年度十大網站攻擊技術公布，臺灣滲透測試專家研究獲第一

對於網站安全的議題，除了關注每年OWASP歸納出的十大網頁應用程式安全風險之外，每一年，我們也都會看到許多安全研究人員，透過會議演講、部落格文章、白皮書、影片與社群，分享在網站安全領域上的各式攻擊技巧發現，令人目不暇給，難以判斷優劣。

今年10月，2017年度10大網站駭客技術手法正式出爐，統整了該年度領域專家認為最具創新的研究，也是網站安全值得關注的新防護面向，特別的是，獲得第一名的網站攻擊技術──SSRF的新時代，是由臺灣的安全研究人員Orange Tsai（蔡政達）所提出。

從37項提名獲得第一，臺灣資安專家持續在國際揚名

今年公布的10大網站駭客技法，是由網站安全公司PortSwigger舉辦，知名的Web安全工具Burp Suite就是出自他們之手。該公司首席研究員James Kettle是這個領域的知名專家，也是這次活動的主要推手，他在7月開始發起活動，並在社群上接受提名，8月再從37項提名發起社群投票選出候選名單，接著9月再由專家小組從候選名單決定前十名，最終在本月11日公布結果。

其中，由Orange Tsai發表的「A New Era of SSRF」，針對伺服器端請求偽造（SSRF）這個漏洞，由於是從舊有攻擊技術中提出新的方向，因該研究其創新與影響力，從37項提名脫穎而出，成為年度最佳技術。

事實上，關於這樣的活動，自2006年開始，首先是由前Yahoo資安長、WhiteHat Security創辦人Jeremiah Grossman，在他的部落格上開始推動，一開始他與Matt Johansen兩人籌畫，並與社群Information Security Community合作，希望藉由選出10大關注焦點，引起人們興趣，並關注到該領域的創新研究。畢竟，每年公布的網站攻擊技術數量不少，雖然內容五花八門，但可能讓人忽略一些非常有價值的漏洞問題。

在2011年時，這項活動轉移到WhiteHat Security公司舉行，不過，在2015年後一度停辦。但這個維持10年的活動，其實為網站安全研究人員提供了寶貴的資源，成為網站安全人員每年必讀的知識庫之一。今年由James Kettle重新發起，同時也獲得Jeremiah Grossman與Matt Johansen的支持，讓這項活動得以延續，以鼓勵研究人員的新發現，以及促進網站安全領域發展。

而這次出身臺灣的資安研究人員所提出的技術入選，也再次突顯出我們的專家在國際上的發光發熱。關於Orange Tsai，他是臺灣企業資安領域相當知名的滲透測試專家之一，舉例來說，過去他扮演過獎金獵人的角色，參加各大廠商舉辦的漏洞獎勵（Bug Bounty） 計畫，例如Google、Facebook、Apple、Yahoo、Uber與eBay，幫助企業尋找漏洞並回報。

他也擔任臺灣HITCON戰隊隊長參與全球網路攻防競賽，最近並連續兩年，在美國拉斯維加斯舉行的黑帽大會（Black Hat）等知名資安大會擔任講師，分享最新的技術研究，目前他擔任臺灣資安公司戴夫寇爾（DEVCORE）顧問一職。

關於這次獲得網站安全領域人士的肯定，他本人也相當意外，因為其他提名項目也很出色，而這個攻擊技術之所以拿下第一名，他認為有兩個可能重點，首先是提供了一個「新的方向」，去繞過以往企業對於SSRF漏洞的保護機制。

他進一步解釋，這個攻擊漏洞並非一般針對保護機制不足而採用的繞過方式侵入，而是從程式語言上及層次架構上的問題入手。舉例來說，找到程式語言上的問題，即使開發者上層的程式碼寫的再好，但因為出問題的地方是在底層的部分，這也意謂著還是可以被攻擊突破或繞過；另一方面，架構上的問題，開發者往往專注在自己所寫的應用上，而容易忽略多個系統之間的交互關係。

對於架構層面的交互關係，Orange Tsai也用一個有趣的例子來說明「不一致的問題」，就算是同一個程式語言中的library，對於同一個網址的理解，還是有很大的不同。而對於同一份標準理解的不同，將造成A看起來沒問題，B也覺得沒問題，但A、B串起來就產生問題。

第二個重點是，他設法擴大了SSRF漏洞的影響層面，對於SSRF這個漏洞，他發展出更有效的利用方式，搭配在各種不同程式語言實作的瑕疵，或是作業系統本身的特性，讓原本只能攻擊 HTTP的漏洞，可以跨不同協定來攻擊內部網路服務。

更重要的是，要能在舊有的攻擊技術中提出新的方向，這其實是一件困難的事情。此外，對於業內人士而言，他並串起了一個令人再三回味的演示：在GitHub企業版本，利用4個漏洞，實現從SSRF到RCE漏洞執行。

當然，對於這些新攻擊技術的發現，也成為網路安全需要聚焦的新面向。企業必須重視的是，隨著技術演進日新月異，以往被推崇的開發方式，或是防禦漏洞的手法，只要一不注意，可能又被新的伎倆所突破或繞過。因此，網站防護也要與時俱進，才能不斷改善網站安全。

至於臺灣企業而言，雖然，現在很多企業開始重視資安，但基本的網站安全方面，都還有很大的進步空間。因為，從國內的漏洞通報現況來看，常見的漏洞問題改善速度緩慢，例如SQL Injection、XSS與資訊洩漏等，一些低級的漏洞問題，多年以來仍然存在，這是一些企業該積極行動去解決的問題。

2017年度十大網站攻擊技術手法

資料來源：PortSwigger，iThome整理，2018年10月