首頁 > 焦點新聞

駭客年會:遊戲、銀行系統漏洞多 WAF也可被繞過

作者:張維君 -2009 / 07 / 20 列印 加入我的最愛 分享 將這篇文章分享到 Plurk 噗浪

第五屆駭客年會(HIT)昨日落幕,不僅在台上看到研究員對於各種系統漏洞的揭發,更從參與者看到資安圈的新血以及後起之秀輩出。揭露線上遊戲安全漏洞的Dark才念大一,本屆Wargame第一名選手則是名高二學生。主辦單位Chroot的主辦人Tim說此次更多學生族群的參與,總報名人數約385人比去年成長,甚至有更多女生參加。

 

由於許多遊戲為了防止外掛會使用Hackshield,而Dark則是深入研究之後成功破解Hackshield。他認為遊戲公司將許多功能包括攻擊速度、範圍的設定放在用戶端是比較不安全的,用戶端應單純操作就好。這場演說讓現場遊戲公司的員工捏了把冷汗。

然而線上遊戲公司該擔心的不只如此,在日前韓國被DDoS的攻擊當中,甚至台灣某遊戲公司的伺服器被用來當作Bot主機發動攻擊,在被通報前該公司渾然未覺。

Nanika則從Ring0(前線)、SystemCall(交通要道)、IAT EAT Inline(重要據點)、NotifyCallBack(通信)及FileFilter(最後防線)深入介紹攻擊方式,而市面上所有防毒軟體則完全無招架之力。

 

No-Name的演說中談到許多網站開發人員使用各種網路套件,然而入侵者從網站所提供的訊息中了解所使用的套件後,只要下載其套件加以研究就可找到0 Day漏洞。他並示範某網站將資料庫出處寫在程式碼中註解中,很容易就可下載回該DB並取得管理者權限。他指出,在最近的掛馬攻擊中,利用Flash漏洞再加殼來入侵攻擊很難偵測,往往需要用3~4Flash檢測工具才能找出漏洞。他建議應該把變數、參數或路徑都換過,至少可以提高入侵難度。

 

Ant則談到對殭屍網路的社交工程研究。過去透過軟體漏洞方式植入Bot,現在已經有許多利用社交工程從Yahoo mailGmail寄發郵件來騙人上鉤。而Command & Control Server也可直接透過TwitterPluk來操控Botnet,此外新型態的Botnet基於瀏覽器的特性可以跨平台,例如透過手持裝置來發動攻擊。

 

Militan.c7則對銀行系統安全問題做了研究,台灣的銀行系統有些只把入口做安全,對進去系統的人就不加以防範了。同時,在系統參數的設定上也有資訊洩露過多的問題,例如直接寫passwd,對開發人員方便的動作但可能造成系統安全漏洞。然而Militan.c7很感嘆的說,即使對銀行通報這些問題之後,許多銀行仍然不太重視。

 

對於時下熱門用來阻擋網頁攻擊的網頁應用防火牆(WAF)Outian則指出繞過WAF2種方式。其中一種是特別發生在微軟ASP程式語言當中,只要在url命令列,在傳遞的網址參數或表單, 將欲注入的攻擊字串中加入 % 符號 (並非單純編碼),則 WAF 因無法看到攻擊特徵而失效,但進到 ASP 程式語言中,由於語言特性會將該 % 符號刪除而組回原本的攻擊字串 ,便達到入侵或駭客目的。然而其他的語言包括ASP.net就沒有此問題。
如欲閱讀完整內容,請成為《進階會員》
推薦此文章
3
人推薦此新聞
我要回應此文章
您的姓名:
回應內容:
  輸入圖片數字

你或許會對這些文章有興趣…