Become A Security Master

Become A Security Master

C.K Chen2014/06/22

Learning To Learn

• 課程幫助你快速了解一門學問• 讀書讓你有系統的看見一門學科的全貌• 論文 / 技術文章讓你接觸最新的研究發展• 練習讓你真正了解體會這門學科• 競賽提升你的程度，讓你有機會突破自己的極限

Course in NCTU• Basic Course

– Programming in C– Assembly– Operating System– Network

• You don’t need to get high grade in every course, but to fully understanding

• Learning to learn

• Security-realted– 電腦安全（下學期沒開）– 網路安全

• Give you overall concept, and funny/advanced project

– 網路安全實務 - 攻擊與防禦• More about technique and

practice – 軟體測試（黃世昆教授，資訊中心開課）

• Most security is due to software bug, testing can help you to discover some vulnerabilities

網路安全• 謝續平教授

網路安全實務 - 攻擊與防禦• 吳育松教授

軟體測試• 黃世昆教授– https://www.facebook.com/groups/

softwaretesting.nctu/

Online Course

• Coursera– Malicious Software and its Underground Economy:

Two Sides to Every Story– 推薦去聽聽可以考慮組讀書會

Online Course

• Coursera Computer Security– 目前還沒開課不過師資很強大

Online Course

• Udacity Software Debugging

Other Course• http://www.utdallas.edu/~zxl111930/fall2011.html• http://www.utdallas.edu/~zxl111930/spring2012.html• http://www.utdallas.edu/~zhiqiang.lin/spring2012.html• http://www.cs.fsu.edu/~redwood/OffensiveComputerSecu

rity/lectures.html• http://lcs3.syr.edu/faculty/yin/teaching/CIS700-sp12/• http://www.cs.berkeley.edu/~daw/teaching/cs261-f11/sc

hedule.html• http://www.cs.berkeley.edu/~dawnsong/teaching/f12-cs1

61/syllabus.html• http://www.cs.virginia.edu/~cs351-dada/index.html• http://users.ece.cmu.edu/~dbrumley/courses/18739c-s11

/schedule.html• https://sites.google.com/site/bletchleypark2/misc

Open Communities• 有很多網路上的社群可以加入

– HITCON• https://www.facebook.com/HITCON?fref=ts

– TDOH• https://www.facebook.com/groups/TDOHacker/?fref=ts

– 網路攻防戰• https://www.facebook.com/netwargame?fref=ts

– The Honeynet Project Taiwan Chapter• https://www.facebook.com/groups/honeynet/?fref=ts

– EC-Council 非官方中文討論區 11• https://www.facebook.com/groups/lpttaiwan/?fref=ts

– InfoSec Institute• https://www.facebook.com/infosecedu?fref=nf

加密與解密• 第一篇 基礎篇

– 第 01 章 基礎知識 • 第二篇 調試篇

– 第 02 章 動態分析技術 – 第 03 章 靜態分析技術 – 第 04 章 逆向分析技術

• 第三篇 解密篇 – 第 05 章 常見的演示版保護技術 – 第 06 章 加密算法

• 第四篇 語言和平台篇 – 第 07 章 DELPHI 程式 – 第 08 章 VISUAL BASIC 程式– 第 09 章 .NET 平臺加解密

• 第五篇 系統篇 – 第 10 章 PE 檔格式 – 第 11 章 結構化異常處理

• 第六篇 脫殼篇 – 第 12 章 專用加密軟體– 第 13 章 脫殼技術

• 第七篇 保護篇 – 第 14 章 軟體保護技術 – 第 15 章 反跟蹤技術– 第 16 章 外殼編寫基礎 – 第 17 章 虛擬機的設計

• 第八篇 PEDIY 篇 – 第 18 章 補丁技術– 第 19 章 代碼的二次開

學校有，可以借入門必讀經典

網路竟然這麼危險• Chapter 01 我的安全世界觀• Chapter 02 瀏覽器安全• Chapter 03 跨站指令稿攻擊 (XSS)• Chapter 04 跨網站請求偽造 (CSRF)• Chapter 05 點擊綁架 (ClickJacking)• Chapter 06 HTML 5 安全• Chapter 07 植入攻擊• Chapter 08 檔案上傳漏洞• Chapter 09 認證與階段管理• Chapter 10 造訪控制• Chapter 11 加密演算法與亂數• Chapter 12 Web 框架安全• Chapter 13 應用層拒絕服務攻擊• Chapter 14 PHP 安全• Chapter 15 Web Server 設定安全• Chapter 16 網際網路業務安全• Chapter 17 安全開發流程 (SDL)• Chapter 18 安全營運

全面性介紹網路安全，適合想鑽研網路（網站）安全的人

Metasploit 滲透測試魔鬼訓練營• 作者為藍蓮花團隊的成員 - 诸葛建伟• 廣泛介紹 Metasploit 的各種功能• 除此之外也晚整介紹滲透測試的流程方式

