當一台伺服器被植入木馬過後，不只系統管理者會開始緊張，對於主機的一些奇奇怪怪的檔案也會開始特別敏感。木馬程式經常會對程式檔案加上一些特殊的屬性，例如：系統檔案屬性(System file attribute)、隱藏檔案屬性(Hidden file attribute)與唯讀檔案屬性(Read-only file attribute)等。
... 繼續閱讀 ...
WAF ( Web Application Firewall, Web 應用程式防火牆 ) 這個名詞越來越夯了，因為 Web 應用程式越來越普及，相對的 Web 安全性的議題也越來越受重視，在市面上已經有不少 WAF 相關防護工具，免費的、付費的、Linux 平台的、Windows 平台的都有，今天我就來介紹一套由微軟提供的入門級 WAF 工具：UrlScan Security Tool ( 這連結是介紹 UrlScan 2.5 的功能，但目前最新版是 UrlScan 3.1 版)。
... 繼續閱讀 ...
今天從資安人雜誌的電子報中發現一則駭人聽聞的熱門新聞：『戰國策4,270筆資料外洩 Google全都露』。我上網研究了一下，果然還有許多非 Google 的搜尋引擎還殘留著快取住(Cached)完整的客戶資料與鉅細靡遺的訂單資訊，包括公司資訊、連絡人、電話、地址、身份證字號、購買了什麼服務、何時到期、折扣、帳號、密碼、.... 簡直什麼死人骨頭都在上面，這實在是太恐怖了，真無法想像這些資料落入詐騙集團手中後，這些客戶是何下場。
... 繼續閱讀 ...
前幾天我才寫 SQL Server 2005 SP3 已出爐(Released)，今天就看到另一個 SQL Server 的重大弱點公布，而且影響的 SQL Server 版本遍及 SQL Server 7.0 , SQL Server 2000 到 SQL Server 2005 等，只有以下幾種版本能倖免於難：
... 繼續閱讀 ...
現在越來越多客戶會要求要上線的網站必須提供安全性掃瞄報告，之前我曾經介紹過一套 RatProxy 工具，感覺是不錯，掃瞄的結果也十分的詳細(..繁瑣..)，也因為缺乏 UI 其實使用上蠻不方便的。正好我們最近一個上線的網站又被要求做安全性檢測，而這次是由客戶主動要求要用 Paros 掃瞄工具進行檢測。
... 繼續閱讀 ...
昨天到客戶那邊開會，他們說最近都有人寄送惡意郵件到他們公司大部分人的信箱，只要郵件中的連結點下去電腦就會被值入木馬，而且他們所有 Windows Update 都做了，我才覺得可能 IE7 有零時差攻擊(Zero day attack)。
... 繼續閱讀 ...
我之前參加微軟 MSDN 研討會時曾經拿到一本微軟贈送的書籍，書名叫做 "The Security Development Lifecycle" (ISBN: 9780735622142)，拿回來看過之後，雖然覺得真的要在公司內導入 SDL 的確不太容易，但是書中所介紹的一些安全觀念、流程、工具都蠻不錯的，我覺得每一位開發人員都應該嘗試著瞭解一下 SDL 這個東西，畢竟建立基本觀念有益無害，況且真的是好東西。
... 繼續閱讀 ...
我個人有習慣收集一些網路上別人整理的速查表，因為程式開發的細節真的太多了，要能全部背起來不太可能，也沒什麼意義，甚至於有人說程式設計就是一件查詢、複製、貼上的工作而已。對我來說，寫程式首重觀念與經驗，有了完整而正確的觀念，就算記不得要怎麼寫，查詢一下就馬上能寫了；而有了經驗，對於一些難解的 Bug 自然能夠迅速解開。
... 繼續閱讀 ...
我兩個星期前跑去參加 2008 OWASP 亞洲年會 有學到一些關於資安的新知與新型的攻擊手法，而幾天前主辦單位已經開放部分簡報檔下載了，建議有興趣的人可以下載回來看看。
... 繼續閱讀 ...