資安奇妙物語 - 重新換皮又是一條好漢

閱讀時間約 4 分鐘

[本故事為作者本人於 iThome鐵人賽所寫,這邊擴充內容後重新刊登]

原因是前幾天看到一則標題『貼牌的中國製智慧門鈴內含安全漏洞』,讓我想到以前寫過類似的故事,以下內容純屬虛構,如有雷同那就雷同。


故事開始了

小彎是大學剛畢業的菜鳥 RD,公司主要就是開發網路設備,例如:防火牆、郵件伺服器...。

進去公司的第一週前輩要他熟悉程式碼,但當他打開程式碼以為他看錯了,一個網頁裡面 php 包 js ,js 裡面又包 php,讓他想起來一段影片 雞包紙 紙包雞

如此精美的程式碼,小彎當然是不敢動,前輩也叫他先看就好。

就這樣過了第一個月,小彎逐漸了解程式碼,某天上班主管要求緊急開會。


原來是客戶 SOC (資安監控中心)廠商間接通報公司產品有遠端執行程式碼的問題,小彎這時候想:「這麼重大的漏洞,駭客肯定很厲害吧!」,立馬說想要幫忙修這個漏洞來展現工作能力。


現實往往沒有電影來的那麼好看,原來駭客是透過網頁上面有測試網頁的功能,

而前端沒有做任何驗證,後端 100% 相信前端的資料,後端收到網址會直接把指令做執行,也就是所謂的 Command Injection


小彎想說這不是非常基本的事情嗎,怎麼會有這種低級的錯誤在程式碼裡面?

小彎隨後就開始認真的去研究產品的程式碼安全性,發現有類似的問題至少有 10 多個。

隨後很高興的跟主管回報這些問題,但就單單這一個漏洞修復到發布是在三個月之後了,而公司的計劃就是默默出更新包供客戶自行更新,所以這些有漏洞的版本依舊存在於野外。


可怕的是類似小彎所在的公司在世界各地非常多,許多都是小公司並且最常提供合作的方式就是提供 OEM 版賣給其他廠商換成他們的名字,如此一來就變成國產、日產的設備了,並且搜尋不到 CVE 編號(根本沒有想過主動回報),就算有編號也因為品牌名稱完全不同難以搜尋,所以在表面上這些產品沒有漏洞。

這類型設備/軟體便宜又可以包裝成國產,或許你正用著這些東西也說不定。


資安探討

小型資訊公司該怎麼辦

原本要寫小彎所在公司的如何解決這件事,但重寫整份程式碼所投資的人力、時間很有可能超出產品實際獲利。這類型的公司業務形式,相同版本的程式碼可能有 2,30 個分支,每個客戶都有一些功能上修改,導致維護與後續更新困難。

除了打掉重建這種建議,筆者認為還能從一些方向慢慢地去改進,有進步總比沒進步好:

  • 積極面對漏洞,可思考為甚麼軟體大廠基本上都願意加入 MITRE CVE 的 CNA,認真面對漏洞有甚麼好處。
  • 建立良好的開發文化,並將漏洞逐步排入更新計畫中,e.g. code review、避免紙包雞的程式碼、紀錄所用的套件版本並追蹤漏洞
  • 出貨時程式做混淆,以增加攻擊者外帶程式回家研究的難度,防止更多安全性漏洞在短時間發生。
  • 主動學習常見的開發錯誤,在開發時注意安全 (e.g. 例如大部分網頁開發人員都知道的 OWASP Top10 )

我們應該建立什麼意識?

這篇鬼故事並沒有要表示便宜就是不安全,就連國際大廠都經常出現漏洞,

架構造成的資安問題其實也存在於大廠中,但人家修比較快,資安人員也比較喜歡挖他們漏洞。

不曉得為甚麼的,大多數人喜歡採用買斷的方式而不是訂閱制,當然 $$ 長期來說一定是有差,所以通常買了一兩年之後就不續約,畢竟設備/軟體能動,沒有續約沒有維護漏洞自然就擺在那邊,但駭客與攻擊者們最喜歡這些不更新的系統與設備了。

真的攻擊者特別是背後是國家支持的網軍最喜歡鎖定挖掘這類型的設備,但他們不會回報 CVE 只喜歡默默地挖掘。

企業採購設備/軟體應該要考慮資安的部分。近年來慢慢有將資安當作一個選標的一環,漸漸最低標比較少。這環節通常會將程式碼掃描、公司資安認證等證明納入考慮。但實際上看到結果,也不代表東西沒有問題,畢竟掃描工具百百種,誰能保證大家交出來的報告品質一樣呢?公司過了資安認證,但場域包含範圍呢?但總歸能交出來這些證明的公司,總比產不出來的人好些。