网络攻防技术与实践• 也是诸葛建伟的書• 介紹北京清華大學（不是隔壁那間 .. ）網路攻防課程• 第一章居然在介紹駭客電影…

0day 安全• 看雪團隊出的～• 很深入地說明逆向工程，漏洞分析相關課題• 適合對黑系統比較有興趣的同學

Reversing: Secrets of Reverse Engineering

• 逆向工程經典書籍• Part I Reversing 101

– Chapter 1 Foundations – Chapter 2 Low-Level Software – Chapter 3 Windows Fundamentals – Chapter 4 Reversing Tools

• Part II Applied Reversing – Chapter 5 Beyond the Documentation – Chapter 6 Deciphering File Formats – Chapter 7 Auditing Program Binaries

• Part III Cracking– Chapter 9 Piracy and Copy Protection – Chapter 10 Antireversing Techniques – Chapter 11 Breaking Protections

• Part IV Beyond Disassembly – Chapter 12 Reversing .NET – Chapter 13 Decompilation

Practical Malware Analysis

• 惡意城市分析入門書

Books

• A good book for malware research

TDOH

• 目前最大的資安學生社群• 每月會有實體定期聚會• 他們新竹區缺人，有人想入坑歡迎跟我說

Conferences and Activities

• Taiwan– HITCON– BOTNET – HoneyConf Taiwan– 亞太資訊安全– CISC

• 外國– BlackHat– Defcon– RSA– Syscan – S&P– CCS– Dimva– USENIX(Security, OSDI)

黑色 駭客社群綠色 學術研究藍色 資安實務紅色 商業服務

Useful Website• Freebuf

– http://www.freebuf.com/• Exp.tw

– http://exp.tw/• 看雪論壇

– http://www.pediy.com/• 網路安全攻防研究室

– http://www.91ri.org/• Exploit-DB

– Http://www.exploit-db.com/• Bletchley park

– 自己寫的，偷偷推薦– https://sites.google.com/site/bletchleypark2/

Practice

• Wargame.cs– http://wargame.cs.nctu.edu.tw/wargame/ranking– 自家人的網站，當然要支持– 以 pwned題目為主，題目難易皆有，推薦練習

• Hack This Site– https://www.hackthissite.org/– 以網站為主，題型偏舊

• bright-shadows– http://www.bright-shadows.net/– 題目數量多樣，但也是有點偏舊

Else website

• 有很多我沒玩過，大家可以一起玩玩看– http://hax.tor.hu/welcome/– http://www.smashthestack.org/– http://overthewire.org/wargames/– http://exploit-exercises.com/

• 有人整理了 list– http://captf.com/practice-ctf/

Wargame.cs

媽啊～我在這

Hack This Site

國內資安競賽• 賽門鐵克網路安全攻防戰（ 4/1）– 已比過，不知道會不會繼續辦

• HoneyCon CTF(7/7~7/8)– 報名截止，明年可以組隊去

• HITCON CTF(8/16~8/18)– 7/1 可以報名

• 金盾獎資安技能競賽– 大約 10月初賽， 11月底決賽

• Ps. 時間已 2014 為準，明年可能會稍有變化

賽門鐵克網路安全攻防戰• 日期： 2014 年 4 月 2 日（星期三） • 時間： 13:00-18:30 • 地點： Cafe mussion （台北市和平東路二段

134 號，北師美術館內） • 比賽形式：單人或兩人為一組 • 獎品（每組）： – 冠軍： iPad Air (Wi-Fi, 32G) – 亞軍： iPad Mini (Wi-Fi, 16G) – 季軍： SONY SmartWatch 2

賽門鐵克網路安全攻防戰

據說當時有直播，可是一群黑黑打站怎麼可能會有趣http://www.youtube.com/watch?v=_AxIHZ7m7bI

HoneyCon CTF• Honeycon2014 WarGame競賽包含攻防賽事以及網頁關卡賽。攻防賽由主辦單位提供數台虛擬主機，架設於隔離的網路環境中，做為各參賽隊伍所要爭奪的主機。• 報名資格 – 可個人或組隊參加，每組隊員人數不限– Honeycon2014 與會者皆可免費報名WarGame競賽

• 競賽獎勵 – 第一名 iPad air 16GB wifi 乙台– 第二名 iPad mini Retina 16GB wifi 乙台 – 第三名 AirPort express 乙台

HoneyCon CTF

HITCON CTF

HITCON CTF

國內品質最好的比賽，非常鼓勵去參加．

資安技能金盾獎該競賽初賽為筆試，複賽是 JeoPardy• 基本上初賽就是比運氣（誤）• 複賽每年都被 Orange電

資安技能金盾獎交大

交大

交大臺大冠軍

臺科亞軍我不認識

國外 CTF• JeoPardy

– Defcon– Codegate– PHDays– PlaidCTF– Hack.lu– CSAW– …

• Ps. 有很多比賽是初賽以JeoPardy進行，複賽才以Attack & Defense模式來比

• Attack & Defense – Defcon Final <- 如果你進得去– CTF365

CTFTime

• • Large information– Schedule– Team– Writeup– Score

Register Your Team

就是現在！