<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>強化資安防禦，不只是看防守，也要懂得掌握最新攻擊趨勢，網站安全也是如此。一方面可參考OWASP Top 10揭露常見的網站應用程式弱點，幫助軟體開發安全，另一方面，每年也有無數的安全研究人員分享各自的發現，不管是攻擊技術的改進，實證研究，或是全新的技術。只是這方面的資訊量龐大且零散，儘管有些人已經在大型安全會議上分享，但也有些人的技術發表可能被忽略了。</p>
<p>去年恢復舉行的10大網站駭客技法活動，今年繼續由網站安全公司PortSwigger舉辦，讓關注網站安全議題的研究人員，可以一網打盡每年創新且重要的各式攻擊技巧發現，幾乎被視為研究人員的知識庫之一。</p>
<p>更受注目的是，在2017年度獲得這項活動第一的網站攻擊技術，是由臺灣的安全研究人員Orange Tsai（蔡政達）提出，更難得的是，他在2018年新的成果──「打破解析器邏輯，繞過路徑正規化並發現零時差漏洞」，再次獲得全球網站安全研究人員的青睞與肯定，達成二連霸。</p>
<p>關於這項活動的發起，其實已超過10年，但在2015年後一度停止舉辦。直到去年7月，另由PortSwigger首席研究員James Kettle發起。為此，他將每年向社群呼籲幫助他們，找出每年具有價值的新研究，並透過評選機制提煉出每年最好部分，供未來的安全研究人員閱讀，並激發出更多創新想法。</p>
<p>在2018年結束後，這項活動即在今年1月1日啟動，在社群上接受提名，並有59項提名入選。接著，在1月21日透過社群投票選出前15名的候選名單，並於2月11日再由專家小組投票選出前10名。最後，於2月27日在PortSwigger網站上公布結果。</p>
<p>其中，獲選年度第一的提名項目，是由Orange Tsai發表的「Breaking Parser Logic! Take Your Path Normalization Off and Pop 0days Out」，這是他在2018年8月的Black Hat USA與DEF CON大會上所分享。</p>
<p>在這次結果頒布中，James Kettle指出，這項網站攻擊技法不僅開啟了全新的攻擊面向，並有著相當廣泛的影響，因此在59項提名中，獲得眾多社群研究人員的肯定，成為年度最佳技術，這也讓臺灣的資安研究人員持續在國際揚名。</p>
<p>關於Orange Tsai，過去他曾積極參與漏洞獎勵計畫，幫助企業尋找漏洞，也參與過全球網路攻防競賽，並擔任臺灣HITCON戰隊隊長，現在任職於資安公司戴夫寇爾（DEVCORE）顧問一職。 對於這次票選活動，他提到自己這次其實忘了投票，不過從評選這個Top 10的主要用意而言，他認為就是要選出新的攻擊手法、新的攻擊面。而這次能夠再次受到領域人士肯定，主要也是因為突顯出架構層面上的問題，並發現了新的攻擊面。</p>
<p>而且，這樣的概念並不只是理論可行，也是能夠真的被廣泛應用到實際的攻擊，成為駭客新的攻擊手法。換言之，也意謂著這種架構層面的問題，將成為網站安全需注意的新面向。</p>
<p><strong>在網頁架構越來越複雜的今日，隱含的架構層面問題成新焦點</strong></p>
<p>關於此次提出的全新攻擊面向，對網站安全所帶來的影響，簡單來說，首先是在處理路徑正規化方面，多數人認為這已經是一個被解決的問題，但Orange Tsai認為，隨著軟體規模的擴增，以及架構的交替，其實也將會帶來瑕疵。也就是說，這樣的問題可能存在多年，並未被人們發現。</p>
<p>因此，他便著手對現有的軟體應用尋找弱點，以證明此類瑕疵的存在，並讓大家能夠重視。後續，他在基於Java語言的Spring Framework，以及基於Ruby語言的Ruby on Rails，還有Nginx網頁伺服器上，便找到存在類似的漏洞可以被攻擊。</p>
<p>另一受關注的是，此全新攻擊面還將影響到網站後端是Java程式語言的反向代理（Reverse Proxy）架構。這也意謂著，對於採用此架構的大型企業、政府網站或是銀行而言，需要特別注意這方面的弱點。</p>
<p>另外，由於之前他提出的「SSRF的新時代」，已經提到一個概念是「不一致」的錯誤，與這次有何不同？他也進一步解釋， 主要是攻擊方式不一樣，但「不一致的」概念一樣，先前他是將此概念放在SSRF的保護，以及URL解析器上，這次他則是把這個概念，放到多層次的網頁架構上，因此帶來的影響層面更廣。</p>
<p>他並指出，現今的網頁架構越來越複雜，很多時候不能只是確保某個套件或軟體沒有漏洞。以這次的攻擊手法而言，他舉例，在多層次的架構下，A 層看起來沒問題，B 層看起來沒問題，但搭配在一起就產生了問題。此外，他也用Nginx與Tomcat對於同樣網址的解析，來舉例說明這樣的概念，例如一端的Nginx認為`/..;/`是正常路徑，但另一端的Tomcat則認為`/..;/`是前一層目錄，這其中的不一致，就能導致安全檢查被繞過，而被存取到原先不能存取的內部應用。</p>