當我們自己開發軟體或購買他人軟體時,應該建立 SBOM (Software Bill of Materials),並清楚列出伺服器和套件的對應關係表,甚至建立當有重大套件漏洞與清單相同時自動提醒,以便在重要套件出現漏洞時,能夠第一時間進行修復或聯繫廠商進行修補,其實如果是自己在開發的話,現在很多 DevSecOps 的軟體或是 github 都有提供類似的服務。

avatar-img
22會員
9內容數
分享對於資訊安全的分析和評(吐)論(嘈),趨勢觀察、技術分析、觀點評論、科普教育,除了特別專業的網路安全分享,也會穿插一些科普文章與實體安全討論,歡迎分享給你的親朋好友,畢竟多了解一些安全也就多一份保障。
留言0
查看全部
avatar-img
發表第一個留言支持創作者!
駭客花生醬的沙龍 的其他內容
之前有許多機會與高中生與大學生分享資安的工作,其中大家最常問的是需要怎麼學資安,或是找工作該準備哪些技能?又有哪些出路等等一系列問題,所以我打算用問題集的方式來寫這篇文章。 必且只是給個方向,畢竟每個人要的或許都不同?
同一場活動,不同的人參加有不同的感想,有人覺得讚嘆,也有人覺得失望,強烈建議看完這篇的你親身去走一遭。 這篇文章將著重介紹一些大家在遊記中較少提及的部分。同時,我也要感謝公司提供機會讓我參加此活動! 希望這篇文章能給將來有意參加活動的朋友提供一些有用的知識。
這件事情是從 B.C. & Lowy 看到的翻譯影片『有個男子利用手機的無線分享功能,傳送「炸彈威脅」給多名乘客,最後飛機緊急降落,男子也隨即遭警方逮捕。』 有趣的是,我們看到警方落地後很明確知道他們要抓的是誰,雖然警方能夠獲得乘客名單,但他們怎麼知道是誰發的?這就激發了我的好奇心。
我們常常講要導入特權存取管理 (Privileged Access Management, PAM),將特權帳號收攏、集中管理。但特權存取管理解決方案真的有辦法達到防護效果嗎?對於合規有什麼作用?本文將聚焦於技術層面解析特權存取管理的定義與應用,並分析相關解決方案的優缺點。
你是否想過,如果哪些第三方服務突然中斷或是遭到駭客攻擊,會對你的單位造成什麼影響?本文會透過具體案例,解析資安事件發生時,駭客從攻擊服務供應商到進入單位內部的不同階段,並附上自檢表讓讀者迅速檢視自己是否對於供應鏈資安事件有所準備。
無論是線上匯款、帳戶申辦,還是購物結帳,在這個「無處不需要手機驗證碼」的世界,如果你還對「如何保護好手機號碼」沒概念,你可能會被盜刷一堆錢、背負莫名其妙的借貸債務、或是帳號被盜。 這篇文章會介紹關於 SIM 卡劫持攻擊與類似攻擊在台灣的發生案例,趕快來了解一下吧!
之前有許多機會與高中生與大學生分享資安的工作,其中大家最常問的是需要怎麼學資安,或是找工作該準備哪些技能?又有哪些出路等等一系列問題,所以我打算用問題集的方式來寫這篇文章。 必且只是給個方向,畢竟每個人要的或許都不同?
同一場活動,不同的人參加有不同的感想,有人覺得讚嘆,也有人覺得失望,強烈建議看完這篇的你親身去走一遭。 這篇文章將著重介紹一些大家在遊記中較少提及的部分。同時,我也要感謝公司提供機會讓我參加此活動! 希望這篇文章能給將來有意參加活動的朋友提供一些有用的知識。
這件事情是從 B.C. & Lowy 看到的翻譯影片『有個男子利用手機的無線分享功能,傳送「炸彈威脅」給多名乘客,最後飛機緊急降落,男子也隨即遭警方逮捕。』 有趣的是,我們看到警方落地後很明確知道他們要抓的是誰,雖然警方能夠獲得乘客名單,但他們怎麼知道是誰發的?這就激發了我的好奇心。
我們常常講要導入特權存取管理 (Privileged Access Management, PAM),將特權帳號收攏、集中管理。但特權存取管理解決方案真的有辦法達到防護效果嗎?對於合規有什麼作用?本文將聚焦於技術層面解析特權存取管理的定義與應用,並分析相關解決方案的優缺點。
你是否想過,如果哪些第三方服務突然中斷或是遭到駭客攻擊,會對你的單位造成什麼影響?本文會透過具體案例,解析資安事件發生時,駭客從攻擊服務供應商到進入單位內部的不同階段,並附上自檢表讓讀者迅速檢視自己是否對於供應鏈資安事件有所準備。
