專家專欄

    網站程式在商業世界扮演著重要角色,從網上商店到公司內部系統都離不開開發網站。然而,隨著針對網站的攻擊不斷湧現,單純的網站開發技能,已不足以應對日益複雜的安全挑戰。因此,近年越來越多公司聘請專家,為自家網站作漏洞測試。

    網站漏洞測試是通過模擬黑客攻擊,來識別系統的缺陷,與網站開發相比,漏洞發掘更側重於對網站各組成部分的深入理解。測試員需要深入剖析網站的運作原理,從細微之處發掘潛在的安全隱患。擁有網站開發經驗的程式員,在理解和識別系統脆弱性方面具備天然優勢。為進入網站滲透測試領域奠定了堅實的基礎。

    尋找漏洞需要深入學習網站常見的安全性問題,如 SQL 注入、跨站腳本(XSS)等。透過並瞭解網站漏洞的成因、並擴展知識領域至資料庫管理、網絡基礎以及互聯網協定,將有助於更好地理解資料傳輸機制以及其潛在的攻擊手段。

    同時,熟悉 Linux 作業系統與其命令行操作模式,也是關鍵技能,因為大多數測試工具和網站伺服器都基於 Linux 平台。日常 Linux 上的操作如查看系統日誌、伺服器參數、管理使用者許可權等操作,在滲透測試過程中同樣需要,透過學習相關知識能更深入地瞭解系統的運行機制和潛在的安全風險。

    如想淺嘗如何發掘網站漏洞,在 Hack The BoxTryHackMe 等平台,有不同的漏洞模擬系統可用作學習,並透過接觸不同類型的漏洞掌握滲透測試技能。

    持續進修是轉型過程中不可或缺的一部分。欲想學習更多有關尋找網站漏洞的發掘技術,歡迎報讀由香港資訊科技學院(HKIIT)舉辦的網頁程式滲透測試證書課程,由業界專家教授學員實戰技術,詳細講解不同的攻擊工具與識別網站的漏洞,助學員成為市場炙手可熱的道德白帽黑客(Ethical Hacking)人才。

    作者:Kinsey NG
    香港資訊科技學院(HKIIT)網絡安全中心講師、研究範圍包括黑客攻擊技術、黑色產業。並透過模擬各種企業攻擊場景,提供校內與企業網絡安全培訓。

    唔想成為下一個騙案受害人?

    網絡安全公司Green Radar聯同 wepro180 最新推出《網安 2 分鐘》,一系列影片助你自學網絡安全招數,遠離詐騙,安全意識輕鬆 Level Up!立即去片:https://www.wepro180.com/cybersafety/

    網絡詐騙案件不斷增加,無論是個人抑或是各行各業,都可能成為騙徒的目標。為協助公眾識別網絡陷阱及預防詐騙,政府資訊科技總監辦公室(OGCIO)、香港警務處(HKPF)及香港電腦保安事故協調中心(HKCERT)合辦「全城攜守 網安在手」網上研討會,由資訊保安專家分享網絡世界中的隱患,以及可採取的網絡安全措施。

    立即報名

    領導中國網絡安全行業技術創新的供應商山石網科(Hillstone Networks),銳意深耕港澳,繼獲各界高度評價的下一代防火牆外,最新引進 4 大產品到港澳,並以港澳精英打造全新本地化團隊,與總代理、戰略合作夥伴攜手努力,以中國力量守護港澳數字安全。

    信創對港澳地區至為重要

    山石網科上周於 W Hotel 舉行《山石港澳客戶及合作夥伴峰會》,以「山石有信.共創未來」為主題,獲逾 200 名政府、科技行業及合作夥伴踴躍參加。峰會由山石網科董事長暨 CEO 羅東平的演講揭開序幕,暢談早於 2007 年創立的山石網科,技術穩定紮實,一直堅守「技術信仰者」的初心,至今業務已遍布 60 個國家及地區,擁有逾 28,000 個客戶,包羅政府、金融、教育、醫療、互聯網等各大行業。作為國家信息安全漏洞庫漏洞信息共享合作單位,山石網科多個產品更入選 Gartner®、Forrester 等分析機構報告,在國內及國際均獲高度認可。

