檢程式〞，此「個人電腦健康檢查程式NPASCAN」可有效偵測目前市面上防毒軟體無法清除之病毒，提供民眾免費下載使用。本項程式經警政署推廣於警察及其他機關使用效果十分良好，其功能是市售防毒軟體無法達到，另外由於它是採用行為分析模式進行偵...

懂的自行看.. 不方便多作講解

網路上己經有一篇經典的 Step By Step 的李慶安資料查詢大法 有興趣的可以前去一看 事實上, 這後面帶來很多的資安問題, 個人資料的確可以輕易的在網路上取得, 取得個資的好處? 當然是推帳號密碼的基本參數來源啊..

近來發生一堆 Twitter 的帳號被盜用事件, 有趣的是, 用的是破解手法中常見的字典攻擊, 但這是 Web 介面的字典攻擊.. anyway , 又是一個值得警愓的事件, 管理人員別再用好猜好記的密碼了...

M$ 官方說明 M$ TechNet 說明 McAfee Blog 更詳細技術細節 簡單來說, 透過這個漏洞即能經由IE7 IE8beta 透過網頁使用 ActiveX 控制項放木馬, 建議更新 M$ 的 Patch 修正即可, 上面連結 McAfee Blog 的訊息不錯, 說的比官方的詳細, 有興趣的人可以前往一看 上網 Windows Update 更新吧 (其實右下的 McAfee Blog RSS 昨天就報了, 懶得翻 >. AZN Trojan , Have fun la 關於12月9日被發現的IE漏洞, McAfee率先發佈在中國的攻擊發現, 當天Avert Blog即發表文章. http://www.avertlabs.com/research/blog/index.php/2008/12/09/yet-another-unpatched-drive-by-exploit-found-on-the-web/ 當天McAfee Network IPS亦可保護該弱點, 還有SiteAdvisor也同步掌握到很多網站散佈該惡意程式並評等為危險網站. 截至12/11日, 從VirusTotal報告指出, 還是祇有McAfee防惡意程式能偵測並阻擋針對此弱點的一隻惡意程式. Microsoft has released their emergency out-of-cycle patch for the Internet Explorer 7 issue currently being exploited in the wild. Attached is the current Security Advisory for your use and distribution to your customers and partners. Some additional info for your use: · McAfee Avert researchers were the first to notice exploitation of this vulnerability in the wild (in China). · We analyzed the vulnerability and blogged it on ...

原新聞連結 老實說, 這新聞最後一段實在令人難以認同, 個資在台灣真是不值錢啊... 話說年底到了, 又開始有朋友在問 Pogo 明年相關產品走向的看法, 原本前兩年 Pogo 一直十分看好 End Point 端的安全方案, 但台灣的法令與觀念的牛步, 讓這市場的話題性遠大於實際成交量, 2009 的 IT 產業, 到底該賣那些東東呢, 思考中... --以下轉載原新聞導-- 國內知名的「博客來網路書店」網站，去年發生民眾購買金馬影展套票，回覆會員註冊成功的電子郵件，竟然夾帶「外流」先前註冊成功會員的相關個人資料，曾郁智等十七位受害人，為此提起損害賠償訴訟，台北地方法院十九日判決博客來必須賠償每人二千四百元至一萬一千九百元不等。 去年十一月四、五日，曾郁智等十七位住在台北縣市的民眾，為了購買「台北金馬影展套票」，依指示進入博客來網站登錄會員並註冊套票後，卻在博客來回覆註冊成功的電子郵件訊息中，發現夾帶先前已註冊成功的四百七十七位會員資料。 回覆電郵疏失 夾帶會員資料 曾某等十七人當時發現後，感覺不可思議，進一步了解後，才發現博客來網站程式有疏失，造成註冊成功的個人資料外流，容易讓有心人透過管道取得個資，使個人隱私遭受破壞，因此共同提出民事訴訟，要求博客來依個資法及侵害隱私權，賠償各人九至十萬元。經營博客來網路書店的博客來數位科技公司，對於消費者的求償，表示這是承辦人員的疏失，且已購票原價分別賠償，不會侵害隱私權。 法官審理認為，本案確實是因為被告人員業務處理疏失，才將原告曾某等十七人的姓名等個人資料，無端附加在購票確認系統回覆電郵，公開揭示和購票目的無關的第三人，自屬侵害隱私權，原告主張受有非財產上的損害有理由。 至於違反個資法部分，法官認定博客來網站不是「電腦處理個人資料保護法」規定的非公務機關，原告不能依該法求償。

偶然在網路上看到的 原文出自 P2P終結者 內部構造 簡單來說, 就是把 110 V 的家用電流線接到 網路 Port 這也印証了在做資訊安全中提及的, 光考量設備與網路規劃是沒用的, 必做到實體防護與人員流程管控才行, 嗯.. 這種搞法如果在宿網流傳(或實驗)開來, 應可以加速網路設備的汰換潮吧 雖然這理論一直都知道, 但實際行動化看到還是很昏倒..