無論是線上匯款、帳戶申辦,還是購物結帳,在這個「無處不需要手機驗證碼」的世界,如果你還對「如何保護好手機號碼」沒概念,你可能會被盜刷一堆錢、背負莫名其妙的借貸債務、或是帳號被盜。 這篇文章會介紹關於 SIM 卡劫持攻擊與類似攻擊在台灣的發生案例,趕快來了解一下吧!
你可能也想看
Google News 追蹤
Thumbnail
我很鼓勵投資人不要只投資台股,對股市有一點熟悉度後,建議範圍擴況大到美股,甚至是投資全球。因為台股僅是單一國家/市場,如果能將資產投資到其他國家,風險會更分散,機會也更多,特別是美國股市。 美股會很難懂嗎?我相信你認識的美國企業可能會比台灣企業多,我從標普500成分股前15大企業裡隨便抓十
Thumbnail
美股因多家熱門話題與龍頭企業市值快速增長受到關注,本文介紹如何透過國泰世華CUBE App 開設台股及美股複委託帳戶、定期理財的便利性。 定期投資適合單筆資金有限、經驗不多的理財小白、上班族,或者忙碌、沒時間研究基本面的朋友,國泰世華CUBE App美股定額投資功能,操作便利性幾乎完勝海外券商。
Thumbnail
這是張老師的第三本書,我想前二本應該也有很多朋友們都有讀過,我想絕對是受益良多,而這次在書名上就直接點出,著重在從投資的角度來切入
Thumbnail
近期,我們可以從媒體上看到兩起資安事件分別在KKday和京鼎公司發生,前者是被前員工從內部搞鬼而被竊密,後者是被外部駭客攻破防線而受到勒索。 除了資安防護的重要性可見一般,還凸顯企業在資安防護上必須要有全方位的準備。更建議從法遵的角度,對於資安風險管理進行積極且全面地落實,以提升自身資安防護環境。
Thumbnail
相信大家對於『.zip』以及『.mov』這兩個結尾都不陌生,但你確定你眼前的,真的是你要的檔案嗎?
Thumbnail
過去一些成果是不是表示台灣是否已經成功培養出能提升其資安國力所需的資安產業人才?其實答案是否定的。真正能開發資安工具自動化的人才對系統軟體(如作業系統、編譯器、虛擬機監視器)、資安攻防手法、人工智慧技術通常有多年浸淫的實戰經驗,也將是台灣資安產業能否破繭而出的關鍵研發力量。
Thumbnail
今年三月科技成長股大調整時,我寫過一篇文章推介CRWD,至今其股價已漲了七成。上周,雲端安全板塊好消息連發,包括CRWD被納入成為Nasdaq-100成份股和白宮會議等,帶動CRWD和ZS齊創新高。本篇文章會介紹「下一代資安」的三大面向、不同公司的競爭與合作狀況,以及我投資這板塊雲端安全公司的策略。
Thumbnail
觀察這九間台灣主要的資安公司,會發現絕大多數都還是以硬體為主。分享一下自己的觀點與適合的投資方式 資安大廠代理商:  零壹(3029)、敦陽科(2480)、聚碩(6112)、凌群(2453)、精誠資訊(6214)。 偏硬體相關:  立端(6245)、是方(6561)、瑞祺電通(6416)。
Thumbnail
延續上篇的內容,這期跟大家分享對於剩下幾間公司的心得跟想法。 資安大廠代理商: 零壹(3029)、敦陽科(2480)、聚碩(6112)、凌群(2453)、精誠資訊(6214)。 偏硬體相關: 立端(6245)、是方(6561)、瑞祺電通(6416)。
Thumbnail
安碁資訊是目前台股中最純粹資安概念股,也是國內最大SOC(資安監控中心)業者,服務對象以政府部門為主,占比有6至7成,其次是金融業與製造業。
Thumbnail
資安產業相關的發展,還有疫情對資安的影響,接著分享了一些國際資安大廠與觀察 00875 ETF,再來上一期是政府的資安產業推動計畫。 這期主要針對一些台股中的資訊安全相關的公司做一下觀察,當然礙於篇幅的關係,主要針對安碁資訊與零壹做深度的觀察,其他大概大略知道一下概況。 台股
Thumbnail
延續前幾期的資安議題,這次來討論一下台灣資安產業發展。其實大家可能不知到資安產業其實是政府產業發展的主軸之一。 一起來發現看看台灣在資安上的商機在哪裡。就好像先前我們在5G價值投資裡面有提
Thumbnail
