Security | The Will Will Web

The Will Will Web

記載著 Will 在網路世界的學習心得與技術分享

如何利用 md5sum 稽核重要檔案與驗證檔案完整性

要確認檔案是否被修改 (竄改) 並不是檢查檔案修改時間也不是檢查檔案大小,比較有效的方式是檢查檔案內容,但一一比對檔案內容成本過高,所以一般來說都會用 MD5 演算法將檔案內容計算出一個雜湊值(Hash),在 Linux 下最常見的工具就是 md5sum 工具,今天我就講幾個在 Windows 下的相關工具。

... 繼續閱讀 ...

介紹好用工具:CAT.NET (靜態程式碼安全檢測工具)

市場上已經有許多類似的靜態程式碼分析軟體商業軟體,在這一期的 iThome 雜誌(第 405 期)就有介紹好幾套程式碼安全檢測軟體,像我就親自領教過阿碼科技CodeSecure™ 以及 FortifySource Code Analyzer 的威力,誤判是難免,但專業度倒是沒話說,對軟體品質與安全性絕對可大幅提昇。雖然這類商業軟體都所費不貲,微軟為了拯救龐大的開發人員,也不落人後推出了一套 Microsoft Code Analysis Tool .NET (CAT.NET) 工具。

... 繼續閱讀 ...

Outlook 2007: 基礎的安全性系統發生錯誤。未定義機碼組。

剛剛在實驗透過 Outlook 2007 發送含「自然人憑證」簽章的郵件,結果卻發現郵件怎樣都寄不出去,我透過我自己寫的【如何安裝設定「自然人憑證」所需的基礎執行環境】進行環境設定,也將憑證都匯入到電腦中,而且也可以用自己的自然人憑證存取政府服務。除此之外,我也有透過自然人憑證用戶端系統環境檢測工具檢測我電腦,結果也十分正常。再者,也檢查了系統中的 Smart Card 服務,也有正常啟動運作中。照理說 Outlook 沒什麼理由不能發簽章信吧!

... 繼續閱讀 ...

介紹好用工具:警政署推出 NPASCAN 惡意程式偵測工具

最近發現一個 NPASCAN 惡意程式偵察工具,可以幫你找出電腦中有哪些惡意程式(病毒、木馬程式、鍵盤記憶程式等)。這是一套由內政部警政署自行研發而成的工具,採用行為比對方式進行惡意程式掃瞄,所以無須更新病毒特徵碼之類的動作,優點是掃瞄速度快,並且可忠實找出具有「行為可疑」的程式;但缺點是有可能會誤判一些正常的程式,但大部分來說找到的都是惡意程式居多。

... 繼續閱讀 ...

如何查出目錄中有哪些「詭異」的檔案 ( 系統、隱藏、唯讀 )

當一台伺服器被植入木馬過後,不只系統管理者會開始緊張,對於主機的一些奇奇怪怪的檔案也會開始特別敏感。木馬程式經常會對程式檔案加上一些特殊的屬性,例如:系統檔案屬性(System file attribute)隱藏檔案屬性(Hidden file attribute)唯讀檔案屬性(Read-only file attribute)等。

... 繼續閱讀 ...

介紹好用工具:UrlScan Security Tool ( 入門級的 WAF 工具 )

WAF ( Web Application Firewall, Web 應用程式防火牆 ) 這個名詞越來越夯了,因為 Web 應用程式越來越普及,相對的 Web 安全性的議題也越來越受重視,在市面上已經有不少 WAF 相關防護工具,免費的、付費的、Linux 平台的、Windows 平台的都有,今天我就來介紹一套由微軟提供的入門級 WAF 工具:UrlScan Security Tool ( 這連結是介紹 UrlScan 2.5 的功能,但目前最新版是 UrlScan 3.1 版)。

... 繼續閱讀 ...

從戰國策資訊外洩事件說明 robots.txt 定義檔與資安常識

今天從資安人雜誌的電子報中發現一則駭人聽聞的熱門新聞:『戰國策4,270筆資料外洩 Google全都露』。我上網研究了一下,果然還有許多非 Google 的搜尋引擎還殘留著快取住(Cached)完整的客戶資料與鉅細靡遺的訂單資訊,包括公司資訊、連絡人、電話、地址、身份證字號、購買了什麼服務、何時到期、折扣、帳號、密碼、.... 簡直什麼死人骨頭都在上面,這實在是太恐怖了,真無法想像這些資料落入詐騙集團手中後,這些客戶是何下場。

... 繼續閱讀 ...

介紹好用工具:Paros ( 網站安全性掃瞄工具 )

現在越來越多客戶會要求要上線的網站必須提供安全性掃瞄報告,之前我曾經介紹過一套 RatProxy 工具,感覺是不錯,掃瞄的結果也十分的詳細(..繁瑣..),也因為缺乏 UI 其實使用上蠻不方便的。正好我們最近一個上線的網站又被要求做安全性檢測,而這次是由客戶主動要求要用 Paros 掃瞄工具進行檢測。

... 繼續閱讀 ...

介紹微軟 Security Development Lifecycle (SDL) 推廣活動

我之前參加微軟 MSDN 研討會時曾經拿到一本微軟贈送的書籍,書名叫做 "The Security Development Lifecycle" (ISBN: 9780735622142),拿回來看過之後,雖然覺得真的要在公司內導入 SDL 的確不太容易,但是書中所介紹的一些安全觀念、流程、工具都蠻不錯的,我覺得每一位開發人員都應該嘗試著瞭解一下 SDL 這個東西,畢竟建立基本觀念有益無害,況且真的是好東西。

... 繼續閱讀 ...