來自 OWASP 台灣官方 Wiki 十分好的資安參考資料與教材, 值得一看

今天看到這新聞, 滿好玩的 原文連結 讓我又想起我常在資安課程中舉的範例 "x全的故事" cc 基本上, 這 case 算不上什麼駭客行為, 單純的又是女同事相信"懂電腦的男同事", 把電腦和密碼交給這 "懂電腦的男同事" 後被動手腳, 但卻是十分常見的洩密管道, 老是在發生~~ --轉文如下-- 更新日期:2008/11/02 07:10 記者張念慈／新竹報導 新竹市彭姓工程師為追求張姓女同事，涉嫌入侵張女電腦，偷看她的信件和資料，卻發現其他人寫給張女的情書，醋勁大發，「你私生活怎麼那麼亂！」張女情緒崩潰，考慮提出妨害秘密告訴。 「我沒有做錯事，卻感覺結痂的傷口被人揭開，好痛苦！」25歲張女認為隱私遭到揭露，昨天投訴本報，希望她的例子能提醒其他人注意，「網路安全真的要小心」。 警表示，無故入侵他人電腦或相關設備，已構成刑法「妨害秘密罪」，依法可處三年以下徒刑、拘役或併科十萬元以下罰金。 張女表示，31歲彭姓男子是公司同事，也是電腦高手，因業務需要最近兩人開始聯絡，他常噓寒問暖，主動幫她解決電腦問題，讓她很感動，考慮接受他的感情。 未料，上月23日彭突然質問她「是不是有其他男同事追求你？為什麼跟他在信裡面情話綿綿？」她否認，他卻暴怒「還說沒有？我都看到了！」 張女表示，過去確有男同事追求她，後個性不合分手，連她最好的朋友都沒講，質問彭「你怎會知道？」彭支吾其詞，「妳給過我電子郵件的帳號和密碼」，並說「你私生活那麼亂，還好我沒跟你在一起！」 她說，彭曾向她炫耀扮過駭客入侵他人電腦，懷疑他也用同樣手法入侵她的電腦，她考慮接受警方建議，「如果他不道歉，我就要提出妨害秘密告訴」。

這2天的會議中, 最淺顯的 Topic 應屬 Day 1 由 ICST Charmi Lin 主講的 Email 安全性問題 與 由 警政署 PK 主講的5000萬筆個資外洩事件 Email 問題方面, 點出了更改密碼並不完全有助於帳戶遭盜用問題, 由於一般使用者並無習慣檢查相關 mail 帳戶的設定, 所以很有可能在 帳戶被盜用同時, 帳戶可能被設定如轉寄信件等功能, 使用者仍不自知, 所以更改 mail 的 password 無論多少次, 是完全沒用的 講到 Email 問題, 時至今日, 即使是 IT 公司, 會無視 Email 特性(不安全性與不確定性), 在仍使用 POP與 SMTP 的環境下, 來傳遞重要的資料, 甚至當作稽控流程的一部分, 這種無異於資訊自殺的行為竟依然可見 (在資安政策落實的公司中, 是能用 mail 系統來做稽控流程, 但前提是, 先停用不安全的協定, 最常見的用法為 Note 或 Exchange 配合 VPN 使用, 但很多公司的 E 化只導稽控流程至 mail 系統卻未考慮資安問題, 反而造成門戶大開) 5000萬筆個資外洩事件, 是 Pogo 最有意見的一場 Topic, 針對的並不是 PK 的內容, 而是這事件背後所帶來的更多問題, 以這場的 Topic 明白的確定了這事件的真實性 (先前 Pogo 有提及這事件, 但一直得不到官方的說明不敢冒然發文) 但我認為 PK 應足以代表官方的証明, 直接証實了該事件的問題 以 PK 的說法, 官方証實經多種管道造成資料外洩, 除了 Hacker 入侵外, 最大宗的是勞健保資料轉移時, 被人直接以 HDD copy 走 也就是說, 理論上 民國95年前出生的人的所有個人資料都己外流 這會有什麼問題? 除了諸多 "身分驗証" 的流程以是個人資料來做, 如某些電話申請服務或線上服務, 這些機制未來將會形同虛設, 如果 Hacker 手上有這份資料, 是最佳的攻擊 "字典檔" 由於相當大比例的人, 密碼或一些安全機制, 會使用與 個人資料 相關聯的資料來方便記憶, 如身份証字號, 電話號碼, 出生年月日等等, 以這些為依據來做破解的計算, 會大大的縮短入侵所需的時間 最令人不滿的是, 即使己有官方的人以此為案例來教學, 卻未見官方對這重大事件有任何...

Day 2 開場的 由 Robert "RSnake" Hansen 主講的 Clickjacking (這 Topic 在 9月份的 OWASP 年會被禁講) 算是給 Pogo 十分印象深刻的 Topic 之一概述如下 官方的簡報 Pogo 還在想法子取得中, 先看看相關話題由網路上資料的整理 先來看一段 Demo 維基百科上的資料 傳統的 Browser 攻擊, 大多是透過 ActiveX 或 Java Script 方式, 所以, 傳統上, 要完全防止這些攻擊, 只能關閉相關功能, 但會讓 Browser 使用上不方便多了, 所以大部分的人還是會開 Clickjacking 最大的問題在, 他不用透過 任何 ActiveX 或 Java Script , 透過 iframe 以畫面(網頁)重疊方式欺騙 user 按到錯誤(或不應開啟)的功能上 以 Demo 影片為例, 1:00 前是展示運作狀況, 1:00 後是相同功能重疊在其他頁面上示範, 做的是 Click 後開啟 Web Cam, 的動作 要知道的是, 這個 Click 按鍵能假造成任意網頁的連結樣式, 使用者會在不經意下 "授權" 給任何功能, 除了一般過往攻擊能達到的效困外在, 連傳統上與 Browser 完全不相干的 Web Cam 都能開啟, 代表什麼鬼動作都能執行, 如欺騙 User 安裝 "合法" 的遠端搖控程式, 再 "合法授權" 網路 Port 的開啟, 或更進一步的應用, 更糟的是, 由於一切過程 "經用戶合法授權確認" 所以目前無防毒, IPS, 或弱點掃描等等有對策...