    《山石港澳客戶及合作夥伴峰會》獲 200 名嘉賓參與,場面熱鬧。

    信創,即信息技術應用創新,是數據安全、網絡安全的基礎。羅總訪問時談及到,信創在港澳地區是重要的一環,同時帶來特別的機遇。山石網科具備硬件設件與軟件研發的技術優勢,從芯片、主板、操作系統至應用,全數出自山石網科之手,為客戶提供完整的網絡安全解決方案、全面的安全保證。羅總表示,山石網科的技術能與全球首屈一指的供應商匹敵,可幫助港澳市場的信創,甚至以香港為中心出發點,幫助出海的中資企業的信創。

    談及到網絡安全人才短缺問題,山石網科首席營運長葉海強表示,山石網科一直有跟內地著名學校舉辦實習生計劃,未來亦十分願意跟香港特區政府聯手在大學推出相類計劃,為人才儲備出一分力,並期望山石網科能成為網安年輕人喜歡的品牌。

    Hillstone 董事長暨 CEO 羅東平認為 Hillstone 的技術可幫助港澳市場的信創。
    組建本地化精英團隊

    為鞏固並擴展香港市場,山石網科最新成立本地化團隊,聘請本地精英,取代一直以來所依靠的海外團隊,從團隊、市場、產品、夥伴和服務進行全方位資源投入,為港澳網絡安全市場提供更強、更專業、更全面的服務。山石網科副總裁兼港澳負責人趙京璽接受訪問時指出,除了一直在港澳深受用戶歡迎的下一代防火牆外,山石網科亦會引進四大新產品,包括數據泄露防護(DLP)、網絡安全審計(ICM)、終端安全管理系統(UES)及威脅情報中心(CloudVista),「相當於從端到端,不管是橫向還是縱向,都拓展到我們的安全解決方案」。

    趙總強調,香港與中國內地的產品內核是相同的,但在操作界面及宣傳手冊上,則會新增英文及繁體中文,令產品更貼近港澳商業環境及文化。售後在線服務方面,亦會在普通話及英語外,新增粵語選項,務求令用戶感到更「同聲同氣」。

    山石網科一直專注中國內地市場,至 2015 年開始到海外發展,山石網科高級副總裁、首席技術專家楊慶華憶述,當時他們的第一大障礙是應用識別。楊總以內地盛行的 QQ 為例,山石網科為 QQ 設置了 27 個功能,非常仔細,然而,他們在海外市場講述該功能時,卻發現其他國家並不流行使用 QQ,於是他們立即在美國設立應用識別中心,專門研發海外市場的應用識別。楊總指出香港屬兩個融合的地方,既會用中國內地的,亦會用海外的,對產品開發、功能需求都不一樣,故特別設立專門針對港澳服務團隊。

    政府樂見 Hillstone 注入新活力

    峰會亦邀請了政府代表——投資推廣署信息及通訊科技總裁周寶芬作演講嘉賓,分享企業成功進駐香港的心得。周認為「本地化」正是海外及內地企業在港開業及擴展的成功要素之一,故十分鼓勵這類企業聘請本地員工,她相信不單是語言、文化、思維、做事手法的不同,還有本地員工在香港的人脈,也會為這類企業帶來莫大幫助。

    近一年來,進駐香港的網絡安全內地企業明顯增多,周表示十分樂見山石網科投放更多資源到香港市場,為創科生態注入新活力。事實上,大部分內地出海企業都會先以香港作為拓展業務首站,再進一步擴大市場,向成為國際知名品牌的目標邁進,周指出香港是國際化城市,香港客戶對產品及服務亦有相當高要求,笑指「你在香港做得好,接著去東南亞(擴展業務),你的路會走得比較順利」,但最重要的始終是「本地化」。而香港政府將會繼續配合國家政策,以成為創科中心為目標。

    投資推廣署信息及通訊科技總裁周寶芬(左)接受訪問時表示,本地化對進軍香港的企業相當重要。
    國產化產品在港有發展潛力

    峰會期間,舉行了合作夥伴授牌儀式,向 Sino Bridge、ACW、SVA 三大總代理,以及 15 位戰略合作夥伴授牌。趙總指出山石網科有多種類型的合作夥伴,包括技術類、服務類、商務類,以幫助他們開拓香港市場。身為其中一間總代理,ACW 行政總裁 Andy Lau 表示中資品牌近年發展迅速,技術媲美外國品牌,在香港市場的認受性越來越高,認為正是進駐香港的好時機。山石網科產品成熟且廣泛全面,計劃未來會因應不同行業需要推介合適產品。

    另一總代理 SVA 創辦人兼總經理 Timothy Liu 則讚賞山石網科技術實力雄厚,看好數據泄露防護(DLP)會受到香港企業用戶歡迎。他認為山石網科在香港設立團隊,充分反映其投資決心,令客戶更有信心選用其產品。

