六個步驟讓Web應用程式更安全

資料來源: OWASP

1. 建立溝通管道Build a community: Large enterprises like the Federal government are particularly prone to the silo effect; a simple intranet site that's well managed can work wonders to leverage the expertise throughout an entire Department.

2. 分享專業知識Spread the expertise: Right now the majority of what application security knowledge exists within security groups. This is a good start but ultimately the programs build and fix the applications; staff them with experts, too.

3. 在工具上思考Think beyond tools: While tools can automate certain assessment tasks, realize that they only assist with a portion of your assessments. Even then, assessments are just one portion of an assurance program.

4. 提供指引手冊Provide guidance: Developers want to build secure, compliant software; they just don't always know how. Make standards, requirements and reference models available to your programs.

5. 不斷檢測Don't wait to test: Late-cycle testing under release pressure is stressful on the program and testers alike. Start testing earlier in the cycles and involve your assessment team in the scheduling.

6. 持續觀察審視Zoom-in your continuous monitoring: A "minor" application change can fly through change control but create huge vulnerabilities. Scrutinize changes to applications carefully, particularly Internet-facing or other high-risk systems.

SSL 連線可以被當中間人

這對我們賣資安設備的人來說實在是很大的影響!!

因為我們幾乎所有的設備的管理都是透過遠端連線，如果HTTPS這種看到"金鎖頭"的連線

可以被用來Man-in-the-middle，哇~我很難很想像目前專做SSL-VPN的廠商如何因應這個消息的公佈!!?

下面是Networkword Security的文章:
http://www.networkworld.com/news/2009/110509-ssl-hole-cracks-open-secured.html

大意是說，PhoneFactor(提供手機雙因素認證的公司)的團員發現這個弱點，他們發現任何透過SSL加密的連線都存在這個弱點，目前還在進行Patche的開發中還未更新出來，這個弱點可以在已經加密的連線上輸入指令搶劫這個連線，讓駭客坐在中間，聽、看、編改兩端的通訊。

真的恐佈的漏洞呀~

在CentOS下設chkconfig

只有一沒設就會忘記~~以把apache為例:

設定Apache一開機就執行:
chkconfig --level 35 httpd on

檢示設定狀況:
chkconfig --list httpd

資訊收集網站(Information Gathering Webs)

1.歷史網站資料(ArchiveOrg):
http://www.archive.org/index.php
說明: 收集網站歷史資料的網站，真是很特別~可以用來收集網站的歷史資訊。

2.個人資訊收集(Yahoo):
http://people.yahoo.com/
說明: 輸入名字就可找相關資料。

3.個人資訊收集(Intelius)
http://www.intelius.com/
說明: 輸入名字就可找相關資料。

4.Google大神:
http://www.google.com
說明: 想找啥就打啥!

5.人力銀行:
1111
104
YES123
說明: 用來找公司相關資訊用

弱點更新網站(Vulnerability Research Website)

弱點更新網站，可以定期了解有哪些弱點可能會危害環境資安:

1.美國電腦緊急處理中心(US-CERT):
http://www.us-cert.gov
說明: 在首頁左邊有最近安全等級的圖示，可以了解現在的安全狀況，
也可以定期看他們的Report，做的都很不錯^^

2.常見弱點公佈網(CVE - Common Vulnerabilities and Exposures):
http://cve.mitre.org
說明: 不論做黑箱、灰箱、白箱的測試，基本上弱點說明都是參考到這邊的。

3.資安追查者(Securitytracker):
http://www.securitytracker.com
說明: 跟CVE很像的弱點列示網站。

4.微軟(Microsoft):
http://www.microsoft.com/security
說明: 電腦的老大哥，這應該不用說太多，去看就知道啦~

5.資安團隊(Securiteam):
http://www.securiteam.com
說明: 就是有人這麼熱心，自組的資安團隊，定期更新資安訊息。

7.封包風暴(PacketStormSecurity):
http://www.packetstormsecurity.com
說明: 更新最新的安全弱點、安全工具的非營利組織。

