【用戶】111郵專一，地特四資訊正
【年級】國三下
【評論內容】1.權限控制失效 我比較喜歡叫存取控制失效比較好記不然容易跟第7名的"認證與驗證失效"搞混總的來說就是對於使用者權限沒設定或是設計錯誤包含檔案權限管理，例如我預計發倒數圖片，一天一張001.jpg、002.jpg等，結果大家只要把網址的1、2修改就可以看到其他張倒數圖或是論壇中遊客可以看到管理者的控制頁面等...2.加密機制失效機敏資料沒加密或是加密機制過弱例如[問卦] 有沒有檢舉代號base64的八卦?這是標準的加密機制失效這種場合只要把身分證字號碼掉4碼就好，去識別化這樣就夠了3.注入攻擊大家耳熟能詳，我覺得不用解釋了4.不安全設計程式碼設計有缺陷，更多的是邏輯設計缺陷以遊戲來講就是可以複製物品，或是洗錢之類的BUG以網購來講就是買東西不用付押金，最後取消購買導致賣家損失5.安全設置缺陷使用預設設定，預設密碼，埠口沒有做白名單設定6.使用危險元件或過舊元件使用來路不明的插件、軟體及元件使用的插件、軟體及元件版本過舊或是已經停止支援例如WIN7、SERVER2012，微軟已經停止支援的現在Windows 10 的最終版本是版本 22H2，將於 2025 年 10 月 14 日終止服務。只要發現漏洞都無法進行修補，容易成為駭客目標所以只要聽到什麼繼續用WIN7，應該要嗤之以鼻這才是資訊人員該有的警覺心或是RAR沒有即時更新版本，被駭客使用漏洞攻擊WinRAR零時差漏洞已被濫用，受害者點擊無害檔案就安裝惡意程式7.認證與驗證失效通過認證卻無法認證是不是本人最常發生的是密碼填充、憑證填充要不然就是密碼過弱，把密碼跟別人講(被別人偷窺)但現在越來越多企業使用二階段驗證，名次才會下降這麼多8.軟體及完整性驗證失效網頁、軟體被修改過無法驗證該完整性例如總統府網頁被插五星旗加料的APP給網友下載中國駭客在臺灣論壇散布假「Whoscall」破解版，暗藏間諜軟體，該討論串已有10萬瀏覽次數9.日誌不足與監控失效也就是日誌沒有儲存，或是儲存的訊息不夠辨識沒有人員定期監控、查看日誌這個會越來越高，一般組織根本沒概念，查看LOG也是很繁重的工作但通常不會派專員不過現在直接外包SOC比較多了...10.伺服器端請求偽造也就是CSRF與SSRFCSRF是伺服器端過於信任使用者端提供的連結，沒有經過網路軌跡，直接到達網址以銀行來說我在PC登入了網路銀行然後又在PC開啟了惡意釣魚路過式郵件中了隨機播撒的程式碼，程式碼就是某銀行轉帳執行指令因為還在登入狀態，銀行沒驗證直接認定是使用者行為解決方法：追蹤TOKEN，機器人測試SSRF也是伺服器過分信任使用者，不過受害的是伺服器端例如我提供一個輸入網址我幫你翻譯的網站服務此時使用者提供了一個充滿惡意指令的網頁網址伺服器讀取後就會執行內容，導致伺服器資料被閱覽、新增、修改、刪除或是被劫持這東西會越寫越起勁...大家隨便看看吧，一個選擇題而已