    作為戰略合作夥伴,NTT 打從中國市場開始便與山石網科合作,將山石網科產品與 NTT 的解決方案及服務融合,客戶包括全球跨國企業、大型企業、出海企業等,如今更將合作模式再擴展到香港市場。NTT 中國/香港/澳門首席執行官陳志宏相信,國產化產品在香港有發展潛力,是次合作能滿足香港對信創、對數據安全的需求,又認為跟山石網科在香港的合作不限於技術層面,還有在研發、生態上會有更多合作,並進一步提升服務能力。

    展望 2024 年,山石網科將重點聚焦政府、金融、電信營運商、教育及醫療等主要行業,繼續堅持「科技為本,生態為先」的協同戰略,期待與更多志同道合的夥伴攜手,共同打造一個安全、可靠的網絡環境,為港澳客戶提供卓越的網絡安全解決方案。

    去年被美國政府拘捕的前 Amazon 安全工程師 Shakeeb Ahmed,曾於成功透過操控智能合約的漏洞,從兩個加密貨幣交易所盜取 1,200 萬美元。上星期正式被判處三年監禁,同時沒收所有詐騙得來的金錢,成為首宗因濫用智能合約被定罪的個案。

    隨著區塊鏈科技興起,去中心化金融(DeFi)成為一種新興的金融技術,這種技術可以擺脫傳統金融機構對貨幣、金融產品的監管,而且交易的透明度高,交易速度亦較傳統銀行快,所以發展潛力極大。

    由於相關的交易不受監管,借貸亦不需要有資產抵押或當事人背景審查,所以容易發生騙案,而智能合約(smart contract)便是用於減低詐騙風險的手段之一,以貸款為例,一旦借款人無法履行合約內容,例如支付利息或還款,智能合約可自動取消之前的交易,某程度上可保障貸款人的安全。

    不過,由於智能合約都是新興技術,所以並非所有人都能完全熟悉其操作,並察覺到是否有漏洞存在,因而讓黑客有機可乘。過往便有不少針對智能合約發動的攻擊,當中閃電貸(flash loan)攻擊就是熱門手段,Shakeeb 犯下的其中一宗個案,便透過濫用 Nirvana Finance 加密貨幣交易所的智能合約漏洞賺錢。

    該智能合約的設計原理是,當平台發現 ANA 的購買量增加時,價格便會提升,但 Shakeeb 發現當中漏洞,可以初始價格借出大量 ANA 幣,並在更新價格以高價將 ANA 幣賣回平台,閃電賺取約 360 萬美元的 ANA 加密貨幣差價,同時亦是 Nirvana Finance 的所有資產。

    成功騙取款項後,Shakeeb 向平台提議轉為白帽黑客,即只要平台答應將 360 萬美元當中的 140 萬美元作為賞金獵人的獎金,以及承諾答應不會報警,便會將餘款交還平台。不過由於 Nirvana Finance 拒絕建議,因此平台亦宣告倒閉。涉案的另一個匿名平台亦被 Shakeeb 以相同手法勸誘交易,據知起初平台答應提議,從被盜的 900 萬美元中撥出 150 萬美元作為「賞金」,但在歸還款項後,平台疑仍向美國執法部門作出舉報,最終才成功將 Shakeeb 緝捕歸案。

    Shakeeb 被捕後,執法部門指出他曾利用多個加密貨幣交易平台洗金,又曾將加密貨幣兌換成其他較難追蹤身份的貨幣如門羅幣,大大增加搜證難度。但當局指,這次個案可顯示無論過程如何迂迴,被捕歸案將是這些騙徒的最終結局,警告潛在犯罪份子切勿以身試法。

    而經過多次智能合約攻擊事件,現時這類平台已引入更多機制防止騙案發生,例如使用 Blockchain oracle 預言機更快地找出加密貨幣的真實價格,或加了時間加權平均定價去計自出貨幣的平均值,雖然某程度上會影響交易的速度,但就可減少黑客利用時間差進行攻擊。

    資料來源:https://www.bleepingcomputer.com/news/security/ex-amazon-engineer-gets-3-years-for-hacking-crypto-exchanges/

    唔想成為下一個騙案受害人?

    網絡安全公司Green Radar聯同 wepro180 最新推出《網安 2 分鐘》,一系列影片助你自學網絡安全招數,遠離詐騙,安全意識輕鬆 Level Up!立即去片:https://www.wepro180.com/cybersafety/