, HITCON Pacific 2016 - The Fifth Domain: Cyber | Homeland Security

課程摘要 Course Description

Web Security 一直都是網頁開發者所要面對的問題，面對層出不窮的威脅，增進自身能力並廣泛了解成因是刻不容緩的事情。

在進階班中，首先從 OWASP TOP 10 快速複習目前常見的網頁漏洞，且帶入講師自身遇到的案例及這幾年實際發生過的資安事件作為延伸以增加學員的深度及廣度。接著分享近幾年新的網頁開發工具或技術可能所帶來的新攻擊型態，以及這些新的手法對於黑帽駭客來說是如何觸發新一波的攻擊層面。最後會提及目前針對 Web Security 所提出的因應方法及理論，以及未來我們如何用更聰明的手法來杜絕這些危害。

課程大綱 Course Outline

  1. OWASP TOP 10 (快速複習每個漏洞的定義)
  2. Lab 1 : Mutated Not-so-Easy practices
  3. 看真實世界中發生的案例 (避免重蹈覆徹)
  4. Lab 2 : Hands-on practices part 1
  5. 近年網頁新技術所帶來的新攻擊姿勢 (及修不完的洞 QQ)
  6. Lab 3 : Hands-on practices part 2.
  7. 自動化網頁弱點挖掘的可能性及未來
  8. 如何加強網頁安全，淺談現在及未來防禦方的新理論 (及實現的可能性 Orz)
  9. Lab 4 : Attack against your neighbors (with講師的工具:D)

本訓練課程不使用常見的弱點網站 (DVWA, WebGoat 等) 作為學員課後的練習，而是以講師開發的工具取代之。這在課後練習的時候將會非常有趣(笑！)

學員需備的先修技能 Prerequisite skills for the course

針對課程內容：
- 懂 html, javascript
- 了解網頁 request & response 的流程
- 想在網頁安全領域了解更多更深的人

針對講師的工具：
- 懂 python
- 懂 docker

對於想要學習更多更深入的學員：
- 有開發網站的經驗
- 有碰過任意前端框架
- 有開發工具的經驗

學員需自備的工具 What students should bring

筆電要求：
Ubuntu 環境 (14, 16皆可)，並安裝好 docker。

講師簡介 Speaker Brief Introduction

蘇學翔 (SYUE-SIANG SU) a.k.a. Boik
兩年前進入資安領域後專注研究網頁安全，並在中山大學積極推廣資安及 CTF 競賽，最近常棲息於 github 為開源社群貢獻一己之力。
經歷有 TDOH 系統研發組、F-Secure 獵駭行動 第四名 (4th place)、Vulreport 第一屆漏洞通報積分賽 第二名 (2nd place)、Bamboofox's member 等。