<p>不論如何，網站安全的問題越來越受企業重視，只是從國內的漏洞通報現況來看，臺灣企業組織的網站在基本安全方面還有待努力，尤其是過往已經常見的SQL Injection與XSS漏洞，還是網站安全問題的大宗。而從整體趨勢來看，隨著當今的網頁架構越來越複雜，基本的漏洞問題應該是要越來越少見，而關於多層次架構下會產生的問題，看起來會是值得關注的新趨勢。</p>
<p>對此，Orange Tsai也指出，在這幾年的Black Hat上也出現不少相關研究，例如2017年的「Web Cache Deception Attack」，以及2018年的「Practical Web Cache Poisoning: Redefining 'Unexploitable'」，也突顯此類議題將會越來越常見。</p>
<h2 class="rtecenter" style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color:#0066ff;"><span style="vertical-align: top;"><strong style="vertical-align: top; font-size: 24px;">2018年度十大網站攻擊技術手法</strong></span></span></h2>
<table border="1" cellpadding="1" cellspacing="1" style="width:600px;"><tbody><tr><td><span style="color: rgb(139, 69, 19);"><strong>Top 10 Web Hacking Techniques of 2018</strong></span><br />
1. Breaking Parser Logic: Take Your Path Normalization off and Pop 0days Out! – <span style="color: rgb(0, 0, 255);">Orange Tsai</span><br />
2. Practical Web Cache Poisoning: Redefining 'Unexploitable' -<span style="color: rgb(0, 0, 205);"> James Kettle</span><br />
3. Beyond XSS: Edge Side Include Injection - <span style="color: rgb(0, 0, 205);">Louis Dion-Marcil</span><br />
4. Prototype pollution attacks in NodeJS applications - <span style="color: rgb(0, 0, 205);">Olivier Arteau</span><br />
5. Attacking 'Modern' Web Technologies - <span style="color: rgb(0, 0, 205);">Frans Rosen</span><br />
6. It's A PHP Unserialization Vulnerability Jim But Not As We Know It - <span style="color: rgb(0, 0, 205);">Sam Thomas</span><br />
7. Exploiting XXE with local DTD files - <span style="color: rgb(0, 0, 205);">Arseniy Sharoglazov</span><br />
8. Prepare(): Introducing novel Exploitation Techniques in WordPress - <span style="color: rgb(0, 0, 205);">Robin Peraglie</span><br />
9. Data Exfiltration via Formula Injection –<span style="color: rgb(0, 0, 205);"> Ajay、Balaji</span><br />
10. XS-Searching Google's bug tracker to find out vulnerable source code -<span style="color: rgb(0, 0, 205);"> Luan Herrera</span></td>
</tr></tbody></table><p><span style="background-color: rgb(247, 247, 247); font-family: 微軟正黑體, sans-serif; font-size: 14pt;">資料來源：PortSwigger，iThome整理，2019年3月</span></p>
</div></div></div>