「資安即國安」,政府於2018年九月在國家安全會議發布我國首部資安戰略報告,為數位國家、創新經濟奠定基礎。2020年受到新冠肺炎疫情影響,線上會議需求、員工被隔離、在家工作需求增加,資訊安全產業市場規模逐年擴大,本篇針對資安產業的系統整合商(敦陽科)與資安服務商(安碁)進行財報價值評估。
Thumbnail
我很鼓勵投資人不要只投資台股,對股市有一點熟悉度後,建議範圍擴況大到美股,甚至是投資全球。因為台股僅是單一國家/市場,如果能將資產投資到其他國家,風險會更分散,機會也更多,特別是美國股市。 美股會很難懂嗎?我相信你認識的美國企業可能會比台灣企業多,我從標普500成分股前15大企業裡隨便抓十
Thumbnail
美股因多家熱門話題與龍頭企業市值快速增長受到關注,本文介紹如何透過國泰世華CUBE App 開設台股及美股複委託帳戶、定期理財的便利性。 定期投資適合單筆資金有限、經驗不多的理財小白、上班族,或者忙碌、沒時間研究基本面的朋友,國泰世華CUBE App美股定額投資功能,操作便利性幾乎完勝海外券商。
Thumbnail
這是張老師的第三本書,我想前二本應該也有很多朋友們都有讀過,我想絕對是受益良多,而這次在書名上就直接點出,著重在從投資的角度來切入
Thumbnail
近期,我們可以從媒體上看到兩起資安事件分別在KKday和京鼎公司發生,前者是被前員工從內部搞鬼而被竊密,後者是被外部駭客攻破防線而受到勒索。 除了資安防護的重要性可見一般,還凸顯企業在資安防護上必須要有全方位的準備。更建議從法遵的角度,對於資安風險管理進行積極且全面地落實,以提升自身資安防護環境。
Thumbnail
相信大家對於『.zip』以及『.mov』這兩個結尾都不陌生,但你確定你眼前的,真的是你要的檔案嗎?
Thumbnail
過去一些成果是不是表示台灣是否已經成功培養出能提升其資安國力所需的資安產業人才?其實答案是否定的。真正能開發資安工具自動化的人才對系統軟體(如作業系統、編譯器、虛擬機監視器)、資安攻防手法、人工智慧技術通常有多年浸淫的實戰經驗,也將是台灣資安產業能否破繭而出的關鍵研發力量。
Thumbnail
今年三月科技成長股大調整時,我寫過一篇文章推介CRWD,至今其股價已漲了七成。上周,雲端安全板塊好消息連發,包括CRWD被納入成為Nasdaq-100成份股和白宮會議等,帶動CRWD和ZS齊創新高。本篇文章會介紹「下一代資安」的三大面向、不同公司的競爭與合作狀況,以及我投資這板塊雲端安全公司的策略。
Thumbnail
觀察這九間台灣主要的資安公司,會發現絕大多數都還是以硬體為主。分享一下自己的觀點與適合的投資方式 資安大廠代理商:  零壹(3029)、敦陽科(2480)、聚碩(6112)、凌群(2453)、精誠資訊(6214)。 偏硬體相關:  立端(6245)、是方(6561)、瑞祺電通(6416)。
Thumbnail
延續上篇的內容,這期跟大家分享對於剩下幾間公司的心得跟想法。 資安大廠代理商: 零壹(3029)、敦陽科(2480)、聚碩(6112)、凌群(2453)、精誠資訊(6214)。 偏硬體相關: 立端(6245)、是方(6561)、瑞祺電通(6416)。
Thumbnail
安碁資訊是目前台股中最純粹資安概念股,也是國內最大SOC(資安監控中心)業者,服務對象以政府部門為主,占比有6至7成,其次是金融業與製造業。
Thumbnail
資安產業相關的發展,還有疫情對資安的影響,接著分享了一些國際資安大廠與觀察 00875 ETF,再來上一期是政府的資安產業推動計畫。 這期主要針對一些台股中的資訊安全相關的公司做一下觀察,當然礙於篇幅的關係,主要針對安碁資訊與零壹做深度的觀察,其他大概大略知道一下概況。 台股
Thumbnail
延續前幾期的資安議題,這次來討論一下台灣資安產業發展。其實大家可能不知到資安產業其實是政府產業發展的主軸之一。 一起來發現看看台灣在資安上的商機在哪裡。就好像先前我們在5G價值投資裡面有提
Thumbnail
「資安即國安」,政府於2018年九月在國家安全會議發布我國首部資安戰略報告,為數位國家、創新經濟奠定基礎。2020年受到新冠肺炎疫情影響,線上會議需求、員工被隔離、在家工作需求增加,資訊安全產業市場規模逐年擴大,本篇針對資安產業的系統整合商(敦陽科)與資安服務商(安碁)進行財報價值評估。