8.駭客風暴(HackerStorm):
http://www.hackerstorm.com
說明: 最屌的還是下載他們免費的OSVDB(Open Source Vulnerability Database)，可以離線查尋CVE的弱點與說明。

9.駭客觀測網（Hackerwatch）：
http://www.hackerwatch.org
說明: 利用McAfee的ClientFirwall了解全球目前主要危害Port的統計、及潛在目的與來源網址。

10.資安者(Secunia):
http://secunia.com/
說明: 每天數千條弱點資訊更新，還提供個人PC的線上掃描服務。

11.H區域(Zone-H):
http://www.zone-h.org/
說明: 這應該不用說了~全球的駭客駭到網站後都會把戰利品貼到這裡，所以這裡有最新的被駭網站資訊。

12.毫蟲(milworm):
http://www.milw0rm.com
說明: 入侵手法的資料庫網站，將弱點與入侵結合的網站。(請勿用於非法用途!!)

為什麼可以看的到HTTPS流量?

由於我們代理IronPort設備，客戶有這個需求，最近去了解~

在k手冊之前，我一直很懷疑，真的有東西可以看到所有Https的流量嗎?
中間不都是加密?是如何破解每一個加密連線，而進行內容過濾與判斷??太神奇了啦!!

看完手冊後我才發覺，原理簡單的讓人流口水~
它跟本沒有去進行所謂"解密"的動作，只是當過"中間人"，啥咪是中間人??

比如說兩個人在講電話，這兩個人講話中間的連線經過處理，會將聲音進行唐老鴉聲音的轉話，
所以如果你從中間的連線去聽的話，除非你是唐老鴉，否則聽不懂鴉話@@

而IronPort-S的原理就是，他不是去學習鴉話，而是當個中間人，流程如下:
A在打電話給B之前，會先打電話給我，我再將A的話轉給B，B要回話給A之前會先跟我說，
我再轉給A，也就是說我是個"傳話者"，架構如下:
A---(我)---B

這就是為什麼IronPort-S不需要懂唐老鴉的語言…嗯~是不需要懂得每一個連線的解密原理。

這個解密原理可以運用在目前市面上所有可以解HTTPS的設備上，而目前這些設備都同樣有一個限制!
那就是使會者在連線到目的URL之前會看到一個憑證錯誤的畫面，使用者必需點選"繼續流覽"
才可看原本的網頁。

原理就是HTTPS在進行加密連線之前會先發一個憑證，來告訴你"沒錯!你連進來的就是我的網站，這是我的證明憑證"。
在一個A像B網站流灠時，(我們當個中間人)，會假裝自已是A向B網站要馮證，然後再模訪B網站的憑證發給A，所以A所流覽的網站是"我"，而不是B網站，這時就會出現"憑證錯誤"，原因是A使用者要看B網站的馮證，但拿到的憑證卻是我模仿後發給A的，所以這證明~~~憑證真的很屌!!

要解決這個問題有一個辦法，那就是把目的網站的馮證匯入ironPort-S，比如你知道環境內的使用者就是只會看這1000個網站，那就是花時間去收集這一千個網站的馮證，然後匯進IronPort-S，那使用者看到的馮證就不再只是我們仿造後發的，而是真實該網站的憑證~~

只是~~收集這麼多網站的馮證應該不是我們的工作，而是原廠!!
所以啦!可以預見，未來HTTPS廠商的勝敗就在於誰能收集最多合法網站的馮證，且定期更新!!

讓小紅傘不再跑出廣告

由於沒錢買防毒，應該說…不覺得有必要花錢買防毒，於是就持續用還不錯用的免費防毒。

每次在更新時它都會跑出廣告畫面，這個功能要關閉要在付費版才有…但是~~

做資安怎麼就這麼妥協??

還有有同事(信凱)的協助，原來只要移掉一個.exe檔就可以了，路徑如下:

C(安裝槽):\Program files\Avira\AntiVir Desktop\avnotify.exe