上個月有個客戶提到他們從後台上傳的檔案不知為何在前台就是看不到，我查看了一下發現檔名中有個加號 ( + )，但奇怪的是原本網站明明就是好的。後來我才想起來客戶最近主機升級了，從 Windows Server 2003 升級到 Windows Server 2008 R2，可能是因為這樣才導致這個問題發生，我研究了一會兒終於明白問題發生的原因，並不是 IIS7 有問題，而是變的更安全了，也因為這個問題讓我更加意識到在實做檔案上傳功能時應該注意到的事情！
... 繼續閱讀 ...
Hacks In Taiwan (HIT) 台灣駭客年會是台灣最大的駭客與資安技術研討會，雖然我之前沒參加過，不過有幾位朋友都推薦我參加這次研討會，而且我公司裡也有協助 HIT 舉辦的志工，所以這次決定前往一探究竟，希望有志一同的人可以共襄盛舉，參加這次年度資安盛會。
... 繼續閱讀 ...
上週有同事跑來問我說 IE9 是不是有 Bug，他家裡的電腦都沒辦法連接 不安全的 HTTPS 網站，一般來說我們瀏覽到一些使用 自簽憑證 (self signed certificate) 的網站都一定會看到 IE9 提示說「此網站的安全性憑證有問題」，而且通常也都會有「繼續瀏覽此網站 (不建議)」的選項可以用，但是在他家裡的電腦怎麼會沒有這個按鈕可以點選呢？我直覺是認為不可能有此問題，由於當下沒圖沒真像，所以我請他給我他電腦的畫面再進一步判斷，今天他寄給我畫面了，不到 5 秒便真相大白！小朋友，叔叔是有練過的 XD
... 繼續閱讀 ...
去年的時候有一次客戶急忙來電說伺服器中毒了導致網站掛點，請我幫他修復網站，不過這案子已經結案超過三年，結案後他們就自己管理主機，怎麼管到會中毒我不清楚（其實是被值入木馬），當時不疑有他的就透過遠端桌面程式(mstsc)登入他的主機，不過才剛連上沒多久，我的防毒軟體就不斷的發出警示說有檔案被發現病毒應立即處理，一開始還以為防毒軟體秀逗了，但不斷跳出警告後開始覺得不對勁，查了 3 分鐘之後確認是病毒是從遠端桌面的遠端寫入到我的硬碟，過程中我的硬碟已經被值入 70 多支木馬，實在恐怖！
... 繼續閱讀 ...
幾天前有兩位資安研究員 (Thai Duong and Juliano Rizzo) 發現了一個 ASP.NET 的資安弱點，主要的點出在 .NET 實做 AES 加解密演算法的問題，駭客透過這個弱點即可在短時間內猜出你網站的加密金鑰進而入侵你的網站系統，在 ASP.NET 裡使用到加解密的地方非常多，像是 Forms Authentication 與 ViewState 都是非常常見的功能，加密金鑰 (MachineKey) 被猜到之後就可以讓駭客用任意身份使用你的網站或任意竄改 ViewState 中的狀態資訊，嚴重性非同小可，各位一定要即時因應。
... 繼續閱讀 ...
製作網站難免會做到關於檔案上傳的功能，如果為了安全考量可能會限制其特定副檔名才能上傳，以免使用者上傳了不該上傳的檔案類型（例如 *.exe 執行檔），不過光是檢查檔案結尾的副檔名真的就安全了嗎？那可不一定！如果你現在還在使用 IIS6 的話，那你可能要小心了，因為最近知名3C連鎖賣場燦坤傳出資料外洩的案件就是因為這個弱點所致。
... 繼續閱讀 ...
在多年以前 SSL 第二版 (v2) 就已經被證實有編碼加密方面的瑕疵，因此駭客很輕易的就能對 SSL v2 加密過的封包進行反解，或可能會透過中間人攻擊(Man-in-the-middle attack)手法加害於你的網站用戶，因此大多數的資安掃瞄軟體皆會建議在伺服器上關閉 SSL v2 的協定，以確保用戶端透過 SSL ( HTTPS ) 連上網站伺服器時是安全的連線。
... 繼續閱讀 ...
微軟在 2009/6/22 確認了一個從 17 年前 Windows 作業系統以來直到目前都還存在的一個安全性弱點，他能讓不受信任或無權限的使用者輕易的進入系統核心(system kernel)並取得該系統最大權限，目前尚無任何補丁(Patch)可以修正這個問題，但還是有方法可以強化你系統的安全性。
... 繼續閱讀 ...
Cookie hijacking 是個很常見的 XSS 攻擊手法，大多是利用網站既有的 XSS 漏洞並透過 JavaScript 取得 documnet.cookie 資料，而 documnet.cookie 就包含所有你在該網頁所有可用的 Cookie 資料，但若你的網站程式在設定 Cookie 的時候有特別加上 HttpOnly 屬性，就可以進一步避免該頁的 Cookie 被 JavaScript 存取，也可保護使用者的 Cookie 不會偷走。
... 繼續閱讀 ...